RFC：新增 ov privacy run，让 agent 默认不把密钥带进上下文

[ZaynJarvis]

TL;DR：参考 1Password 的 op run，为 OpenViking CLI 新增 ov privacy run。CLI 在内部解析 privacy 引用，把密钥以环境变量形式交给目标程序，并默认对输出做尽力脱敏。这样 agent 有一条便捷的默认路径，不必先拿到明文。这项改动只用来防止 agent 无意中把密钥泄漏进上下文，不是安全沙箱。

背景

目前 OpenViking CLI 中，privacy reference 返回引用，resolve 返回明文。agent 如果单独调用 resolve，明文会出现在工具输出里，随后进入模型上下文，也可能留在日志和会话历史中。多数情况下 agent 只是想"用这个密钥跑一个命令"，并不需要看到密钥本身。目前缺少一个把取值和执行合在一起的专用命令。

提议

新增 ov privacy run，用法与 op run 类似：

• CLI 在内部解析引用，在运行时把密钥注入目标程序的环境变量，明文不经过 agent；
• 默认对子进程的 stdout/stderr 中出现的密钥做尽力脱敏；
• 在 help 和相关提示中引导 agent 优先使用 run，只在确实需要明文时才用 resolve。

可以参考 1Password CLI：op run 支持运行时环境变量注入，并默认遮蔽输出中的密钥，同时 op read 仍可返回明文。两种命令并存，各自适用不同场景。我们的思路相同：resolve 保留，只是不再作为默认选项。

边界说明

这项改动的作用是引导 agent 不误操作，而不是提供安全隔离。子进程仍然持有密钥。普通的 echo 输出可以尝试脱敏，但子进程仍可通过编码、写文件或网络外传绕过输出脱敏。它也防不了爆破或刻意绕过。我们的目标是让正确的做法成为最省事的做法，从而减少无意泄漏。

欢迎讨论命名、默认行为，以及 help 文案该怎样引导 agent。

参考：1Password op run 官方文档。

[ZaynJarvis]

@MaojiaSheng @yeshion23333

[t0saki]

我们这边在做同一个方向的另外两层，RFC 发在 #7335：Gateway 把发往模型厂商的内容里已登记的密钥换回引用，Claude Code 插件用 hook 把带引用的命令交给一个 runner 执行。

那个 runner 做的事和这里的 ov privacy run 相同（取值、环境变量代入、执行、输出遮罩），所以两边可以合到一处：ov privacy run 落地后，插件的 hook 改为调用它，没有 hook 的 harness 也能让模型直接用。

要让插件能切过去，希望 ov privacy run 在设计时考虑这几点：

1. 输入形态。 除了 op run 那种“环境变量的值写成引用”，是否支持命令文本里内嵌引用。模型更习惯直接把引用写进 curl -H "Authorization: Bearer {{…}}"。我们的做法是按引号上下文把引用改写成 ${OV_SECRET_n} 展开，不把真值拼进命令文本。
2. 遮罩换回引用，而不是 [REDACTED]。 输出里的值换回它的 privacy 引用，模型能看出是哪个密钥被回显了，也和 Gateway 封存的结果字节一致。
3. 取不到值不执行。 任何一个引用解析失败就以非零码退出，错误信息里只有引用。
4. 跨块遮罩。 输出分块到达时，被切在两块之间的值也要遮住。
5. Shell 选择。 被 harness 调用时，和 harness 的 Bash 工具用同一个 Shell。
6. 权限规则。 用户一旦放行 ov privacy run *，就等于放行任意内层命令。我们在 Claude Code 上的处理是让原命令的每一段仍然过一遍权限规则，细节在 RFC 附录 A。

resolve 保留但不作为默认，这一点和我们的建议一致。

[Sadrak2017]

建议补一个密钥轮换中的回显用例：子进程启动时解析为旧值，运行期间密钥更新，随后进程输出旧值。遮罩应覆盖本次执行实际解析的值，而不能只查最新值。我们在 SinapsData 开发 Sinaps Studio 时使用受保护的凭据引用，这种“引用版本—执行—脱敏”的关联很有参考价值。每次 run 是否会固定仅在内存保存的遮罩集合，并在进程结束后清理？