Nyxid

随时随地安全地将 AI Agent 连接到任意 API。 开源 Agent 连接网关。

NyxID 让你的 AI Agent（Claude Code、Cursor、n8n）能够访问你拥有的任意 API， 无论是公开还是私有的，并负责处理所有凭据，让你的 Agent 永远看不到 原始密钥。

flowchart LR
    subgraph Agents["AI Agents"]
        CC[Claude Code]
        CU[Cursor]
        N8[n8n]
    end

    subgraph NyxID["NyxID Gateway"]
        AUTH[OIDC and API Key Auth]
        PROXY[Credential Injection Proxy]
        MCP[MCP Tool Wrapping]
    end

    subgraph Connectivity["Private Reach"]
        NODE[Credential Node]
    end

    subgraph Targets["Connected Services"]
        PUB[Public APIs]
        INT[Internal APIs]
        LOC[Localhost Services]
    end

    CC --> AUTH
    CU --> AUTH
    N8 --> AUTH

    AUTH --> PROXY
    PROXY --> MCP
    PROXY -->|Direct proxy| PUB
    PROXY -->|Private network| INT
    PROXY -->|NAT traversal| NODE
    NODE --> LOC

    classDef agents fill:#eef2ff,stroke:#4f46e5,color:#111827,stroke-width:1.5px;
    classDef gateway fill:#111827,stroke:#22d3ee,color:#ffffff,stroke-width:2px;
    classDef tooling fill:#e0f2fe,stroke:#0284c7,color:#0f172a,stroke-width:1.5px;
    classDef node fill:#fef3c7,stroke:#f59e0b,color:#111827,stroke-width:1.5px;
    classDef targets fill:#ecfeff,stroke:#14b8a6,color:#0f172a,stroke-width:1.5px;

    class CC,CU,N8 agents;
    class AUTH,PROXY gateway;
    class MCP tooling;
    class NODE node;
    class PUB,INT,LOC targets;

NyxID 会代理请求、自动注入凭据、穿透 NAT（网络地址转换）以访问 本地服务，并将任意 REST API 封装为 MCP（Model Context Protocol）工具。

管理员可以从服务或关联的提供商配置共享凭据、访问权限、端点规则和 账单。请参阅服务配置与供应商退役。他们还可以授予某个角色 只读访问平台级使用情况报告的权限，例如使用预置的 Usage Viewer 角色，而无需授予其他管理员权限。请参阅管理员使用情况。 Usage → Dashboard / List 共用顶层用户、账单所有者组织、 服务和时间筛选条件。仪表板图表提供 Group by → Model，用于检查服务中 记录的模型使用情况。有关分组、缺失模型和筛选语义，请参阅账单分析。 管理员、运维人员和 Usage Viewer 可以打开 Usage → NyxBot，查看费用和账单、Token 流量以及按模型拆分的主要账单账户，同时查看活动会话 数量、轮次结果和回复反馈。有关确切数值、归因和历史覆盖范围，请参阅NyxBot 模型使用情况；有关活动定义，请参阅 NyxBot 活动。

可以将功能标志访问权限委派给任何用户或群组：授予 feature-flag-operator（创建标志并管理自己创建的标志）或 feature-flag-admin（管理所有标志，包括内置标志）。 这两个角色都使用 Admin → Feature Flags。请参阅功能标志管理。

NyxID 的功能

• 分配可重复使用的额度 — 管理员 Credits 支持精确的一次性或定期分配、可选的共享总额服务上限，以及回收每次分配的未用余额。现有免费额度保持独立。在所有账单写入方完成升级前，新策略的创建功能将保持关闭；请参阅额度分配核算与推出。

• 将电话和语音服务连接到 NyxBot — 服务适配器新增 Telnyx/Twilio 来电和短信，以及 ElevenLabs Custom LLM，并提供已声明的功能、经过验证的连接和专用工具。此功能默认关闭；共享平台上的 Telnyx 语音不可用。

• 管理 Oracle 池的所有权和退役 — 在你的账户与所管理的组织之间转移池，同时保留其身份；也可以通过 API 和 CLI 删除空闲池。有关凭据续期和协调推出要求，请参阅 Oracle 池生命周期。这些功能将在首个包含这些更改的标记版本中提供。

