Symaira Vault：给终端和 AI agent 共用的本地密码库
让 AI agent 接触真实开发环境之后，凭据管理会变成一个很尴尬的问题。
人类开发者习惯了 1Password、pass、Keychain、浏览器密码库，或者一堆临时 .env 文件。但 agent 的工作方式不一样：它可能需要替你跑一个 API 调试命令、给某个 CLI 注入 token、读取一次测试账号密码，甚至通过 MCP server 调工具。最糟糕的做法，是把 secret 直接贴进聊天窗口，或者让 agent 在 shell history、日志和 prompt 里到处留下痕迹。
今天想记下的 danieljustus/symaira-vault，切的就是这块。它是一个 Go 写的命令行密码管理器，命令名是 symvault。核心不是再造一个云端密码服务，而是把本地 vault、age 加密、OS keyring session cache、TOTP、剪贴板、autotype、Git 同步和 MCP server 放到同一个 CLI 里，让人和 agent 都有一个更清楚的凭据入口。
按 GitHub repository API、README、LICENSE、release page、commits API、go.mod 和 distribution 文档在 2026-07-09 能看到的公开信息，danieljustus/symaira-vault 当前有 22 stars、3 forks。仓库主语言是 Go，许可证是 Apache-2.0。仓库创建于 2026-04-22 19:28:03 UTC，最近 push 时间是 2026-07-08 16:00:23 UTC。默认分支是 main，最新 GitHub release 是 v0.9.0，发布时间为 2026-07-02 20:56:13 UTC。
项目概览
| 属性 | 详情 |
|---|---|
| 仓库 | danieljustus/symaira-vault |
| 定位 | 本地优先的 CLI 密码管理器，带 MCP server 和 agent 使用边界 |
| Stars | 22 |
| Forks | 3 |
| 主语言 | Go |
| 许可证 | Apache-2.0 |
| 仓库创建时间 | 2026-04-22 19:28:03 UTC |
| 最近 push | 2026-07-08 16:00:23 UTC |
| 最新版本 | v0.9.0 |
| 版本发布时间 | 2026-07-02 20:56:13 UTC |
| 核心能力 | age 加密、TOTP、clipboard auto-clear、autotype、OS keyring cache、Git sync、multi-user recipients、MCP server |
它先把密码库留在本机
Symaira Vault 的基础层比较传统，也比较重要：vault 用 age 做加密，README 写明使用 X25519 和 ChaCha20-Poly1305；session passphrase 可以放进 OS keyring，并带 15 分钟 TTL；取密码时可以复制到剪贴板并自动清理；也支持 TOTP、密码生成、列表和搜索。
这让它先是一个正常的终端密码管理器，而不是只为了 AI agent 做的 demo。README 里的 quick start 包括 symvault init、symvault add github、symvault get github.password --clip、symvault generate --store ...、symvault unlock、symvault lock 和 symvault ui。安装路径也比较完整：quick install、Homebrew、Scoop、Nix、Go install、GitHub Releases，以及 deb、rpm、apk、tar.gz、zip 等包。
对长期用 CLI 的人来说，这一点很关键。凭据工具如果只服务 agent，很容易变成另一个薄薄的 wrapper；但如果人自己也能日常使用，agent 才更可能接到同一套真实凭据流程，而不是临时复制一份 secret。
MCP 不是绕过边界，而是把边界显式化
这个项目更有意思的地方，是它把 MCP server 做成一等能力。README 提到 stdio 和 HTTP 两种 MCP server 入口，并强调 scoped token management。它还提供 slash command 风格的工作流，比如添加、轮换、查找并使用、共享凭据。
我喜欢这个方向的原因是：agent 用 secret 不是二选一问题。现实里你不可能永远禁止 agent 接触凭据，因为很多自动化任务本来就要调用 API、部署环境、查内部系统；但你也不应该把完整 vault 直接摊给 agent。更好的做法，是让 agent 通过明确的工具边界拿到一次性、受作用域限制、可审计的访问路径。
Symaira Vault 还做了一个小但实用的设计：README 里提到 native secure-input dialog，可以在 macOS、Linux、Windows 上用系统弹窗收集凭据，避免用户把密码直接打进 agent 聊天内容。这个细节不花哨，但对安全边界很有意义。
适合什么场景
第一类场景是本地开发的 secret 执行。比如你需要让一个命令临时拿到 API_KEY，但不想把它写进 shell profile、.env 或历史记录。README 里有 symvault run --env ... -- command 这类用法，思路就是在命令执行时注入 secret，而不是让 secret 常驻在环境里。
第二类场景是小团队共享。项目支持 age recipients 和 Git sync，适合把加密后的 vault 通过 Git 版本化，再用 recipients 控制谁能解密。它不等于完整企业密码平台，但对小团队、开源维护者、个人多机器同步来说，这个形态足够朴素。
第三类场景是 agent 工作流。你可以把它当成“agent 可以请求凭据，但不能随便看到全部凭据”的中间层。它不会替你解决所有 prompt injection 和权限设计问题，但至少把 secret 访问从聊天文本里挪到了工具协议和 vault 权限里。
需要注意的地方
第一，项目还很年轻。仓库创建于 2026-04-22，当前 stars 也只有 22。虽然 release 节奏很密，最新 release 是 2026-07-02 的 v0.9.0，但这仍然不是可以不经验证就托管关键生产凭据的成熟项目。
第二，README 自己也有安全提示：它管理的是敏感 secret，使用者应该保留经过测试的备份，并在依赖它处理关键凭据前验证恢复流程。对密码管理器来说，这不是客套话，而是上线前必须做的演练。
第三，最近几次公开 commit 里能看到不少 CI 和依赖维护类更新。活跃是好事，但安全工具的价值不只在更新频率，还在威胁模型、审计、恢复、跨平台行为和失败模式。真正采用前，至少要读一遍 SECURITY.md、测试备份恢复，并确认团队能接受它的密钥和 Git 同步模型。
第四，MCP 入口会放大权限设计问题。给 agent 一个“找密码”的工具，和给它一个“只能在特定命令里注入某个 scoped token”的工具，风险完全不同。Symaira Vault 提供了做边界的材料，但边界怎么切，仍然要由使用者自己决定。
小结
Symaira Vault 有意思的地方，不是“AI agent 也能用密码库”这个标签，而是它把几个本来分散的动作收到了同一个本地工具里：人用 CLI 管 vault，机器通过 MCP 请求受控访问，命令执行时临时注入 secret，vault 自己仍然用 age 加密并可以 Git 同步。
如果你已经开始让 Codex、Claude Code 或其他 agent 跑更接近真实环境的任务，这类工具值得关注。不是因为它能让凭据管理自动变安全，而是因为它提醒我们：agent 时代的 secret 访问，应该从“贴进聊天框”回到明确、可限制、可恢复的工具边界里。