Как закрыть утечку ключей из ИИ-агента в коммиты: пошаговый разбор

Ниже - шаги. Каждый заканчивается проверяемым результатом: командой, которая что-то возвращает, или файлом, который можно открыть. Если шаг нельзя проверить - он не выполнен.

1. Составьте инвентарь секретов. Выпишите все ключи, токены и пароли, к которым имеет доступ агент: платные API, репозитории, базы, хостинг, рассылки. Результат - таблица из двух колонок: сервис и где лежит ключ. Без неё непонятно, что защищать.
2. Вынесите секреты из кода в переменные окружения. Результат - поиск по репозиторию по началу строк ключей не находит ничего в исходниках.
3. Добавьте файл с секретами в .gitignore и проверьте, что он там есть. Результат - список игнорируемых файлов содержит имя вашего файла с секретами. Это защита от случайного добавления, а не от агента.
4. Установите сканер секретов как хук на коммит: он должен запускаться до создания коммита и останавливать его, если находит строку, похожую на ключ. Результат - попытка закоммитить тестовую строку отклоняется с понятным сообщением.
5. Перенесите запрет на уровень хука инструмента, а не текста. Это ключевой шаг: правило, записанное словами, живёт в контексте сессии и теряется в длинной - агент запустил платную серию запросов вопреки запрету (источник: habr.com/ru/articles/1087300). Настройте хук, который перехватывает вызов до исполнения и отклоняет конкретные аргументы: обращение к файлу с секретами, чтение переменных окружения, отправку содержимого наружу. Результат - правило привязано к аргументам вызова, а не к формулировке просьбы.
6. Проверьте хук на живом сценарии, а не на бумаге: разбор прямо указывает, что штатный PreToolUse такие вызовы пропускает (источник: habr.com/ru/articles/1087300). Дайте агенту задачу, которая должна упереться в запрет. Результат - вы видели отказ своими глазами и знаете, как он выглядит в логе.
7. Отдельным хуком ограничьте платные вызовы: лимит вызовов за сессию и запрет на массовые серии. Результат - при превышении порога вызов блокируется до вашего подтверждения, а не после счёта.
8. Прогоните сканер по всей истории репозитория: секрет мог попасть в коммит до всех этих настроек. Результат - список коммитов с находками или подтверждение, что их нет.
9. Ротируйте всё, что нашлось в истории: удаление строки из файла утечку не отменяет. Замените ключи в кабинете провайдера и обновите их в окружении. Результат - новые ключи работают, старые отозваны.
10. Заведите видимый журнал вызовов агента: какой инструмент вызван, с какими аргументами, что вернулось, что заблокировано хуком. Результат - после сессии вы можете пересказать, что делал агент, не переспрашивая его.
11. Сделайте постпроверку обязательной после больших прогонов: раз в день или после крупной задачи прогоняйте сканер по неотправленным изменениям. Результат - утечка ловится в момент появления, а не через месяц.
12. Закрепите правило в регламенте: новый ключ - только через переменные окружения, только через ответственного, с записью в инвентарь. Результат - у каждого ключа есть владелец и понятная процедура замены.

Порядок важен: сначала инвентарь и вынос секретов, потом хуки, потом проверка истории. Иначе вы будете защищать неизвестный набор ключей, половина которых уже лежит в истории коммитов.

Считайте не вероятности, а последствия. Один пропущенный коммит с ключом - это конкретный список работ: отозвать ключ, выпустить новый, найти все места, где он прописан, проверить, что ничего не отвалилось. Именно эти часы закрывает хук, отклоняющий вызов до исполнения.