• 调整聊天布局 — 使用两个桌面端拖柄调整消息栏宽度，或在 Settings → Display 中设置所有聊天共用的宽度和撰写框最大高度。桌面端的单个对话线程提供消息索引，方便浏览长对话；滚动淡出效果和紧凑的对话控件则能留出更多阅读空间。偏好设置适用于此浏览器中的所有聊天。请参阅助手界面。

• 与 NyxBot 和专业助手语音通话 — 语音通话会采用已保存的账户偏好设置，并在撰写框中显示实时字幕和音频活动。通过撰写框折叠菜单中的语音设置，更改下一次通话的默认设置。听写支持点击切换或按住说话，可选择麦克风，并可在插入草稿前查看转录内容。平台音频要求已启用语音功能、配置好提供商和资费方案，并有足够的资金；激活录音时会请求麦克风权限。请参阅语音与听写。

• 在 NyxBot 中显示源图像 — 受支持的 Notion 读取操作会返回图像引用，NyxBot 可以将其保留为加密聊天附件，并通过受支持的渠道发送。共享检索工具会重新检查源访问权限；请参阅源资源与图像显示。

• 控制 NyxBot 服务使用 — NyxBot 会遵循已保存的连接顺序，优先使用合适且可用的个人连接；在 Auto 和 Ask every time 模式下，会在使用组织连接前征求同意。你可以为下一条消息选择一个指定连接，而不更改权限模式。请参阅NyxBot 服务执行。

• 使用 NyxID 点数调用 Telnyx 工具 — Telnyx 平台服务支持一项受限试点：通过 HTTP 或 MCP 使用一个模型进行非流式文本聊天，包括调用 NyxBot 工具。使用前，管理员必须配置并启用共享凭据、已验证的模型限制、价格、计费和试点访问权限；用户无需连接 Telnyx OAuth。

• 将 Stripe 连接到 Agent — Stripe Apps OAuth支持托管账户连接，以及只读的客户、发票、付款和订阅工具。

• 将电子邮件连接到 Agent — Aurinko Email 提供用于邮箱 API/MCP 操作的 AI 服务，以及用于处理已签名传入通知和回复的电子邮件频道机器人。使用账户令牌连接；频道还需要应用的签名密钥。

• 创建 Telegram 频道机器人 — Telegram New 使用平台管理的创建流程，让客户无需复制令牌即可创建并连接机器人。现有的 Telegram 选项仍使用机器人当前的令牌进行连接。启用 Telegram New 前，管理员需配置专用管理器。

• 将 BotFather 用作 Telegram 助手 — 已关联的管理器会通过有序消息发送完整回复，并保留转发文本、引用、链接和附件。可配合可复制的命令或 Telegram 返回链接使用，并在“管理后台” → “平台机器人”中编辑共享的常见问题/用例库，支持预览、发布历史和回滚。多个管理器可共享一个库。请参阅 BotFather 设置和网关部署。

• 提及频道专员 — 在已启用的群组中，精确的原生 Telegram 和 Lark/Feishu 提及会将消息发送给接收机器人关联的 Agent，无需参与者 OAuth。机器人发出的消息仍视为访客，并受持久交接限制约束。请参阅频道准入和网关部署。

• 连接任意服务 — 公共 API、内部 API，以及通过凭证节点访问的 localhost 服务（nyxid node）。SSH（Secure Shell）隧道（nyxid ssh）可访问远程主机。无需 VPN（Virtual Private Network），也无需端口转发。

• 绝不暴露密钥 — 反向代理会自动注入凭证。你的 Agent 与 NyxID 通信；NyxID 使用真实密钥与 API 通信。

• MCP 自动封装 — 带有 OpenAPI 规范的 REST API 会变为 MCP（Model Context Protocol）工具。nyxid mcp config --tool cursor 可生成配置。适用于 Claude Code、Cursor、VS Code 及任何 MCP 客户端。

• 按 Agent 隔离 — 每个 Agent 都会获得一个限定权限的令牌。Agent A 可访问 Slack 和 Gmail。Agent B 只能访问你的内部 API。撤销任何会话都不会影响底层凭证。

• 完整身份层 — 支持 OIDC（OpenID Connect）/ OAuth 2.0 与 PKCE（Proof Key for Code Exchange）、RBAC（Role-Based Access Control）、服务账户、事务审批（Telegram + 移动推送），以及面向 7 家提供商的大模型网关。

