Cursor用户3个月泄露12000条密钥

2024年，GitHub上平均每天有3000个.env文件被意外提交。比这更隐蔽的危险是：你的AI助手正在实时读取这些文件，而你浑然不觉。

开发者@harelba在Hacker News的帖子火了。他算了一笔账：用Cursor写代码时，AI为了"理解上下文"会扫描整个项目目录——包括你的数据库密码、AWS密钥、OpenAI API令牌。他的团队做过测试，一个包含生产环境凭证的.env文件，在正常使用Cursor 20分钟后，被触发了47次读取请求。

「这不是Cursor的bug，是所有AI编码助手的默认行为。」

问题在屏幕共享时更致命。你打开终端演示项目，AI侧边栏自动索引文件，观众还没看清代码，你的Stripe密钥已经以缩略图形式闪过。去年Stripe官方报告提到，因开发者意外暴露密钥导致的欺诈交易，单月损失超过180万美元。

从"裸奔"到"穿隐身衣"：Kimu的解法

一个独立开发者用Rust和Tauri做了款工具Kimu，思路很刁钻：不让AI读到真密钥，但让程序正常运行。

传统方案是加密.env文件，但解密时密钥放哪？放另一个文件？那不过是俄罗斯套娃。Kimu的做法是干脆不写进文件。

它用占位符替代真实值：

改造前（AI能读到）：

DATABASE_URL=postgres://user:SuperSecretPassword@localhost/db

OPENAI_API_KEY=sk-proj-xxxxxxxxxxxxxxxxxxxxxxxx

改造后（AI读到的是空气）：

DATABASE_URL=SECRET{{DB_PASSWORD}}

OPENAI_API_KEY=SECRET{{OPENAI_KEY}}

真实密钥存在操作系统原生钥匙串——macOS的Keychain、Windows的Credential Manager。这是苹果和微软花二十年打磨的堡垒，连浏览器存密码都用它。

一行命令，零代码改动

Kimu的CLI设计很产品经理思维：开发者最讨厌改现有工作流。

以前你跑项目：

npm run dev

现在：

kimu run -- npm run dev

就加了个前缀。Kimu在内存里完成密钥注入，子进程看到的process.env和原来一模一样。Next.js、Vite、Python、Go，都不需要改代码。

技术实现上有个细节：现代框架对.env文件有严格的加载优先级，比如Next.js会按.env.local → .env → .env.production的顺序覆盖。Kimu的CLI会自动扫描并尊重这个顺序，避免"本地配置被意外覆盖"的坑。

一个可执行文件，两种人格

Kimu的架构有点意思。同一个二进制文件：

带run参数 → 纯命令行工具，静默运行

不带参数 → 启动Tauri桌面应用，React写的UI

桌面端用来管理密钥：添加、编辑、打标签。所有数据本地存储，零网络请求。开发者@harelba在GitHub README里特别强调：「Nothing is sent to the cloud. Everything is kept strictly on your local machine.」

加密逻辑完全委托给Rust的keyring crate，不自己造轮子。这是安全领域的铁律：专业的事交给专业的组件。

开源社区的反馈

项目在GitHub上线两周，收获的关注点很分散。有人夸Tauri v2的桌面体验流畅，有人讨论"占位符语法要不要支持嵌套"，更多人问：能不能集成1Password/Bitwarden？

@harelba的回复很克制：「PR welcome，但核心原则不变——真密钥永不落地磁盘。」

目前提供macOS .dmg和Windows .exe预编译包。Linux用户需要从源码构建，因为各发行版的钥匙串实现差异太大。

一个被反复提及的场景是CI/CD流水线。Kimu目前专注本地开发，但占位符思路确实启发了团队：如果把密钥注入环节从"文件读取"改为"运行时注入"，很多容器泄露事故可以避免。

GitHub仓库的Star数在缓慢爬升。没有营销，没有Product Hunt冲榜，纯靠开发者口口相传。毕竟，"防止AI偷看密码"这个痛点，只有真的被坑过的人才会痛。

你现在的.env文件里，有几行是AI不该看到的？