Keyblind

Cofre de segredos criptografados para agentes de IA armazena chaves de API em AES-256-GCM e as resolve no tempo de execução do MCP, de modo que o texto simples nunca toque a transcrição do LLM.

GitHub

Experimente este MCPPatrocinado

Documentação

Keyblind — Cegue a IA para Suas Chaves

Cofre de segredos criptografados com MCP para agentes de IA. Segredos resolvidos em tempo de execução, nunca vazados para conversas de LLM.

Por quê

Desenvolvedores vazam regularmente chaves de API, senhas e tokens para ferramentas de codificação com IA. Mais de 100.000 conversas de LLM com segredos expostos foram encontradas indexadas por mecanismos de busca em 2025.

Agentes de IA leem seus arquivos .env. Eles copiam e colam segredos em conversas. Eles os commitam acidentalmente. O Keyblind impede isso mantendo os segredos criptografados em repouso e resolvendo-os em tempo de execução — o valor em texto puro nunca toca a transcrição do LLM.

Como Funciona

┌──────────┐     ┌────────────────┐     ┌─────────────────┐
│ AI Agent │ ──→ │  Keyblind MCP  │ ──→ │  Encrypted      │
│ (Claude) │     │  Server        │     │  SQLite Vault   │
│          │ ←── │  (16 tools)    │ ←── │  (AES-256-GCM)  │
└──────────┘     └────────────────┘     └─────────────────┘
      ↑                                        │
      │ secret value never appears             │ secrets never
      │ in conversation transcript             │ stored in plaintext

Início Rápido

# 1. Install
npm i -g keyblind

# 2. Initialize your vault
keyblind init

# 3. Auto-configure MCP for Claude Code (one command)
keyblind setup-mcp

# 4. Store secrets
echo "sk-proj-abc123" | keyblind set OPENAI_API_KEY
keyblind set DATABASE_URL -    # prompts securely

# 5. Sandbox your .env (AI agents see fakes)
keyblind sandbox

# 6. Resolve a secret
keyblind get OPENAI_API_KEY

# 7. Run commands with secrets injected as env vars
keyblind run -- npm start

# 8. List all secrets (names only, values hidden)
keyblind list

É isso. Após keyblind setup-mcp, reinicie o Claude Code. Depois é só dizer "liste meus segredos do keyblind" ou "use minha OPENAI_API_KEY" — o agente de IA resolve segredos em tempo de execução sem nunca vê-los na transcrição.

Servidor MCP

O Keyblind é MCP-first — funciona com toda ferramenta de IA que fala o Model Context Protocol (Claude Code, Cursor, Copilot, Windsurf, Cline, Zed).

Configuração (automática)

keyblind setup-mcp

Isso configura automaticamente o Claude Code para usar o Keyblind. Funciona de qualquer diretório. Para outros editores, veja configurações específicas por editor.

Configuração (manual)

Adicione um .mcp.json à raiz do seu projeto, ou use claude mcp add:

claude mcp add --scope user keyblind -- keyblind start

Com bloqueio biométrico (Touch ID exigido antes que os segredos sejam resolvidos):

keyblind unlock                      # Authenticate first
claude mcp add keyblind -- keyblind start --biometric

A sessão expira após 15 minutos. Requer licença Pro ou Team.

Ferramentas MCP

Ferramenta	Descrição
`resolve_secret`	Resolve um segredo em tempo de execução (valor oculto da transcrição)
`store_secret`	Criptografa e armazena um segredo
`list_secrets`	Lista nomes de segredos (valores nunca revelados)
`delete_secret`	Exclui um segredo
`sandbox_env`	Substitui valores de `.env` por falsos determinísticos
`unsandbox_env`	Restaura valores reais de `.env` do cofre
`audit_log`	Visualiza trilha de auditoria de resolução de segredos
`totp_code`	Gera um código TOTP 2FA para uma configuração armazenada
`totp_store`	Armazena uma configuração TOTP a partir de URI otpauth://
`totp_list`	Lista todas as configurações TOTP armazenadas
`totp_delete`	Exclui uma configuração TOTP
`create_share_link`	Cria link de compartilhamento criptografado e com expiração para um segredo
`receive_share`	Recebe e descriptografa um segredo compartilhado
`deadman_status`	Verifica o status do dead man's switch
`deadman_checkin`	Reinicia o temporizador do dead man's switch
`sso_status`	Verifica o status de autenticação SSO/OIDC

Painel Web

Gerencie seus segredos pelo navegador em app.keyblind.dev. Inicie o servidor HTTP:

keyblind start --http

Depois entre com sua chave de licença em app.keyblind.dev/login. Recursos:

Visualizar, adicionar, copiar e excluir segredos
Log de auditoria com histórico completo de acesso
Gerenciamento de licença
Status do plano Pro/Team

Extensão de Navegador

A Extensão Keyblind para Chrome detecta e bloqueia segredos de serem colados em interfaces de chat de IA (Claude.ai, ChatGPT, Copilot).

Recursos:

Detecta mais de 12 formatos de chave de API (OpenAI, GitHub, Stripe, AWS, etc.)
Intercepta eventos de colar em sites de chat de IA
Banner de aviso quando segredos são detectados
Popup com status de conexão do cofre

Localizada em browser-extension/. Carregue como extensão não empacotada a partir de chrome://extensions.