• 按需添加服务访问权限 — 应用可请求增量 OAuth 授权，单独显示新服务，同时保留刷新令牌和代理绑定中的现有访问权限。

查看实际效果

Web 应用每十分钟检查一次前端更新。助手更新会在安全的聊天或视图切换时应用；15 分钟后仍未应用的每个前端构建都会显示刷新提醒，包括 Nyxbot 页面。 请参阅部署行为。

端到端流程很简单：只需将服务连接到 NyxID 一次，之后任何指向 NyxID MCP 端点的 AI Agent 都可以使用该服务，而不会看到原始 API 密钥。

1. 添加服务：在 Web 控制台中粘贴一次 OpenAI（或 Anthropic、GitHub 等）的密钥；NyxID 会对其加密存储。
2. 连接 AI 工具：运行 claude mcp add --transport http --scope user nyxid http://localhost:3001/mcp（或在 Cursor 中通过 Settings → MCP 一键安装）。
3. 开始使用：Claude Code、Cursor 或任何 MCP 客户端现在都可以通过 NyxID 调用该服务。Agent 可以看到响应，但永远看不到密钥。

▶ 全屏观看

## 为什么选择 NyxID

其他工具只能解决其中一部分问题，而 NyxID 将凭据注入、NAT 穿透和 MCP 工具整合到一个开源网关中：

	NyxID	1Password Universal Autofill	Cloudflare Tunnel	Keycloak
开源	是	否	否	是
穿透 NAT 访问本地主机	是（nyxid node）	否	是（无凭据）	否
凭据注入	是（任何 API）	合作伙伴集成	否	否
REST 自动封装为 MCP	是	否	否	否
按 Agent 隔离	是	否	否	否
OIDC / OAuth 2.0	是	否	否	是

使用场景

• 让 Claude Code 访问你的私有 API，而无需共享密钥
• 通过单个 MCP 端点向 AI Agent 暴露内部微服务
• 在防火墙后安全地让 AI Agent 访问可自托管的工具（Grafana、Jenkins、n8n）

开始使用

NyxID 分两个阶段使用：先安装 nyxid CLI 客户端，再选择工作流。CLI 会登录托管服务或可自托管后端，并可创建工作流所需的 Agent Key。

1. 安装 NyxID

默认的“安装 NyxID”流程会安装轻量级的 nyxid CLI。它仅适用于当前用户，无需 Docker，也不会启动后端服务。

只需要客户端？安装 CLI。要运行自己的后端？使用 Docker 自托管。

bash -c "$(curl -fsSL https://raw.githubusercontent.com/ChronoAIProject/NyxID/main/skills/nyxid/scripts/install.sh)"

安装 CLI 后，选择它应登录的位置：

	托管服务	自托管
说明	我们在云端为你运行 NyxID 后端	你在自己的机器上运行 NyxID 后端
适用场景	快速开始，无需设置服务器	完全掌控、私有网络、离线使用
状态	开放注册	开放，任何人都可以运行

要通过 AI 编码 Agent 使用 NyxID？ 随时将这一行发给它，即可指示 Agent 安装 nyxid CLI 和 Nyx 技能文件：

Install nyx skills from https://github.com/ChronoAIProject/NyxID/blob/main/skills/INSTALL.md

Agent 会从头到尾阅读 skills/INSTALL.md。默认情况下，它应使用 CLI 安装程序；只有在你明确要求自托管时，才运行 Docker 后端设置。

更喜欢通过插件安装？ Claude Code 和 Codex 插件可将你的 Agent 连接到 NyxID 的托管 MCP 服务，并附带以 MCP 为先的 NyxID 技能；无需 CLI。最后一条命令会打开 NyxID 登录页面。批准应用时，选择它可以使用的服务（或选择所有服务）。之后连接服务即可使用其工具。

Claude Code

claude plugin marketplace add ChronoAIProject/NyxID
claude plugin install nyxid@nyxid
claude mcp login plugin:nyxid:nyxid

