Go工具Unspill：扫描AI编程助手历史记录中的凭证泄露

Reddit原帖截图

AI编程助手正在成为开发者的日常伙伴，但很少有人意识到：Copilot CLI、Claude Code、Codex这些工具会在本地留下完整的对话历史和操作记录。当你在对话中粘贴API密钥、数据库密码或令牌时，这些敏感信息可能已经以明文形式落盘。一位开发者为此写了一个名为Unspill的Go语言CLI工具，专门扫描这些本地历史记录，查找泄露的凭证。

Unspill是什么：本地优先的凭证扫描器

Unspill的核心设计原则是「本地运行、零网络请求」。它直接读取Copilot CLI、Claude Code和Codex等工具在本地存储的历史文件，用模式匹配的方式识别潜在的凭证泄露，并在报告中自动对敏感值进行脱敏处理。作者在Reddit帖子中强调，工具不会悄悄跳过无法解析的格式，而是明确报告「无法完整扫描」的状态——这个设计选择值得肯定，因为安全工具最危险的失败模式就是静默漏报。

从功能定位看，Unspill解决的是一个真实存在的盲区。开发者习惯用AI助手处理各种任务，包括调试配置、编写部署脚本、询问数据库连接问题，这些场景中粘贴真实凭证的概率远比想象中高。而这些历史记录通常以JSON或纯文本形式存放在用户目录下，既没有加密，也不在常规的密钥扫描工具（如gitleaks、trufflehog）的覆盖范围内。

为什么AI编程助手的历史记录需要单独扫描

传统密钥扫描工具主要面向Git仓库，通过正则匹配和熵值分析来发现提交中的凭证。但AI编程助手的本地历史完全是另一个场景：

格式不统一。每个工具的历史存储格式不同，Claude Code的会话记录、Copilot CLI的交互日志、Codex的本地缓存，结构差异很大。Unspill需要为每种格式单独适配，这也是作者坦言「格式支持仍在进行中」的原因。

上下文噪音高。对话记录中混杂着代码片段、错误信息、自然语言解释，凭证可能以各种变形出现——被引号包裹、嵌在JSON字符串里、或者作为curl命令的一部分。简单的正则表达式容易产生大量误报。

不在版本控制中。这些文件只存在于本地，不会出现在代码审查或CI流水线里，团队的安全扫描完全触及不到。一个开发者在本地对话中泄露的测试环境密钥，可能在数月内无人察觉。

gitleaks 与 trufflehog 的工作方式：这两款工具是 Git 仓库密钥扫描的事实标准。gitleaks 通过可配置的正则规则集匹配已知凭证模式（如 AWS Access Key、GitHub Token 的固定前缀），并支持对高熵字符串的启发式检测；trufflehog 则以「验证器」机制著称，能对扫到的候选凭证发起只读 API 调用，确认其是否仍然有效，从而大幅降低误报。二者都依赖 Git 提交历史作为输入源，扫描的是「已经进入版本控制的内容」。这也解释了它们的盲区：AI 助手的本地会话文件既不经过 commit，也不在 CI 的检出范围内，自然不会被这些工具看到。Unspill 在方法上更接近前者——纯本地模式匹配，不做网络验证，这也是它能够承诺「零网络请求」的前提。

工具设计中的取舍与透明度

Unspill在报告策略上做了一个明确的选择：脱敏展示。扫描结果中不会完整回显发现的凭证值，而是用遮蔽形式呈现，降低报告本身成为二次泄露源的风险。这对于需要分享扫描结果给团队或提交issue的场景很实用。

另一个值得注意的细节是作者对「不完整扫描」的诚实态度。很多工具在遇到不支持的格式时会静默跳过，用户误以为「没有发现问题」等于「没有问题」。Unspill明确告知用户哪些内容没有被完整检查，这种透明度在安全工具中至关重要——它把不确定性交还给用户，而不是替用户做出乐观假设。

作者在帖子中提供了包含假凭证的演示仓库，让用户可以在不暴露真实历史的前提下体验工具。这种「先试后用的」的开放态度，也反映出项目仍处于早期阶段，作者正在积极收集反馈，询问用户「什么让人困惑、什么缺失、什么没用」。

脱敏（redaction）在安全报告中的意义：安全扫描工具的输出本身可能成为泄露渠道。如果报告完整回显了发现的密钥，那么这份报告一旦被粘贴到 issue、聊天群或工单系统，就等于把凭证又扩散了一次。常见的处理方式有两种：一是只显示前后若干字符（如 sk-…a1b2），二是仅显示哈希或位置定位（文件路径 + 行号 + 匹配规则名）。前者便于人工快速判断是否为误报，后者则更保守。需要注意的是，部分遮蔽仍可能泄露长度、前缀等元信息，对于高敏感环境应优先采用纯定位式报告。Unspill 选择遮蔽形式呈现，属于在可用性与安全性之间的折中。

局限与适用场景

Unspill目前仍是一个个人项目，格式支持的覆盖面有限。如果你日常使用多种AI编程工具，可能需要确认目标格式是否已被覆盖。此外，模式匹配的扫描方式天然存在漏报和误报的可能，它更适合作为一道「快速自查」的防线，而非替代完整的密钥管理方案。

从更广的视角看，这类工具的出现提醒我们：AI助手带来的数据留存问题正在从「对话隐私」延伸到「凭证安全」。当开发者的工作流越来越依赖这些工具时，本地历史记录的管理和清理应该成为安全实践的一部分。Unspill的价值不仅在于它能扫出什么，更在于它把这个问题摆到了台面上——你的AI助手记得你说过的一切，包括那些不该被记住的东西。

对于想尝鲜的开发者，建议先用演示仓库验证工具行为，再对真实历史运行扫描，并对报告中的「无法扫描」条目逐一确认，避免产生虚假的安全感。