Cloakroom verbirgt Geheimnisse vor KI-Coding-Agenten, bevor diese sie sehen

Shanjeev Rajendran hat Cloakroom veröffentlicht, ein Open-Source-Dienstprogramm, das API-Schlüssel, Passwörter und personenbezogene Daten (PII) auf lokalen Rechnern maskiert, bevor KI-Coding-Agenten diese verarbeiten. Das Tool wurde im November 2026 auf GitHub veröffentlicht und integriert sich direkt in beliebte Agenten wie Claude Code, Codex CLI, Gemini CLI und Cursor, um versehentliche Lecks von Geheimnissen während des Entwicklungsprozesses zu verhindern.

Was passiert ist

Entwickler verlassen sich zunehmend auf KI-Coding-Agenten, die Dateien lesen, Befehle ausführen und Code generieren. Dies birgt das erhebliche Risiko, dass sensible Zugangsdaten oder private Daten, die in Repositorien eingebettet sind, an externe Modelle weitergegeben werden. Cloakroom begegnet diesem Problem, indem es als Zwischenschicht fungiert, die die Datenströme scannt, die in diese Agenten hinein- und aus ihnen herausfließen. Es identifiziert Geheimnisse und PII mithilfe von Musterregeln und einem lokalen Erkennungsmodell und ersetzt echte Werte durch sitzungsspezifische Platzhalter wie PII_SECRET_1, bevor der Agent sie überhaupt sieht.

Das Tool arbeitet vollständig auf dem Rechner des Nutzers, sodass keine Rohgeheimnisse die lokale Umgebung verlassen, außer beim einmaligen initialen Download des Erkennungsmodells. Wenn der KI-Agent Dateien schreibt oder Befehle ausführt, die diese Platzhalter enthalten, fängt Cloakroom die Ausgabe ab und stellt die ursprünglichen echten Werte wieder her, unmittelbar bevor sie auf die Festplatte geschrieben oder in der Shell ausgeführt werden. Diese bidirektionale Maskierung ermöglicht es Entwicklern, KI-Assistenten zu nutzen, ohne ihre Codebasen manuell zu bereinigen oder das Risiko einer Offenlegung von Zugangsdaten durch Prompt-Injection oder versehentliche Kontexteinbindung einzugehen.

Die Installation variiert je nach Agent. Für Claude Code auf Mac, Windows oder Linux installieren Nutzer ein Plugin, das das Cloakroom-Programm bootstrapt. Für Codex, Gemini CLI und Cursor auf Mac und Linux wird das Tool über den Python-Paketmanager uv installiert. Das System umfasst Sicherheitsmechanismen, bei denen Agenten ihre eigenen angehaltenen Aufrufe nicht genehmigen oder die Hooks deaktivieren können; dies erfordert eine explizite Bestätigung des Nutzers über Terminalbefehle für alle blockierten Aktionen.

Wie es funktioniert

Cloakroom funktioniert, indem es Hooks in die Tool-Aufruf-Pipeline des Agenten injiziert. Wenn ein Agent versucht, eine Datei zu lesen, die Ausgabe eines Befehls anzuzeigen oder MCP-Ergebnisse zu verarbeiten, fängt Cloakroom den Datenstrom ab. Es wendet eine Kombination aus Regex-basierter Mustererkennung und einem kleinen lokalen Machine-Learning-Modell namens PII-Tracer an, um sensible Strings zu identifizieren. Nach der Erkennung wird jedes Geheimnis durch einen eindeutigen Platzhalter ersetzt, der während der gesamten Sitzung konsistent bleibt. Diese Zuordnungen werden in einem verschlüsselten Tresor auf dem lokalen Rechner gespeichert, wobei die Verschlüsselungsschlüssel im nativen Keystore des Betriebssystems gesichert sind, wie z. B. macOS Keychain oder Windows Credential Manager.

Auf dem Rückweg, wenn der Agent Code oder Befehle generiert, die diese Platzhalter enthalten, tauscht Cloakroom sie zurück in ihre Originalwerte. Dies geschieht unmittelbar bevor die Daten ins Dateisystem geschrieben oder zur Ausführung an die Shell übergeben werden. Wenn das Tool auf Daten stößt, die es nicht sicher verifizieren oder maskieren kann, hält es die Operation an, anstatt sie ungeprüft durchzulassen, und zwingt den Entwickler, die Aktion zu überprüfen und explizit zu erlauben. Dieser Fail-Safe-Ansatz priorisiert Sicherheit vor Bequemlichkeit und stellt sicher, dass unmaskierte Geheimnisse nie versehentlich das KI-Modell erreichen.