Codex

codex plugin marketplace add ChronoAIProject/NyxID
codex plugin add nyxid@nyxid
codex mcp login nyxid

claude mcp login 需要 Claude Code 2.1.284 或更高版本；较旧版本请在 Claude Code 中运行 /mcp 登录。同一个 Claude marketplace 还提供 nyxid-cli@nyxid，这是捆绑了 skills/ 中所有技能的 CLI 版本（它会调用上文安装的 nyxid CLI）。Cursor：请参阅 integrations/cursor-plugin/。维护者：请参阅 docs/PLUGINS.md。

托管服务（推荐）

不到一分钟即可开始使用 NyxID，无需 Docker，也无需配置。

1. 在新标签页中打开 nyx.chrono-ai.fun/register（按住 Cmd/Ctrl 并点击，或右键点击 → 在新标签页中打开链接），以便继续查看此清单。
2. 使用 Google、GitHub 或 Apple 注册
3. 打开 AI Services，添加并连接你的首个外部服务，然后运行 API Usage 验证 curl 命令
4. 服务验证通过后，将你的 AI 工具连接到 NyxID 的 MCP 端点

完整的点击操作流程请参阅 添加你的首个 AI 服务。

自托管

在自己的机器上运行 NyxID 后端。这是可选的服务端方案，会启动 3 个 Docker 容器（数据库、后端、前端）——大约需要 2 分钟。

前置条件：Docker 和 bash shell。macOS 和 Linux 已自带 bash shell；Windows 用户请先参阅 docs/WINDOWS_SETUP.md，再继续操作。此后端方案才需要 Docker。完整的前置条件和磁盘空间预算见 SETUP.md。

AI 辅助（推荐）

如果你已打开 Claude Code、Cursor 或任何 AI 编码助手，请仅在明确需要自托管后端时，将以下提示词粘贴到其中。它会为你完成整个自托管流程——预检、克隆、生成环境配置、启动 Docker 服务栈、健康检查、CLI 登录、创建首个凭据，以及配置 MCP。

