前言：AI Agent能通过echo一句命令读取终端环境变量，API Key安全在Agent时代面临全新威胁模型。本文剖析npm供应链攻击如何窃取密钥，解释环境变量真正防的是什么，并给出临时密钥、最小权限、密钥管理服务等实操方案，让被偷走也无所谓。

AI让我把Key设到终端里，说这样更安全。它没骗我，但我差点就信了

前两天用Devin干活，要接一个API，得给它一个TYPESAFE_API_KEY。

我在对话框里刚敲了半个字，它先把话拦下来了，给了我三个选项。

第一个，你自己在终端里设置，set TYPESAFE_API_KEY=ts_xxx，它特意标了个（推荐，key 不经过对话）。

第二个，把key直接发它，它跑完即弃，不写进任何文件。

第三个，发到对话里，它用环境变量的方式注入运行，同样不落盘。

我当时盯着那个「推荐」看了两秒，第一反应是，哦，那肯定选第一个啊，key都不经过对话了，多安全。

然后我愣了一下。

等等，不对劲。。。

这哥们儿，是能在我终端里执行任意命令的。我把key设置在它跑命令的同一个终端里，跟把钥匙塞进它口袋里，有什么区别？

你大可以现在就打开终端试一下。export TYPESAFE_API=tS12345，然后敲一句echo $TYPESAFE_API。

完整的值，明明白白打印出来。

而Agent拥有的，就是这同一个终端的最高权限。它想读，一句echo就够。它甚至懒得echo，随便写两行代码，Node里遍历一遍process.env，Python里翻一下os.environ，你机器上所有带KEY、TOKEN、SECRET字样的变量，一锅端。

所以第一种方式，防不住Agent读key，一丁点都防不住。

这事我一开始想得特别简单，觉得环境变量这玩意儿就是个安慰剂，看起来安全，实际裸奔。这个结论我在脑子里放了大概三秒钟，然后觉得，不对，好像也不是这么回事。

因为环境变量这个东西，软件行业用了几十年了，还真不是拍脑袋定的。2011年有个叫Twelve-Factor App的方法论，把配置和代码分离列成云时代应用的基本原则，密钥走环境变量就是那条标准答案。要是纯安慰剂，不可能全世界用到现在。

那它到底防的是什么？

我顺着这个疑问往下捋，发现环境变量的安全，从来就不是防「运行时有人偷看」的。它防的是另一件事，代码泄露。

你想想看，如果没有环境变量，密钥写哪？写在代码里。写在代码里，就会跟着git push进仓库。仓库一旦公开，或者哪天一个内部仓库权限配错了，全网白送。这是现实中密钥泄露的最大来源，没有之一。环境变量最大的功劳，就是把密钥从代码里拎出来，逼着你把「代码」和「机密」拆开。

CI里还有一层兜底，GitHub Actions这种系统，你注册过的secret，不管哪个环节把它打印到日志里，都会被自动替换成***。日志系统帮你拦着。

所以环境变量不是没用，它的安全有前提，你机器上跑的东西是可信的。

问题就出在这。Agent时代，这个前提松动了。

我不是吓唬你，运行时偷环境变量这事，早就不是假想敌了。今年6月，AI Agent开发框架Mastra的npm生态出了一次供应链攻击，88分钟之内，144个包被重新发布，攻击者往里面塞了一个仿冒dayjs的恶意依赖，装包的时候自动执行脚本，扫你的进程环境变量，专挑OPENAI_API_KEY、ANTHROPIC_API_KEY、AWS_ACCESS_KEY_ID、GITHUB_TOKEN这些下手，加密之后传到攻击者自己的服务器。