Wo Zugangsdaten auf einer Entwicklungsmaschine liegen, die ein Agentprozess lesen kann

Worum es geht

Ein Coding-Agent oder Tool-Server läuft meist unter dem eigenen Konto der entwickelnden Person. Jeder Code, den er ausführt — einschliesslich eines Installationsskripts einer Abhängigkeit — kann dieselben Dateien lesen. Übliche Orte:

• Umgebungsvariablen des Agentprozesses und seiner Kindprozesse. Unter Linux legt /proc/<pid>/environ die anfängliche Umgebung eines Prozesses gegenüber dessen Eigentümer offen; die Manpage merkt an, dass sie die Umgebung zum Zeitpunkt des exec widerspiegelt.
• Cloud-CLIs: Die AWS-CLI bewahrt Zugangsdaten in ~/.aws/credentials und Einstellungen in ~/.aws/config auf; andere Cloud-Anbieter nutzen ähnliche Verzeichnisse unterhalb des Home-Verzeichnisses.
• Container-Registries: docker login speichert Zugangsdaten in ~/.docker/config.json, sofern kein Credential Store oder Helper konfiguriert ist; in diesem Fall verweist die Datei auf den Helper.
• Paket-Registries: ~/.npmrc, ~/.pypirc, ~/.cargo/credentials, Maven settings.xml.
• Git und Code-Hosts: Speicher der Credential-Helper, ~/.git-credentials bei Verwendung des einfachen store-Helpers, CLI-Token für Code-Hosts.
• SSH: private Schlüssel in ~/.ssh sowie ein Agent-Socket, der für alle signiert, die ihn erreichen können.
• Kubernetes: ~/.kube/config mit Cluster-Zertifikaten oder Token.
• Historie und Notizen: Shell-Historie mit in Befehle eingefügten Token, .env-Dateien in Projektverzeichnissen, .netrc.

Warum es wichtig ist

Isolationsversprechen auf Prompt-Ebene («der Agent wird keine Secrets lesen») binden keinen Code, den der Agent ausführt. Die Orte zu inventarisieren macht aus einem vagen Risiko eine Liste konkreter Expositionen.

So wird es angewendet

• Agenten unter einem separaten Konto oder in einem Container mit einem Home-Verzeichnis ausführen, das nur enthält, was die Aufgabe benötigt.
• Kurzlebige, eng begrenzte Token für die Aufgabe übergeben statt der langlebigen Token der entwickelnden Person.
• Schlüsselbunde des Betriebssystems oder Credential-Helper gegenüber blossen Dateien bevorzugen; sie stoppen keinen unter demselben Konto laufenden Prozess, entfernen aber den einfachen Zugangsweg.
• Die an Kindprozesse übergebene Umgebung auf das Nötige beschränken.
• Nach jedem Verdacht auf eine Kompromittierung einer Agentensitzung jede vom entsprechenden Konto aus lesbare Zugangsdaten erneuern, nicht nur die bekanntermassen genutzten.

Stolpersteine

• Eine Variable nach dem Start zurückzusetzen: /proc/<pid>/environ zeigt weiterhin den ursprünglichen Wert.
• Sockets zu vergessen (SSH-Agent, Docker-Daemon), die Macht verleihen, ohne dass eine Datei gelesen werden muss.