密钥与凭证管理：Agent 的钥匙怎么管

核心观点

Agent 要干活就得拿钥匙：API 密钥、钱包签名、邮箱授权。钥匙一旦进了聊天记录、日志或截图，就等于复制了一把给全世界——而你甚至不知道它被复制过。

四条管钥匙的规矩

• 钥匙不进对话：密钥、助记词、密码只走官方保险箱或安全录入页，绝不粘贴进聊天、工单或文档。
• 一事一钥匙：每个 Agent、每个用途各用一把独立密钥，泄露一把只废一把，不牵连全部。
• 定期轮换：密钥设有效期，到期自动失效再换新；长期有效的钥匙等于长期敞开的门。
• 泄露即作废：一旦怀疑外泄，先作废再调查——顺序反了，调查期间损失还会继续扩大。

今日思考题

检查你正在用的 Agent：它的密钥存在哪？如果今天要换掉它，你能在 10 分钟内把旧钥匙全部作废吗？