Heldkeys: kiểm tra xem AI agent bị chiếm quyền sẽ chạm tới những khóa nào trên server của bạn

Chạy AI agent trên server đang trở thành chuyện thường ngày: agent SSH vào máy, đọc log, chạy lệnh chẩn đoán, thậm chí tự sửa sự cố. Tiện thật, nhưng có một câu hỏi ít người tự hỏi trước khi giao chìa khóa cho agent: nếu agent bị prompt injection chiếm quyền, kẻ tấn công sẽ với tới những gì?

Agent chạy với quyền của user nào thì “nhìn thấy” đúng những thứ user đó nhìn thấy: biến môi trường, file .env, SSH key, session đăng nhập cloud, token của các công cụ AI khác. Một câu lệnh độc hại lọt qua prompt có thể đọc hết những thứ đó và gửi ra ngoài — mà bạn không hề hay biết.

Heldkeys là một CLI mã nguồn mở viết bằng Rust, ra mắt giữa tháng 10/2026, sinh ra để trả lời đúng câu hỏi đó. Nó chỉ đọc, không sửa gì, không gửi dữ liệu đi đâu, và không in secret ra màn hình — chỉ in “dấu vân tay” của các token công khai để bạn nhận diện.

Heldkeys quét những gì

Chạy trên máy cần kiểm tra, Heldkeys liệt kê các nhóm credential mà agent có thể với tới:

• Biến môi trường và file .env trong thư mục hiện tại.
• Login cloud CLI: AWS, gcloud, Azure, kubeconfig.
• Login của các công cụ AI: Codex, Claude Code, Gemini CLI, Copilot.
• SSH key và token nằm trong cấu hình MCP server.
• Khi chạy trong sandbox hoặc CI: Docker socket, Kubernetes service account token, OIDC, cloud metadata endpoint.

Nói cách khác: đúng những thứ một agent “ngồi cùng máy” có thể đọc được.

Cài đặt và chạy

Heldkeys là một binary Rust duy nhất, không cần cài đặt rườm rà. Trên macOS/Linux, cách nhanh nhất là qua Homebrew:

brew install hugomn/tap/heldkeys
heldkeys

Báo cáo in ra terminal theo từng nhóm: loại credential nào tìm thấy, ở đâu, mức độ rủi ro ra sao. Không có secret nào bị in nguyên văn — chỉ có fingerprint để bạn đối chiếu với kho secret của mình.

Đọc báo cáo như thế nào

Đừng đọc báo cáo theo kiểu “có bao nhiêu dòng đỏ”. Hãy đọc theo 3 câu hỏi:

1. Agent có cần những credential này không? Nếu agent chỉ đọc log mà máy lại chứa AWS key production thì đó là vấn đề về phân quyền, không phải vấn đề của agent.
2. Credential nào tồn tại ngoài ý muốn? File .env cũ từ dự án đã bỏ, SSH key của người đã nghỉ việc, session cloud từ tháng trước — dọn chúng đi.
3. Cái nào có thể thu hẹp phạm vi? Key production nên đổi thành key chỉ đọc, hoặc tách sang máy riêng; agent chạy bằng user riêng với quyền tối thiểu.

Sau khi dọn, chạy lại Heldkeys để xác nhận báo cáo đã sạch — đây là vòng lặp đúng đắn: quét, dọn, quét lại.

Chế độ CI: chặn agent nguy hiểm ngay từ pipeline

Điểm đáng giá nhất với sysadmin là chế độ ci. Trong GitHub Actions, Heldkeys soi các bước chạy agent và cảnh báo những cấu hình rủi ro, ví dụ:

• Agent chạy trên trigger mà ai cũng kích hoạt được (ví dụ pull_request_target từ fork).
• Token có quyền ghi trong khi agent chỉ cần đọc.
• Action không ghim phiên bản (unpinned action).

Đặt bước này trước các job chạy agent, pipeline sẽ fail sớm thay vì để agent chạy trong môi trường thừa quyền.

Những gì Heldkeys không làm

• Nó không sửa quyền, không xoay key, không vá prompt injection — nó chỉ cho bạn thấy bề mặt tấn công.
• Nó không phát hiện secret nằm trong bộ nhớ của tiến trình đang chạy hay trong lịch sử shell đã mã hóa.
• Báo cáo sạch không có nghĩa là an toàn tuyệt đối — chỉ nghĩa là những chỗ phổ biến đã được kiểm tra.

Lời khuyên thực tế cho sysadmin

1. Chạy agent bằng user riêng, quyền tối thiểu, không dùng chung user deploy hay root.
2. Tách credential theo môi trường: agent trên staging không được chạm key production.
3. Đưa Heldkeys vào checklist trước khi bật agent mới trên server, và vào CI cho mọi repo có job chạy agent.
4. Xoay key định kỳ — key nào agent từng thấy thì coi như đã lộ, dù chưa có sự cố.

AI agent là cộng sự đắc lực, nhưng cộng sự nào cũng cần được kiểm tra xem nó đang cầm những chìa khóa nào. Heldkeys giúp bạn làm việc đó trong vài giây, trước khi một prompt độc hại làm thay bạn.