Mandu

嗨，Product Hunt！我是 Mandu Security 的 Byoungyoung。

编码智能体在工作时 会读取你的文件：.env、SSH 密钥、云端登录凭据。一旦某个密钥被读取，它就会随每一次请求发送给 AI 提供商；智能体掌握的任何内容，都可能被发往命令中指定的任意服务器。常见的解决方案是阻止智能体读取 .env。这样密钥不会被带出去，智能体也无法使用它。

Mandu 采用了另一种方式。AI 拿到的是一个占位符，例如 $MDU:nomodel_Read[9bbd].STRIPE_KEY，可以随意传递并填入命令。当命令被发送到规则允许的主机（假设是 api.stripe.com）时，Mandu 会在发出请求前填入真实密钥；发送到其他任何地方时，请求都会在控制面板中等待你批准。你仍然可以在智能体的回复中看到真实值。

我们在设计时非常看重以下几点：

• 无需更改你的智能体。输入 `mandu claude` 或 `mandu codex` 即可运行。它会使用智能体自身的登录凭据，也支持 Claude Pro 和 Max。

• 仅在本地运行。无需账号，不使用 Mandu 服务器，也不收集遥测数据；所有内容都保存在 ~/.mandu 中。

• 不需要 root 权限。它以当前用户身份运行，并在内核支持的情况下添加内核加固措施（seccomp、Landlock）。如果无法作出判断，它会默认拒绝执行。

• 开源，采用 Apache-2.0 许可证，基于我们在智能体安全方面的研究（DualView，arXiv:2607.03821）。

我们进行了实测：选取 15 项涉及密钥的日常任务（提交漏洞报告、排查支付错误、将 .env 迁移到托管平台等），并使用 Claude Code 对每项任务实际运行 3 次。Mandu 在 44 次运行中有 43 次成功保护密钥并完成任务；在全新安装且未做任何设置的情况下，45 次运行中有 41 次成功。表现次优的配置完成了 45 次中的 27 次。任务由我们挑选，我们也根据这些任务此前的运行结果对 Mandu 进行了调优，因此请据此谨慎看待结果；测试方法和所有结果均已发布在代码仓库中。

它做不到的事情：在默认保护模式下，Mandu 无法防御提示注入。网页仍可能引导智能体采取行动；Mandu 所保护的是密钥的流向。它优先支持 Linux，macOS 版本仍处于实验阶段。

想问你两个问题：你的智能体会接触哪些最令你担忧的密钥？接下来我们应该优先支持哪个智能体？