Preços

	Grátis	Pro	Team
Preço	$0	$79/ano	$29/usuário/mês
Segredos	5	Ilimitados	Ilimitados
Cofre local	✓	✓	✓
Sandbox / Unsandbox	✓	✓	✓
Servidor MCP	✓	✓	✓
Painel	✓	✓	✓
Extensão de navegador	✓	✓	✓
7 backends	✓	✓	✓
Cofres de equipe	—	✓	✓
Log de auditoria	—	✓	✓
Compartilhamento de segredos	—	✓	✓
Dead man's switch	—	✓	✓
TOTP 2FA	—	✓	✓
Bloqueio biométrico	—	✓	✓
SSO/OIDC	—	—	✓
Integração CI/CD	—	✓	✓

# Buy a license at keyblind.dev, then activate:
keyblind activate <your-license-key>

# Check your status
keyblind status

Backends

O Keyblind suporta múltiplos backends de segredos:

keyblind backends                          # List available backends
keyblind backend 1password                 # Switch to 1Password
keyblind backend bitwarden                 # Switch to Bitwarden

Backend	Leitura	Gravação	Requer
local (padrão)	✓	✓	Nada
1password	✓	✓	`op` CLI
bitwarden	✓	—	`bw` CLI
env	✓	—	Nada
aws	✓	✓	`aws` CLI
gcp	✓	✓	`gcloud` CLI
azure	✓	✓	`az` CLI

Keyblind vs Cloak

	Keyblind	Cloak
Protocolo	MCP (todos os editores)	Somente extensão VS Code
Editores	Claude Code, Cursor, Copilot, Windsurf, Cline, Zed	VS Code, Cursor
Armazenamento	AES-256-GCM SQLite	Arquivo AES-256-GCM
Backends	Local, 1Password, Bitwarden, Env, AWS, GCP, Azure	Somente local
Sandbox	Falsos HMAC determinísticos	Criptografado AES-256-GCM
Painel web	✓ (app.keyblind.dev)	—
Extensão de navegador	✓ (Chrome)	—
TOTP 2FA	✓	—
Compartilhamento de segredos	✓ (fragmento de URL criptografado)	—
Dead man's switch	✓	—
Touch ID	✓ (bloqueio biométrico macOS)	✓
CI/CD	`keyblind run` para injeção de env	—
Rede	Zero (totalmente local)	Zero
Licença	MIT	Proprietária
Plano gratuito	✓ (5 segredos)	✓
Pro	$79/ano (ilimitado)	—

Segurança

Criptografia AES-256-GCM com derivação de chave PBKDF2 (600 mil iterações)
Chave vinculada à identidade da máquina — chave de criptografia com XOR envolvido pela impressão digital da máquina
Zero rede, zero telemetria — sem nuvem, sem contas, sem analytics
Cofre armazenado em ~/.keyblind/ com permissões 0700
Falsos de sandbox determinísticos usando HMAC-SHA256 por projeto + nome da chave

Referência CLI

keyblind init                 Initialize the encrypted vault
keyblind set <name>           Store a secret (value from stdin)
keyblind set <name> -         Store a secret (prompts securely)
keyblind get <name>           Resolve and print a secret
keyblind list                 List all stored secrets
keyblind delete <name>        Delete a secret
keyblind setup-mcp            Auto-configure MCP for Claude Code
keyblind sandbox [.env]       Replace .env with deterministic fakes
keyblind unsandbox [.env]     Restore real .env values
keyblind run <command...>     Run command with secrets as env vars
keyblind start                Start MCP server (stdio — for AI agents)
keyblind start --http         Start MCP HTTP server (for dashboard)
keyblind start --biometric    Start MCP server with biometric requirement
keyblind backends             List available backends
keyblind backend <name>       Switch backend
keyblind activate <key>       Activate a Pro/Team license
keyblind deactivate           Remove current license
keyblind status               Show license and vault status
keyblind audit                Show secret resolution audit log
keyblind check --expired      List secrets past expiry
keyblind rotate <name>        Update a secret value
keyblind team init [path]     Create a shared team vault
keyblind team push <name>     Push a secret to team vault
keyblind team pull            Pull secrets from team vault
keyblind team list            List secrets in team vault
keyblind totp set <name>      Store TOTP 2FA config
keyblind totp code <name>     Generate current TOTP code
keyblind totp list            List all TOTP configs
keyblind totp delete <name>   Delete a TOTP config
keyblind share <name>         Create encrypted share link
keyblind receive <url>        Receive a shared secret
keyblind deadman setup        Configure dead man's switch
keyblind deadman checkin      Reset dead man's switch timer
keyblind deadman status       Show dead man's switch status
keyblind deadman disable      Disable dead man's switch
keyblind sso configure        Set up SSO/OIDC for team access
keyblind sso login            Authenticate via browser SSO
keyblind sso logout           Clear SSO session
keyblind sso status           Show SSO auth status
keyblind doctor               Run vault health check
keyblind generate <name>      Generate a strong random secret
keyblind import [.env]        Bulk import from .env file
keyblind export               Export all secrets
keyblind completions [shell]  Generate shell completion script

Desenvolvimento

git clone https://github.com/aarifmms/keyblind.git
cd keyblind
npm install
npm run build       # Compile TypeScript
npm test            # Run tests
npm run dev         # Watch mode

Licença

MIT