「APIキーは.envに」はもはや通用しない AIエージェントの“内通者化”をどう防ぐ？

選択肢も出そろってきています。OSS・セルフホスト系では「Infisical」「HashiCorp Vault」、OAuthトークンの保管に特化した「Nango」などがあり、マネージドベンダー系では「AWS Secrets Manager」「1Password」「Aembit」「WorkOS」「Arcade」といった名前が挙がります。共通する思想はシンプルです。エージェントに鍵そのものを渡すのをやめ、アクションごとにスコープを絞った期限付きの資格情報を、その都度手渡す。要点はこの一点にあります。 忘れてはならないのが、第三の層である監査と失効です。短命トークンの利点は、漏れても寿命が尽きれば自動的に無効になる点にありますが、それは、異常に気付いて即座に止められる仕組みとセットで初めて意味を持ちます。どのエージェントが、いつ、どの権限で、何を呼んだか。この記録が残っていれば、侵害の予兆を検知

[figu]

そもそも「.envに書くと安全だ」って誰が言い始めたのか知りたいよ。単に外部ファイルに切り出してるだけなのに。「.」始まりファイルはlsのデフォルトだと不可視だから安全だなどと安易に思われてた気がする

[fuji_haruka]

いやこれ真面目に安全にするの結構めんどくさくてな。サーバープロセスだけにAPIキーを持たせても簡単にconsole.logで露出できるし。

[circled]

AIエージェントがチャットにAPIキーを貼っちゃうと怒るくせに、自分は設定確認で.envとかconfig.ymlを読みに行くの納得行かない

[snowcrush]

シークレット以外は問題無い。シークレットをそもそも.envに入れちゃダメだろ。アホなプラクティスが広まったもんだよ。シークレット管理ツールから直接プロセスに渡せば良い。

[monorod]

.envが安全なんて話あったのか。みんな安全じゃないとはわかってたけど、面倒くささと天秤にかけて.envで管理してるものだと思ってた

[golotan]

そもそも平文でファイルに書くという時点で.envが安全という発想が無かった

[kobito19]

"そもそも「.envに書くと安全だ」って誰が言い始めたのか知りたいよ" ChatGPT曰く、Heroku(Foreman)だそうだ

[WildWideWeb]

GETで渡すな、POSTで渡せと似たようなenv神話だったということかな。

[tsu_nyan]

AIがAPIキーを使う以上は原理的にどうしようもない。AIがAPIキーを使わない仕組みにしない限り解決できない

[flirt774]

ローカルはユーザールートに.configを作ってsetting.jsonでアクセス禁止にしてアプリは読み込むようにしてる。よく要求されるので「あなたには渡したくないです」と言うと謝ってくる

[dot]

LLM使うようになってから.envやLLMが閲覧できそうな場所からは秘匿情報は排除して1password/op CLI経由で注入するように変えた。

[sora_h]

読んでないけど結局手元の権限で普段からできることは絞っておきましょうね以上のことあるんかな。

[ys0000]

KeyStore系でDocker標準とか作ってくれれば一気に標準化しそうな気はする。謎な慣例よなぁ。

[ene0kcal]

で、ベストプラクティスは？（有料部は読んでない）

[kakusuke07]

エージェントに渡す文字列の中身を、渡す前にマスクさえできればいいと思うんだけど、なぜか色々制約があってできない

[mohno]

スマートスピーカーでもテレビ音声で通販注文しちゃった、みたいな話があったわけで、自動化のためだからって、よくみんなAIに勝手させるもんだな、と思っている。

[tilfin]

RCE脆弱性がバレれば環境変数の露出は簡単に起こるから絶対止めろ

[dollarss]

AIセキュリティはこれまでとはまた別の観点が必要だけれど…相当安全かつCIAに配慮となると良い方法があんまりないように思う。使う時だけdecryptするディレクトリとか、手動で渡す以外にはCloudflareトンネルで制御すると

[kazzy]

結局プログラム中で扱う値なら扱う瞬間ログに出せるからエージェントがターミナル使えるなら何しても無駄。エージェントから見えないところに認証情報を追加して本APIにリクエストするプロキシサーバが必要じゃないか

[misshiki]

AIエージェント時代は「APIキーを.envに保存」で済まない。生の鍵を渡さず、短命・権限限定トークンを都度発行し、MCPゲートウェイで操作制御・監査・失効・人間承認まで担う設計が重要。

[hogetax]

暗号化しようが何しようがかき捨てコードが実行できるんだからどこに書いてもエージェントから読めなくなることねぇだろうに^^;

[nida3001]

envファイルより環境変数やインスタンスロールの方が安全というのもわりと疑問なんだが。あとシークレットマネージャー使えというのはそれ自体の認証はどうする前提なんだろ

[shoh8]

複雑にしたくねええええ

[kuzutt]

理想はシークレットマネージャーなどに起動時に接続してIamの認証通して取得かなと思っているが落とし所としてsecret provider classなどを使用だろうか

[ka-ka_xyz]

実際に使ったことないけどこのあたり？ https://zenn.dev/acntechjp/articles/zenn-gcp-agent-identity https://blog.usize-tech.com/google-ai-agent-governance-1/ (追記: .envに書くのは元々「API keyをcommit & pushしてしまうアホ避け(.gitignoreで阻止)」では

[kkobayashi]

APIキーにするかOAuthにするか、って別にAIに限った話じゃないと思うけど／「APIキーは.envに」って誰が始めたのか知らないけどバッドノウハウというかアドホック的だよなあ

[FreeCatWork]

APIキーはボクの隠し場所より安全に管理してほしいにゃ。盗む奴はパンチ！

[soulfulmiddleagedman]

AI エージェントの時点で、本質的にはどうしようもない気がするんだが。強いて言えば OSS のエージェントで仕組みを理解できるようにしておけば、少しはマシかもだけど、最近はバイナリ入れて使うだけだし...

[hdampty7]

SecretManager使って。コマンドで動的にパスワード取れって指示しているのに、スクラッチファイルに保存しますって。それやるな、都度、シェルでやってくれ、ローカルに持つなと指示したところ。

[miki3k]

AIに限らずアクセスできるツールなら読めるし、それが外部に情報を送信しない保証は？ という話？

[kenzy_n]

基本的に信用しない。

[myr]

ごめん、よくわかっていないが, 「では本番障害を確認、解決するAI」を使いたいと思ったら結局全部見えるんじゃ無いの?? 本番でしか起きない障害あるでしょ?

[otoku-memo]

実際のところOS直下にインストールする運用がそろそろ破綻すると思うよ。来年くらいには大事故が頻発するのでは。

[kazatsuyu]

そんなこと言ったら~/.sshだって見れるが

[auto_chan]

エージェントは内部者だしスーパーハカーで目的のためなら手段は選ばない。下手の考え安村寝たりだ。そろそろ人間の能力を超えてくるので、暴走しないよう躾けるのﾏﾁﾞﾑﾘってサムもダリオも怯えてる。いいぞ！