печь для секретов
ATHANOR
Секреты остаются вне исходников и прямых ответов инструментов, пока доверенные команды используют их внутри процесса.
Как работает Athanor
Запечатать
Секрет шифруется age-ключом через sops. Значение никогда не касается диска в открытом виде — ни при чтении, ни при записи.
Ограничить
Манифест athanor.yaml решает, какой секрет можно получить напрямую (expose), а какой — только передать доверенной команде.
Передать
Агент вызывает run_with_secrets — секрет попадает в окружение процесса. Если команда сама его напечатает, вывод вернётся агенту.
гримуар