Wichtige Details

• Keine Lecks in Tests: In gehaltenen Testsets ließ Cloakroom null von 1.005 persönlichen Details und null von 77 Schlüsseln im Anbieterformat durch, während andere getestete Tools zwischen 119 und 992 Details durchsickern ließen.
• Nur lokale Verarbeitung: Keine Daten verlassen den Rechner, außer beim initialen Modell-Download; das Erkennungsmodell läuft lokal, um Geheimnisse zu identifizieren, ohne Inhalte an externe APIs zu senden.
• Verschlüsselte Tresorspeicherung: Zuordnungen von Geheimnissen zu Platzhaltern werden in einem verschlüsselten lokalen Tresor gespeichert, mit Schlüsseln, die durch den OS-Keystore geschützt sind, was verhindert, dass der KI-Agent auf den Entschlüsselungsschlüssel zugreifen kann.
• Breite Agentenunterstützung: Funktioniert mit Claude Code (Mac, Windows, Linux), Codex CLI, Gemini CLI und Cursor (Mac, Linux) und deckt Datei-Lesevorgänge, Befehlsausgaben und Bild-OCR ab.
• Schutz gegen Prompt-Injection: Das Tool verhindert, dass Agenten ihre eigenen angehaltenen Aufrufe genehmigen, Cloakroom ausschalten oder Hooks in Konfigurationsdateien injizieren, ohne explizite Nutzerautorisierung via cr: allow.
• Abwägung bei Fehlalarmen: Um keine Lecks zuzulassen, maskiert das Tool mehr harmlosen Text als reine Geheimnis-Scanner, obwohl Nutzer Regeln über ein Dashboard anpassen können, um zukünftige Fehlalarme zu reduzieren.

Warum es wichtig ist

Für Softwareingenieure und technische Leiter hat die Integration von KI-Agenten in tägliche Workflows die Grenze zwischen lokaler Entwicklung und externer Verarbeitung verwischt. Traditionelle Tools zum Management von Geheimnissen konzentrieren sich oft darauf, Commits zur Versionskontrolle zu verhindern oder statische Dateien zu scannen, adressieren aber nicht den dynamischen Laufzeitkontext, in dem Agenten live Dateien lesen und Befehle ausführen. Cloakroom schließt diese Lücke, indem es die Datenpipeline am Interaktionspunkt absichert und sicherstellt, dass der Agent selbst dann nie die rohen Zugangsdaten erhält, wenn ein Entwickler vergisst, eine Datei zu schwärzen. Dies reduziert die kognitive Last für Entwickler, die nicht mehr jeden Kontextfenster vor dem Aufruf eines KI-Assistenten mühsam sanitisieren müssen.

Die Architektur des Tools unterstreicht auch einen Trend hin zu clientseitigen Sicherheitskontrollen für KI-Interaktionen. Indem das Erkennungsmodell und der Geheimnistresor lokal bleiben, mildert es Risiken, die mit cloud-basierten Scanning-Diensten verbunden sind, die selbst Ziele oder Compliance-Risiken darstellen könnten. Die Fähigkeit, alte Chats rückwirkend auf offengelegte persönliche Daten zu scannen, erweitert seinen Nutzen über Echtzeitschutz hinaus und hilft Teams, vergangene Interaktionen auf potenzielle Verletzungen zu prüfen. Entwickler müssen sich jedoch bewusst sein, dass dies keine Sandbox ist; es verhindert versehentliche Lecks, stoppt aber nicht böswillige Prompt-Injection, falls der Agent kompromittiert wird, weshalb es neben anderen Sicherheitsbest Practices verwendet werden sollte.

Was Sie tun können

• Installieren Sie Cloakroom für Ihren primären KI-Agenten unter Verwendung der spezifischen Befehle für Claude Code, Codex, Gemini oder Cursor, die in der offiziellen Dokumentation zu finden sind.
• Führen Sie cloakroom doctor nach der Installation aus, um zu überprüfen, ob alle Hooks aktiv sind und der Health Check für jede Komponente ok zurückgibt.
• Verwenden Sie cloakroom exposure --personal, um alte Chat-Historien von unterstützten Agenten auf zuvor geleakte persönliche Daten oder Zugangsdaten zu scannen.
• Konfigurieren Sie das cloakroom dashboard, um Fehlalarme zu überprüfen und harmlose maskierte Elemente so zu markieren, dass die Regelengine sie in zukünftigen Sitzungen ignoriert.
• Vermeiden Sie es, Geheimnisse direkt in Prompts einzufügen; verwenden Sie stattdessen den Befehl cloakroom give NAME, um Zugangsdaten über versteckte Prompts zu injizieren, die dem Agenten Platzhalter bereitstellen.
• Führen Sie regelmäßig cloakroom update aus, um sicherzustellen, dass das Erkennungsmodell und die Hook-Integrationen aktuell sind, insbesondere nach Updates der zugrunde liegenden KI-Agenten-Software.