点击展开完整的 AI 辅助自托管提示词

> 我想在这台机器上自行托管 NyxID 后端（仓库地址为 https://github.com/ChronoAIProject/NyxID）。这是 Docker 服务路径，不是默认的 CLI 安装。请通过交互方式带我完成全部设置。如果任何步骤失败，或者我想自己按照手动步骤操作，完整的分步指南和故障排查说明见 https://github.com/ChronoAIProject/NyxID/blob/main/docs/SETUP.md。如果我使用的是 Windows，请在继续之前确认我是在 WSL Ubuntu shell 中运行（而不是原生 PowerShell 或 CMD）——参见 https://github.com/ChronoAIProject/NyxID/blob/main/docs/WINDOWS_SETUP.md。 > 1. 在进行任何操作之前，确认 Docker 已安装并正在运行（检查 `git`、`docker`、`openssl`、`curl`、Docker Compose v2，以及 `docker info`）。 > 2. **克隆或生成任何内容之前，检查 NyxID 安装状态是否存在**——查找 `./NyxID/.env.dev` 文件，或任何名称匹配 `nyx*_mongodb_data` 的 Docker 卷（运行 `docker volume ls --format '{{.Name}}' | grep -E 'nyx.*_mongodb_data$'`——这会同时匹配默认的 `nyxid_mongodb_data` 和重命名检出目录产生的变体）。仅有一个空的 `./NyxID` 目录**不算**“已安装”——`uninstall.sh` 会保留源代码目录，因此目录可能存在，但不包含任何状态。**如果存在安装状态，请停止并告诉我，快速开始流程仅适用于首次安装。**询问我是否想要：(a) 先卸载——如果 `./NyxID` 存在，运行 `cd NyxID && ./scripts/uninstall.sh --yes && cd ..`；如果只有遗留的 Docker 卷处于孤立状态（之前手动删除了检出目录），则直接运行 `docker volume ls --format '{{.Name}}' | grep -E 'nyx.*_mongodb_data$' | xargs -r docker volume rm`。这两种方式都会删除卷和容器；通过脚本卸载还会删除 `.env.dev`/密钥——所有 NyxID 账号和加密凭据都会被销毁。或者 (b) 保留现有安装并在此停止——我可以用 `curl -sf http://localhost:3001/health` 确认它是否仍在运行。等我回答后再继续步骤 3。 > 3. 如果 `./NyxID` 已存在（卸载后重新安装），则进入该目录；否则将仓库克隆到当前目录并进入其中。生成包含新 `ENCRYPTION_KEY` 和 `MONGO_ROOT_PASSWORD` 的 `.env.dev`（设置 `ENVIRONMENT=development`、`AUTO_VERIFY_EMAIL=true` 和 `EMAIL_AUTH_ENABLED=true`，以便我快速完成邮箱验证；完成初始管理员设置后，在 Admin > Feature Flags 下禁用 `auth:invitation-code` 功能标志以开放注册），将其符号链接到 `.env.production`，在 `keys/` 下创建 PKCS#1 JWT 签名密钥（如果不支持 `-RSAPublicKey_out`，则使用带 `-pubout` 的 LibreSSL 备用方案），然后拉取镜像并使用 `docker compose -f docker-compose.yml -f docker-compose.prod.yml --env-file .env.production up -d` 启动服务栈。最多等待 90 秒，直到 `http://localhost:3001/health` 返回 200；如果超时，请告诉我运行 `docker logs nyxid-backend`。如果日志显示 `SCRAM failure: Authentication failed`，表示 MongoDB 卷中保留了之前安装时的旧密码——请告诉我运行 `./scripts/uninstall.sh --yes`（或者如果检出目录已被删除，则运行 `docker volume ls --format '{{.Name}}' | grep -E 'nyx.*_mongodb_data$' | xargs -r docker volume rm`，移除所有名称含 nyx 的孤立卷）后重试。向我显示生成的 `ENCRYPTION_KEY`，以便我备份。 > 4. 告诉我打开 http://localhost:3000 并注册账号（开发模式下账号会自动验证，无需邮箱验证），然后等我确认已完成注册。 > 5. 确保 `nyxid` CLI 可用。如果尚未安装，请询问我是否想安装 `nyxid` CLI 和 Nyx 技能，以便之后通过终端操作 NyxID。说明安装程序会下载一个约 10 MB 的预编译二进制文件和一小组技能文件（无需 Rust 工具链），将 CLI 安装到支持回滚的版本化目录结构中；只有不受支持的 OS/架构组合才会退回到从 Rust 源码构建。如果我同意，请从头到尾按照 https://raw.githubusercontent.com/ChronoAIProject/NyxID/main/skills/INSTALL.md 中的安装清单操作（它会将 CLI 安装到 `~/.local/share/nyxid/` 下，把技能文件放到你的技能目录中，并提示你在需要时运行 `export PATH="$HOME/.local/bin:$PATH"`）。然后通过 `nyxid doctor` 验证，使用 `nyxid login --base-url http://localhost:3001` 登录，用 `nyxid service add llm-openai --credential-env OPENAI_API_KEY` 添加我的 OpenAI 密钥，并使用上一个 `service add` 命令在 `Slug:` 下打印的 slug 运行 `nyxid proxy request models` 进行验证（通常是 `llm-openai`；如果我已有同名 slug 的服务，则会附加后缀）。如果我不想安装 CLI，请引导我改为在 Web 控制台中添加同一个 OpenAI 凭据。 > 6. 最后，将我的 AI 工具连接到 NyxID 的 MCP 端点 `http://localhost:3001/mcp`。对于 Claude Code：`claude mcp add --transport http --scope user nyxid http://localhost:3001/mcp`。对于 Codex：`codex mcp add nyxid --url http://localhost:3001/mcp`。对于 Cursor：在 Web 控制台中打开 `Settings` > `MCP`，然后点击 `Install to Cursor`。

手动设置

想自行运行可选的后端设置，或需要完整的故障排查指南？请参阅 docs/SETUP.md（macOS、Linux，或通过 WSL 使用 Windows）。

其中包括：

• 系统预检 — 第 1 步
• 一键粘贴安装 — 第 2 步
• 注册账户 — 第 3 步
• 安装或验证 CLI
• 卸载和重新安装、孤立卷恢复和 SCRAM 故障排查

NyxID 运行后，并且你已在 http://localhost:3000 注册，请继续查看2. 选择工作流。

生产环境部署（TLS、自定义域名、电子邮件验证），请参阅 docs/DEPLOYMENT.md。

2. 选择工作流

拥有 NyxID 账户后，请选择符合你构建目标的工作流，并使用其指南要求的身份。每项工作流都是循序渐进的操作流程，最终会完成一个可用的集成；这些指南彼此独立，可按任意顺序完成。

