AgentScrub — 编码代理历史里的密钥清理器

自动扫描并清除编码代理历史记录中泄露的 API Key，让 AI 辅助开发不再悄悄泄密。

痛点

开发者发现自己的编码代理（如 Claude Code、Cursor、OpenHands）的历史记录里存有大量明文 API Key、Token 和密码——因为对话、代码片段和 shell 命令都被完整记录。这些历史文件常常位于用户主目录的隐藏文件夹，容易被同步到云端或在共享电脑上泄露。一个开发者说「我在自己的编码代理历史里发现了 API key，所以做了 Agent Scrub」，说明这个问题真实且普遍，但现有工具几乎没有专门处理。

方案

一个本地优先的 CLI 工具，自动扫描所有主流编码代理的本地历史存储（JSONL、SQLite、日志文件等），用正则和熵检测识别密钥；然后提供交互式清理：一条命令脱敏或删除指定条目，支持备份和恢复。还可以集成到 pre-commit 或定时任务，防止未来泄露。

用户

使用 AI 编码代理的开发者、安全工程师、在共享或同步目录中工作的团队。

MVP

支持 2-3 种主流代理的历史格式解析；基于正则 + 信息熵的密钥检测；交互式选择要脱敏或删除的条目；自动备份原始文件；提供 npm / brew 一键安装。

变现

核心功能开源免费，通过 GitHub Sponsors 或付费企业版（团队集中扫描仪表盘、合规报告、Slack 告警）变现。

为何现在

AI 编码代理正快速普及，但历史记录的安全隐患尚未被重视；独立开发者可以快速覆盖多种代理格式，比大厂更快响应新工具。