Hush：让AI代理使用你的秘密却永远看不到它们
Hush 是一个面向 AI 代理的秘密管理工具，它确保代理在运行时能使用 API 密钥或令牌等秘密，却永远不会在对话记录或输出中看到秘密的明文。它通过操作系统密钥链（如 macOS Keychain、Linux libsecret 和 Windows DPAPI）安全存储秘密，并提供简单的命令行界面来设置、生成和注入秘密。
随着 AI 代理在开发工作流中扮演越来越重要的角色，如何安全地管理 API 密钥、访问令牌等敏感信息成为关键问题。传统的做法让代理直接读取明文秘密，这可能导致秘密意外出现在日志、对话记录或版本控制中。
Hush 正是为解决这一痛点而诞生的开源工具。它遵循一个核心原则：代理永远不应该看到秘密的明文。Hush 将秘密安全地存储在操作系统的原生密钥链中——macOS 使用 Keychain，Linux 使用 libsecret（secret-tool），Windows 使用 DPAPI（通过 PowerShell）。
当代理需要某个秘密时，不需要先读取它，而是通过 hush inject 命令将秘密以环境变量的形式注入到正在运行的子进程中。代理只知道环境变量名称，却不知道实际值。秘密仅在内存中存在极短时间，且永远不会被打印到标准输出或日志。
Hush 的安装非常简单，只需克隆 GitHub 仓库或通过 npm 全局安装。针对 Claude Code 等特定代理，Hush 还能作为技能自动加载。命令行接口包括：hush set 用于存储用户粘贴的秘密（采用隐藏输入，代理无法看到），hush mint 用于生成并存储随机秘密，hush list 仅列出秘密名称而不暴露值，以及 hush rename 可以重命名秘密而无需重新输入。
Hush 的设计并非为了对付恶意的系统级攻击。它主要解决的是“无意泄露”问题——防止代理在自己的对话历史中记录秘密。因此作者明确表示 Hush 不能被当作真正的加密保险库，建议用户定期备份密钥链，或将秘密同步到专业的秘密管理服务。
目前 Hush 在 GitHub 上已获得 2 颗星，主要使用 Shell 和 PowerShell 编写。它非常适合开发者配合 AI 编码助手使用，尤其是当需要频繁注入 API 密钥到各种命令中时。Hush 以 MIT 许可证发布，鼓励社区采用和改进。