Kontext CLI: Intermediario de Credenciales para Agentes de Codificación con IA

Qué hace Kontext CLI

Kontext CLI es una herramienta de línea de comandos de código abierto que envuelve a los agentes de codificación con IA para proporcionar gestión de credenciales sin exponer las claves API. Aborda el problema de que los equipos copien y peguen claves API de larga duración en archivos .env o interfaces de chat, lo que crea dispersión de secretos y carece de trazabilidad de acceso.

Cómo funciona

Declaras qué credenciales necesita un proyecto en un archivo .env.kontext con marcadores de posición como:

GITHUB_TOKEN={{kontext:github}}
STRIPE_KEY={{kontext:stripe}}
LINEAR_TOKEN={{kontext:linear}}

Luego ejecutas kontext start --agent claude. La CLI te autentica mediante OIDC e intercambia los marcadores de posición por credenciales:

• Para servicios que admiten OAuth: tokens de acceso de corta duración mediante intercambio de tokens RFC 8693
• Para claves API estáticas: credenciales inyectadas directamente en el entorno de ejecución del agente

Los secretos existen solo en memoria durante la sesión — nunca se escriben en el disco de tu máquina. El backend contiene tokens de actualización de OAuth y claves API; la CLI nunca los ve, solo recibe tokens de acceso de corta duración limitados a la sesión.

Características principales

• Un comando para lanzar Claude Code: kontext start --agent claude
• Credenciales efímeras: tokens de corta duración limitados a la sesión, expiran automáticamente al salir
• Plantillas de credenciales declarativas en archivos .env.kontext
• Telemetría de gobernanza: eventos de enlace de Claude transmitidos al backend con atribución de usuario, sesión y organización
• Seguro por defecto: autenticación OIDC, almacenamiento en llavero del sistema, intercambio de tokens RFC 8693
• Ejecución ligera: binario nativo de Go (~5ms de sobrecarga por llamada de herramienta), usa ConnectRPC para comunicación con el backend
• Notificaciones de actualización en kontext start (en caché durante 24h, desactívalas con KONTEXT_NO_UPDATE_CHECK=1)

Instalación y uso

Instala con: brew install kontext-dev/tap/kontext

O instalación directa del binario:

tmpdir="$(mktemp -d)" \
&& gh release download --repo kontext-dev/kontext-cli --pattern 'kontext_*_darwin_arm64.tar.gz' --dir "$tmpdir" \
&& archive="$(find "$tmpdir" -maxdepth 1 -name 'kontext_*_darwin_arm64.tar.gz' -print -quit)" \
&& tar -xzf "$archive" -C "$tmpdir" \
&& sudo install -m 0755 "$tmpdir/kontext" /usr/local/bin/kontext

Desde cualquier directorio de proyecto con Claude Code instalado: kontext start --agent claude

En la primera ejecución, la CLI maneja todo interactivamente — inicio de sesión, conexiones de proveedores, resolución de credenciales. Borra la sesión OIDC almacenada con kontext logout.

Auditoría y gobernanza

La CLI captura para cada llamada de herramienta: qué intentó hacer el agente, qué sucedió, si se permitió y quién lo hizo — atribuido a un usuario, sesión y organización. Cada llamada de herramienta se transmite para auditoría mientras el agente se ejecuta.

Funciona con Claude Code hoy mismo, soporte para Codex próximamente. La aplicación de políticas del lado del servidor está en desarrollo — la infraestructura para decisiones de permitir/denegar en cada llamada de herramienta ya está conectada.