核心用法
Pastewatch MCP 是一款面向 OpenClaw 等 AI Agent 的本地敏感信息脱敏工具链，通过「检测-拦截-替换」三层架构防止 API Key、数据库凭证、SSH 密钥等 30+ 类机密泄露至 LLM 服务商。
工作模式：
- MCP 集成：通过
pastewatch_read_file/write_file工具实现文件级脱敏，秘密内容被替换为__PW_TYPE_N__占位符，LLM 仅接触脱敏后的安全副本 - API 代理拦截：
pastewatch-cli proxy作为最后一道防线，扫描所有出站请求，拦截子 Agent 绕过的潜在泄露 - 命令防护：
pastewatch guard阻止含敏感信息的命令执行（如cat .env、psql -f migrate.sql） - 持续监控：文件系统实时监听（
watch）、Git 历史扫描、金丝雀令牌追踪泄露路径
企业级特性：
- ChaCha20-Poly1305 加密保险箱（
vault）存储轮换密钥 - 组织级安全态势扫描（
posture --org），支持多仓库趋势对比 - 符合银行业规范的预设配置模板（
--profile banking）
显著优点
- 零网络依赖：确定性正则匹配，无 ML 推理、无外部 API 调用，完全离线运行
- 深度覆盖：30+ 密钥类型（含 AWS/Anthropic/Groq 等 AI 服务商专用格式）、RFC 1918 内网 IP、XML 凭证标签、JDBC URL 等
- 多层级防护：MCP 工具 → API 代理 → Guard 命令拦截 → 文件监控，形成纵深防御
- 无痛集成：
pastewatch-cli setup claude-code/cursor/cline一键配置，idempotent 设计可重复执行 - 可审计性：结构化日志（JSON/SARIF）、审计追踪、金丝雀令牌泄露溯源
局限性与风险
明确边界：
- 仅保护机密内容，不保护提示词语义、代码逻辑结构或业务上下文——若需完整隐私，仍需本地模型
- 占位符机制依赖 Agent 遵循 MCP 协议，恶意或异常 Agent 可能尝试暴力解析占位符
- 加密保险箱的密钥文件（
~/.pastewatch/key）权限为 0600，但物理访问仍构成威胁模型
误报考量：
- 高敏感度正则可能误判合法字符串（如含 40 字符十六进制的非密钥字符串）
- Git 历史扫描对大仓库（>10 年提交）性能开销显著
适合人群
- AI Agent 开发者：需将代码库接入 Claude/Cursor/Cline 但担忧凭证泄露
- 企业安全团队：需审计组织级 GitHub/GitLab 仓库的密钥暴露面
- 金融/医疗等合规场景：需符合数据驻留要求，禁止任何机密出境
安全等级评估
| 维度 | 评级 | 说明 |
|------|------|------|
| 机密隔离 | S | 本地占位符 + 加密保险箱，密钥不出境 |
| 检测覆盖 | A | 30+ 类型，但新型自定义密钥需手动扩展正则 |
| 易绕过性 | B | 依赖 Agent 协议遵守，子进程注入等高级攻击未完全覆盖 |
| 审计完整性 | A | 结构化日志 + 金丝雀，缺少实时告警通道 |
综合建议：作为 LLM 交互前的必要前置层部署，但不应替代 Secrets Manager 或零信任架构。