demipass

DemiPass

面向 AI Agent 的机密管理 SDK。让凭据远离上下文窗口。

DemiPass 是 Dustforge 身份平台的客户端 SDK。它提供 MCP 工具，教会 AI Agent（Claude Code、Codex 或任何兼容 MCP 的 Agent）如何处理机密，而不会将机密暴露在提示词、补全内容或日志中。

工作原理

1. 存储凭据 → DemiPass 在服务端对其加密
2. Agent 通过引用代码请求一个有效期为 30 秒的使用令牌
3. DemiPass 在服务端注入机密（SSH、HTTP 标头等）
4. Agent 获取执行结果，而不是机密本身

安装

npm install demipass

MCP 设置

添加到 .mcp.json：

{
  "mcpServers": {
    "demipass": {
      "command": "node",
      "args": ["node_modules/demipass/mcp-server.js"],
      "env": {
        "DEMIPASS_URL": "https://api.dustforge.com",
        "DEMIPASS_TOKEN": "your-bearer-token"
      }
    },
    "buoy": {
      "command": "node",
      "args": ["node_modules/demipass/buoy-mcp.js"],
      "env": {
        "BUOY_URL": "https://api.dustforge.com",
        "BUOY_TOKEN": "your-bearer-token"
      }
    }
  }
}

MCP 工具

DemiPass（机密）

工具	描述
demipass_store	存入机密——静态加密，且永不返回
demipass_ssh	通过引用代码进行 SSH——在服务端注入密码
demipass_use	在一次调用中完成令牌请求和执行
demipass_search	按名称、类型或提供商查找机密
demipass_list	列出所有机密（名称和元数据，不含机密值）
demipass_expiring	列出将在 N 天内到期的机密
demipass_rotate	轮换机密并传递上下文
demipass_rotate_blind	在服务端轮换密码——新密码绝不会进入 Agent 上下文
demipass_whoami	检查身份、信任等级和钱包状态
demipass_get_token	请求一个有效期为 30 秒的使用令牌
demipass_execute	兑换使用令牌
demipass_onboard	自助开通 Dustforge 账户
demipass_genesis_seed	获取 ODT 种子文档
demipass_genesis_submit	提交起源折射（永久）
demipass_genesis_verify	验证折射结果是否与起源匹配
demipass_genesis_status	检查创世状态

Buoy（时间锚定）

工具	描述
buoy_tick	记录时间锚点（开始、完成、交接、决策等）
buoy_verify	验证 tick 签名
buoy_chain_verify	验证链完整性
buoy_stats	tick 总数、连续记录天数、首次/最近记录
buoy_ledger	读取最近的 tick 历史记录

SDK 用法

const demipass = require('demipass');

demipass.configure({
  baseUrl: 'https://api.dustforge.com',
  bearerToken: 'your-token',
});

// Store a secret
await demipass.store({ name: 'my-api-key', value: 'sk-...', type: 'api_key' });

// SSH via ref code (password never in your code)
await demipass.ssh({ ref: 'DP-PWD-myserver-7f3a9c1e', target_host: '1.2.3.4', command: 'uptime' });

// Search secrets
await demipass.search({ query: 'openrouter' });

// Blind password rotation (new password never visible)
await demipass.rotateBlind({ ref: 'DP-PWD-old-ref', target_host: '1.2.3.4', reason: 'exposed' });

架构

DemiPass 是一个客户端 SDK——所有加密、存储和机密执行都在 Dustforge 服务端完成。此软件包提供：

• MCP 工具定义，包含行为说明，用于教会 Agent 使用该协议
• SDK 函数，用于封装 Dustforge API
• 自愈上下文——如果机密没有已批准的上下文，SDK 会自动创建一个
• 用于时间锚定和审计跟踪的 Buoy MCP 工具

机密保险库、信任梯度、速率限制及其他安全功能均在 Dustforge 中实现。请参阅 dustforge.com 查看平台文档。

引用代码

每个存储的机密都会获得一个路由引用代码：

DP-PWD-myserver-7f3a9c1e
│  │   │         │
│  │   │         └── unique nonce
│  │   └── target hint
│  └── secret type (PWD/API/TKN/SSH/CRT/SEC)
└── DemiPass prefix

可随意分享引用代码——它们是路由地址，不是机密。

链接

• 主页：https://demipass.com
• API：https://api.dustforge.com
• 保险库：https://demipass.com/vault-mobile.html
• GitHub：https://github.com/bildow/demipass
• 入门指南：ONBOARDING.md

许可证

MIT — AKStrapped LLC