AIエージェントにAPIキーを渡さない — trustlessを作った理由

AIエージェントにAPIキーを渡すと、その瞬間から複数の漏洩経路が開きます。設定ファイルに平文で書けばgit add .でリポジトリに乗り、スクショや画面共有でも漏れます。エージェント自体が何らかの操作でログ出力すればコンテキストに入り、prompt injectionで環境変数を吐き出すよう指示されれば素直に従います。一度渡したキーは、もう回収できません。そこで登場したのがtrustlessというCLIツールです。設計思想は徹底して単純。エージェントに「キー名だけ知らせ、値は一切見せない」という一点に絞ります。プロセス起動時にだけ、外部のbroker（pass、Bitwarden、環境変数）から値を解決して子プロセスへ注入し、標準出力は行単位でマスク処理します。外部依存はgo-toml/v2ひとつだけで、単一の静的バイナリとして配布される。AIの鬼的に面白いのは「セキュリティを後付けするのではなく、最初から見せない」というアーキテクチャの潔さです。安全性とは複雑なツールを積み重ねることではなく、見せてはいけない情報を構造的に見えなくすること。trustless run -s <key> -- <cmd>の形式でコマンドを実行すればキーはenvにのみ現れ、HTTP通信なら--scan-argsで引数の混入を起動前に検査して失敗させます。いま企業がエージェント導入するときに必ず引っかかるのが「APIキーの置き場所問題」です。VaultやSecrets Managerに入れても、最後にエージェントへ平文で渡すなら意味がない。trustlessはその詰めの甘さを構造的に埋めるツール。実装としては単純だからこそ、go installやcurl | shでの導入が壊れにくく、供給網の監査も容易になります。夜間にエージェントを走らせるなら、朝に目が覚めた時のサプライズは数万円の課金だけ、という事態は避けたい。そのためには「キーを渡さない」という選択肢を初期段階で用意しておくことが、最も割の良い防衛策になります。