Agent Blast Radius

Agent Blast Radius

以你的身份运行的 Agent 能访问哪些内容？ blast 会扫描以你的身份运行的编码 Agent 可读取的位置——云配置文件、点文件、项目 .env 文件、CI 配置、MCP 服务——并告知你暴露了哪些内容、为其评分，还会生成一张可分享的卡片。它离线运行、只读，绝不打印密钥值。你也可以选择使用 blast verify 检查这些凭据中哪些仍然有效，并用自己的钱包按次付费。

npx -y @kloudle/[email protected]          # scan + share card (free, offline)
npx -y @kloudle/[email protected] verify   # which keys work? (paid, optional)

了解更多：abr.kloudle.dev · 每种 Agent 的分步指南：abr.kloudle.dev/install · Agent 付款：abr.kloudle.dev/agent-payments

在 Agent 运行的位置安装

位置	方法
任意终端	npx -y @kloudle/[email protected] · brew install makash/tap/blast · curl -fsSL https://abr.kloudle.dev/install.sh | sh
Claude Code	/plugin marketplace add makash/agent-blast-radius 然后 /plugin install agent-blast-radius@kloudle
Codex（CLI 和应用）	codex plugin marketplace add makash/agent-blast-radius 然后 codex plugin add agent-blast-radius@kloudle
Claude Desktop	下载 agent-blast-radius-0.3.1.mcpb 并打开
Cursor	添加到 Cursor · 指南
VS Code	在 VS Code 中安装 · 指南
Devin Desktop（Windsurf）、Cline、Zed、任意 MCP 客户端	{"mcpServers":{"blast":{"command":"npx","args":["-y","@kloudle/[email protected]","mcp"]}}}
Agent Skills	npx skills add makash/agent-blast-radius
规则文件	Cursor · Devin Desktop / Windsurf · Cline

发布二进制文件和 SHA256SUMS 位于 Releases：适用于 macOS 和 Linux，支持 ARM64 和 AMD64。它们未经代码签名或公证；请验证校验和。npm 启动器和 install.sh 会为你完成验证。npx 需要 Node.js 22+。

扫描

• 报告凭据类型、位置、SHA-256 指纹、本地范围提示以及配置的 MCP 可达性。绝不报告凭据值。
• 不发起网络请求，不执行任何 MCP 服务，不上传任何内容，也没有遥测。
• 默认写入一张 1080 × 1350 PNG 卡片和分享文本（--anonymous 会移除你的用户名，--no-card 会跳过文件）。绝不会覆盖现有文件。
• 评分是暴露风险估算，并不能证明凭据有效或已遭泄露。

作为 MCP 服务（blast mcp），它提供 blast_radius、explain_credential 和 blast_card（只读、离线），以及下文介绍的验证工具。

哪些凭据仍然有效？blast verify

扫描无法分辨已失效的密钥和仍然有效的密钥。blast verify 会：

1. 统计符合条件的发现项（AWS 配置文件；环境中的 OPENAI_API_KEY / ANTHROPIC_API_KEY），并在 abr.kloudle.dev 创建一项声明，其中仅包含类别计数，例如 aws-sts-identity:2；
2. 显示价格——每次检查收费 $0.10 USDC，使用 Algorand——以及一个代码，并提供两种使用你自己的钱包付款的方式：通过 Agent 的 x402 钱包工具（例如 GoPlausible 的 algorand-mcp），或打开浏览器链接，在 Pera、Defly 或 Lute 中批准付款；
3. 付款后，获取一份由 Ed25519 签名的清单，在你的机器上使用精简环境运行检查（aws sts get-caller-identity、服务提供商的模型列表探测），并将每项发现报告为有效、已拒绝或错误。

blast verify --open            # open the pay page and wait
blast verify --claim <id>      # collect later (claims survive restarts for 30 days)
blast verify --list            # unfinished claims on this machine

MCP：blast_verify_quote → 付款 → blast_collect。付款不可撤销。 需要钱包？abr.kloudle.dev/wallet。

**绝不会发送：**凭据值、配置文件名称、环境变量名称、文件路径、扫描输出。请参阅 abr.kloudle.dev/privacy。

许可证

专有 — 详见 LICENSE.txt。可免费用于检查你拥有或获准评估的设备和账户。第三方声明： THIRD_PARTY_NOTICES.txt。扫描器源代码为私有；此仓库分发二进制文件、npm 启动器的元数据、插件、技能和规则。