快速入门	成果	NyxID 功能
在终端中运行 NyxBot	通过文本、文件或 stdin 提交提示词；使用第一方所有者登录，检查、等待或取消持久化任务。CLI 在本地运行，并使用托管或可自托管的 NyxID 实例。	所有者 CLI 和调用 API；需要启用服务器准入
n8n：使用一个 NyxID 凭据获取每日 AI 新闻摘要	n8n 工作流拉取 RSS 源，使用 Gemini 总结每篇文章，并发布到 Telegram——在 n8n 中使用一个 Header Auth 凭据，同时由 NyxID 存储上游 Gemini 和 Telegram 密钥。	按服务注入凭据
Claude Code 和 Codex 的独立 Agent 密钥	一台机器上的两个编码 Agent，分别限定于不同的服务和凭据，并在审计日志中独立记录。	Agent 隔离、限定范围的 Agent 密钥
从云托管 Agent 访问本地主机 API	云端 Agent 无需 VPN、端口转发或隧道服务，即可访问私有主机上的 API。	凭据节点、仅出站 NAT 穿透
将 REST API 封装为 MCP 工具	无需编写 MCP 服务代码，即可将 OpenAPI 规范公开为类型化 MCP 工具，供 Claude Code / Cursor / VS Code / Codex 使用。	OpenAPI → MCP 自动封装
将 Supabase 用作 AI Agent 数据库	Supabase 项目成为由凭据代理的 PostgREST 数据库，供限定范围的 AI Agent 使用。	按用户配置的端点 + 加密 API 密钥
连接 Cloudflare、Supabase Management 或 Railway	通过共享或自带的 OAuth 应用连接云账户，以限定范围访问管理 API。	PKCE OAuth、加密令牌和刷新

如需按界面查看参考操作指南，并在首次代理调用后得到 HTTP/1.1 200（Web UI · CLI · AI 驱动 · 直接 API），请参阅 AI 服务连接中心。

连接 AI 服务（界面参考）

《快速入门》中的选择工作流按使用场景组织。如需按界面查看参考指南，并通过你偏好的入口——Web UI、CLI、AI 驱动（MCP）或直接 API——完成一次经验证的代理调用（HTTP/1.1 200），请参阅 docs/connecting-services/。该中心区分外部服务凭据与 NyxID Agent 密钥，并为每种界面提供一个操作指南。

资源

主题	链接	描述
快速入门	docs/quickstarts/	端到端操作指南 — n8n、每个 Agent 独立的密钥、节点代理、MCP 封装
连接 AI 服务	docs/connecting-services/	添加你的第一个（或第 N 个）AI 服务 — Web UI / CLI / AI 驱动 / 直接 API
设置	docs/SETUP.md	可选的自托管后端 + 故障排查（macOS、Linux、通过 WSL 使用 Windows）
Nyxbot 入门指南	docs/NYXBOT_ONBOARDING.md	入门入口、现有集成和待定的后端契约
NyxBot CLI 和 API	docs/chat/09-owner-cli-api.md	所有者命令、调用生命周期、安全边界和推广
部署	docs/DEPLOYMENT.md	生产环境设置请从这里开始
AI Agent 指南	docs/AI_AGENT_PLAYBOOK.md	Agent 集成请从这里开始
架构	docs/ARCHITECTURE.md	系统设计和数据流
API 参考	docs/API.md	完整的端点文档
凭据节点	docs/NODE_PROXY.md	NAT 穿透设置
MCP 集成	docs/MCP_DELEGATION_FLOW.md	MCP 协议详情
SSH 隧道	docs/SSH_TUNNELING.md	通过 WebSocket 访问远程主机
安全	docs/SECURITY.md	威胁模型和加固
环境变量	docs/ENV.md	完整配置参考
遥测	docs/TELEMETRY.md	自愿参与的使用情况分析 — 热切换契约、事件分类、同意与 GDPR 数据删除
开发者指南	docs/DEVELOPER_GUIDE.md	本地开发环境设置

贡献

欢迎贡献。请参阅 CONTRIBUTING.md。

许可证

Apache-2.0