AI 에이전트에게 비밀을 전달해도 로그에 남지 않는, 로컬 완결 시크릿 매니저 vlt

brew install bayfront-software/tap/vlt
vlt init

vlt set openai/api-key sk-proj-xxxxxxxx --type api_credential

OPENAI_API_KEY=vlt://openai/api-key

vlt run --env-file .env -- python app.py

$ vlt run --env envs/myapp -- sh -c 'echo 

参照内の`${APP_ENV:-dev}`는 실행 시 환경 변수로 전개됩니다. 개발용과 운영용의 전환을 항목을 나누지 않고 작성할 수 있습니다. direnv를 사용하고 있다면, `.envrc`에 한 줄만 적어주면 됩니다.

### 그 외 기능

- **항목 종류:** 1Password를 참고하여 로그인, API 인증 정보, SSH 키, 데이터베이스, 서버, 신용카드 등 총 14가지 종류가 있습니다. `vlt types`로 목록을 확인할 수 있습니다. - **일회용 비밀번호(TOTP):** `vlt totp github/login` 또는 `vlt read 'vlt://github/login?attribute=otp'`를 통해 현재 코드를 반환합니다. - **템플릿에 임베딩:** `vlt inject -i config.tpl -o config.yml`로 `{{ vlt://… }}`을 값으로 대체할 수 있습니다 (출력 권한은 600). - **스크립트용:** `vlt list --json`, `vlt show --json` (가려진 값은 null), 그리고 셸 완성 기능도 제공됩니다. - **휴지통:** 삭제된 항목은 30일 동안 남아 있으며, `vlt restore`로 복구할 수 있습니다.

## 설계에서 포기한 것들

**vault는 이 Mac 안에서만 열 수 있습니다.** 마스터 키가 키체인에만 존재하기 때문에, `vault.db`를 복사해도 백업이 되지 않습니다. 다른 Mac으로 옮길 때는 패스프레이즈로 암호화된 `.vltx` (Argon2id + AES-256-GCM)로 내보냅니다.

**동기화도 팀 공유도 하지 않습니다.** 기기 간 동기화를 추가하면 서버와 새로운 키 관리가 필요해지며, '이 Mac 밖에는 비밀을 내보내지 않는다'는 전제가 무너집니다. 팀에서 공유하고 싶다면, 1Password나 sops 같은 도구가 더 적합합니다.

**제3자의 감사는 받지 않았습니다.** 암호화 부분은 표준적인 구현(RustCrypto의 aes-gcm과 argon2) 조합에 그치고 있습니다. 테스트는 CI에서 진행하지만, 업무상 중요한 비밀을 맡기기 전에 소스를 읽어 판단해 주십시오.

## 다른 도구와의 차이점

| vlt | 1Password CLI (op) | dotenvx |
|---|---|---|
| 저장 위치 | 로컬만 가능 | 1Password 클라우드 | 암호화된 .env를 git에 배치 |
| ... | 
개발자 혼자 개발하며, 클라우드에 비밀을 맡기지 않고 AI 에이전트와 안전하게 작업하고 싶은 사람들을 위한 도구입니다.

## 마무리

버그나 요청 사항은 GitHub의 Issue로 부탁드립니다. 도움이 되었다면, GitHub Sponsors를 통해 개발 지원을 해주시면 큰 힘이 됩니다.

### 토론

![](https://static.zenn.studio/images/drawing/discussion.png)