OneCLI: Открытое Хранилище Учетных Данных для ИИ-Агентов

Что решает OneCLI

ИИ-агентам часто предоставляют сырые API-ключи для доступа к внешним сервисам, что создает риски безопасности. OneCLI решает эту проблему, выступая в роли хранилища учетных данных, которое располагается между агентами и сервисами, к которым они обращаются. Вместо того чтобы встраивать API-ключи в каждого агента, вы один раз сохраняете учетные данные в зашифрованном хранилище OneCLI и даете агентам ключи-заглушки (например, FAKE_KEY).

Как это работает

Когда агент выполняет HTTP-вызов через прокси OneCLI, шлюз сопоставляет запрос по шаблонам хоста и пути, проверяет, должен ли агент иметь доступ, заменяет заглушку на реальные учетные данные и перенаправляет запрос. Агент никогда не касается фактического секрета — он просто использует CLI или инструменты MCP как обычно.

Техническая архитектура

• Шлюз на Rust: Быстрый HTTP-шлюз, который перехватывает исходящие запросы и подставляет учетные данные. Агенты проходят аутентификацию с помощью токенов доступа через заголовки Proxy-Authorization.
• Веб-панель управления: Приложение на Next.js для управления агентами, секретами и разрешениями (порт 10254).
• Хранилище секретов: Хранилище учетных данных с шифрованием AES-256-GCM. Секреты расшифровываются только в момент запроса.
• Встроенная база данных: Работает со встроенным PGlite (совместимым с PostgreSQL) или может использовать внешний PostgreSQL.

Быстрый старт

Запустите локально с помощью Docker:

docker run --pull always -p 10254:10254 -p 10255:10255 -v onecli-data:/app/data ghcr.io/onecli/onecli

Затем откройте http://localhost:10254, создайте агента, добавьте свои секреты и настройте HTTP-шлюз вашего агента на localhost:10255.

Ключевые возможности

• Прозрачная подстановка учетных данных: агенты выполняют обычные HTTP-вызовы
• Зашифрованное хранилище секретов с шифрованием AES-256-GCM при хранении
• Сопоставление по шаблонам хоста и пути для маршрутизации секретов к конкретным конечным точкам API
• Поддержка нескольких агентов с ограниченными разрешениями для каждого агента
• Отсутствие внешних зависимостей в режиме одного контейнера
• Два режима аутентификации: однопользовательский (без входа) для локального использования или Google OAuth для команд
• Лицензия Apache-2.0

Совместимость

Работает с любой фреймворк-системой агентов (OpenClaw, NanoClaw, IronClaw или любой другой, которая может установить HTTPS_PROXY). Проект структурирован так, что Rust-прокси работает на порту 10255, а панель управления Next.js — на порту 10254.