balmas-mcp

balmas-mcp

你的 AI Agent 可以读取所有内容。这个网关会改为向它提供脱敏副本。

为什么

AI Agent 正在获得文件访问权限，而且它们会过度读取。以色列隐私保护局在关于 AI Agent 的指导意见中直言不讳：一个负责整理邮件的 Agent 可能会为了处理一项为期 2 年的任务，分析 15 年的通信记录，顺带推断你的健康和财务状况，并泄露它学到的信息。他们的建议是：严格限制权限——只读、使用专用文件夹、仅提供必要的最少数据。

balmas-mcp 将这项建议转化为代码，并更进一步：它不仅限制 Agent 读取哪些文件，还会减少文件内容中的信息。

工作原理

1. 你将文件夹加入允许列表。 Agent 无法访问其他任何内容——通过 realpath 检查强制执行，而不是依赖君子协定。
2. 每次读取都会在本地进行匿名化。 姓名、身份证号、电话、电子邮件、公司和金额都会变为一致的标记（PERSON_001、ID_001），然后才会返回内容。秘密信息也一样： API 密钥（OpenAI、Anthropic、GitHub、AWS、Stripe、Slack……）、JWT、私钥块、password: 值和 .env 凭据在每个级别都会变为 SECRET_001，并且永远不会由 restore_text 写回。同一个人在每个文件中都是 PERSON_001，因此 Agent 的推理始终连贯。检测在此进程中运行——采用确定性模式、词库和校验和（包括以色列身份证号）。支持希伯来语和英语。
3. 答案会恢复为真实内容。 restore_text 会在 Agent 的最终输出中将标记替换回原始值——整个过程都在本地进行。

只读是设计原则：服务完全不提供写入工具。

快速开始

1. 在 balmasai.com/signup 创建免费账户（每月免费处理 10 份文档）。
2. 在 balmasai.com/app/team 创建 API 密钥（bk_...）。
3. 添加到你的 MCP 客户端配置中（以下以 Claude Desktop 为例；Cursor 等客户端的配置方式相同）：

{
  "mcpServers": {
    "balmas": {
      "command": "npx",
      "args": ["-y", "balmas-mcp", "/Users/me/Documents/work", "--level", "strict"],
      "env": { "BALMAS_API_KEY": "bk_..." }
    }
  }
}

**选项：**将允许的文件夹作为位置参数传入（必填，至少一个） · --level standard|strict|maximum（默认 strict）。

工具

工具	Agent 获取的内容
list_files	允许的文件夹中的名称、大小和类型——绝不包含文件内容
read_clean_file	经过本地匿名化的文件文本
restore_text	将真实值还原到输出中（仅限会话标记）

支持的输入格式：txt csv md docx xlsx pptx pdf（文本层）。

隐私模型

	会离开你的设备吗？
文件内容	绝不会
文件名 / 路径	绝不会
替换映射	绝不会
计量计数器（文件类型 + 项目数量）	会——仅此而已

每读取一个文件，都会计为账户月度配额中的一份文档（免费版 10 / PRO 200 / TEAM 1,000）。所有处理都在本地进程中完成。

坦诚说明限制

• 仅当 Agent 通过网关读取文件时，网关才能提供帮助——应当用它替代原始文件系统访问，而不是同时授予两者。
• 检测采用确定性方式：效果出色，但并非无所不知。对于风险较高的场景，请检查输出。
• 扫描版 PDF（没有文本层）需要通过 balmasai.com/clean 使用 OCR 工作流。

---

由 BALMAS AI 构建——敏感数据止步于此。 文档：balmasai.com/mcp