OneCLI
オープンソースのAIエージェント向け認証情報ゲートウェイ。一度保存すればどこでも注入でき、キーはエージェントに一切見えない
詳細レポート
-
OneCLI は、Y Combinator Summer 2026 バッチで開発された AI エージェント用のオープンソース認証情報ゲートウェイであり、GitHub 上に 2,800 を超えるスターが付いています。これにより、エージェント時代の最も困難なセキュリティ問題の 1 つが解決されます。エージェントは外部 API を呼び出す必要がありますが、エージェントにキーを直接渡すことは、安全なパスワードをドアに貼り付けるのと同じです。 OneCLI の解決策は、エージェントとターゲット サービスの間に透過的なプロキシ ゲートウェイを挿入することです。実際の認証情報は暗号化されてゲートウェイに保存されます。エージェントはプレースホルダートークンのみを保持し、ゲートウェイはリクエストを送信した時点で「偽鍵→本物鍵」の置き換えを完了します。 この記事の執筆時点で、このプロジェクトは 320,000 回以上ダウンロードされており、NanoClaw によってデフォルトの資格情報層として選択されています。
-
OneCLI は、Guy Ben Aharon と Jonathan Fishner によって共同設立されました。創設者 2 人の経歴はセキュリティ エンジニアリングに重点を置いています。ガイは Argon (後に Aqua Security に買収) の最初のエンジニアであり、Jonathan は Axis Security (後に HPE に買収) でゼロトラスト ネットワーク アクセスに取り組みました。どちらもイスラエルの軍事諜報機関の出身です。以前、2 人はオープン ソース データベース ツール ChartDB (GitHub に 20,000 以上のスター) で協力していました。 作成の動機は個人的な経験から来ています。ChartDB のエージェント オーケストレーション レイヤーを構築していたとき、自律型エージェントに資格情報を配布する安全な方法が見つかりませんでした。チームの調査によると、エージェントを使用しているほぼすべてのチームが API キーを .env ファイルにハードコーディングするか、エージェント ソリューションを即興で作成していることがわかりました。 2026 年 7 月、プロジェクトは正式にオープンソース化され、ハッカー ニュース「Show HN」に掲載され、すぐにコミュニティの注目を集めました。 Y Combinator は、2026 年 7 月 23 日に公式 X アカウントを通じて OneCLI を公的に宣伝し、OneCLI を「パスワードを保存せずに AI エージェントが実際の作業を実行できるようにする」インフラストラクチャ層として定義しました。 OneCLI は Apache-2.0 ライセンスを使用しており、まだ初期の高速反復段階 (v1.42.0+) にありますが、Docker、MindsDB、Zoho、Coralogix などの企業が使用し始めています。
-
OneCLI の中核となるワークフローは 3 つのステップに分かれています。最初のステップでは、オペレーターは実際の API 認証情報を OneCLI の暗号化されたボールトに保存します。 2 番目のステップでは、プレースホルダー キー (FAKE_KEY など) が各エージェントに発行され、エージェントは HTTP リクエストを行うときにこれらの偽のキーを使用します。 3 番目のステップでは、OneCLI ゲートウェイがリクエストをインターセプトし、ホストとパスの一致ルールに従ってリクエストがゲートウェイを離れる前に認証情報の復号化と置換を完了し、最後に実際の認証情報を含むリクエストをターゲット サービスに転送します。プロセス全体を通じて、エージェントはいかなる時点でも実際のキーに接触することはありません。 テクノロジー スタックでは、OneCLI は 3 つのレイヤーで構成されます。 Rust で書かれた高性能 HTTP ゲートウェイは、送信リクエストをインターセプトし、資格情報を挿入する役割を果たします。エージェントは、Proxy-Authorization ヘッダーを通じてアクセス トークンを伝送し、ID 認証を完了します。 Next.js によって構築された Web ダッシュボードは、エージェント、キー、権限の管理に使用されます。ゲートウェイは、ダッシュボードによって公開される API を介して、リクエストごとにどの資格情報を挿入する必要があるかを動的に解析します。資格情報ストレージ層では、AES-256-GCM 暗号化が使用されます。キーはリクエストが発生した場合にのみ復号化されます。復号化後、ホストとパスのパターンに従って厳密に照合され、リクエスト ヘッダーまたは URL パラメーターの形式で挿入されます。 デプロイは非常に簡単で、次の 1 つのコマンドだけで開始できます: docker run -d --name onecli -p 10254:10254 -p 10255:10255 -v onecli-data:/app/data ghcr.io/onecli/onecli 起動後、http://localhost:10254 にアクセスしてエージェントを作成し、キーを追加して、エージェントの HTTP プロキシが localhost:10255 を指すようにします。エージェント フレームワークにはコードの変更は必要ありません。HTTPS_PROXY 環境変数の設定をサポートしている限り、アクセスできます。これには、Claude Code、Codex、Cursor、Cline、および OpenClaw、NanoClaw、LangChain、CrewAI などの主流フレームワークが含まれます。 OneCLI は、onecli CLI コマンド ライン ツールも提供します。このツールを使用すると、エージェントはシェル コマンドを通じて自分の ID とキーを自律的に管理できます。Agent Orchestrator は、ダッシュボードを手動で操作することなく、スクリプトで新しいエージェントを作成し、資格情報を割り当て、ルールを構成できます。ローカル モードは、NEXTAUTH_SECRET を構成せずに、シングル ユーザーのログイン不要の操作をサポートします。チーム コラボレーションでは、Google OAuth 認証を有効にすることができます。すべての環境変数には適切なデフォルト値があり、SECRET_ENCRYPTION_KEY が設定されていない場合に自動的に生成されます。
-
OneCLI は現在完全に無料で、オープン ソース (Apache-2.0) です。無料枠では最大 2 人のエージェントがサポートされ、クレジット カードは必要ありません。このプロジェクトチームは現在、Y Combinatorによって育成された新興企業であり、正式な商用版の具体的な価格プランはまだ発表されていない。予測可能なビジネス パスには、エンタープライズ エディションのマルチエージェント サポート、高度なポリシー エンジン、組織全体の ID プロバイダーの統合、およびマネージド クラウド サービスが含まれます。
-
OneCLI に対するコミュニティ全体の反応は、特にエージェント セキュリティ コミュニティ内で好意的でした。 Hacker News ディスカッション スレッドの一部の開発者は、認証情報エージェント ソリューションなどのソリューション (Fly.io の Tokenizer、BuzzFeed SSO エージェントなど) は新しいものではないが、AI エージェントのシナリオに合わせて調整された実装により、実際に実装の敷居が下がったと指摘しました。一部の開発者は、スクリプトで HashiCorp Vault を使用して同様の効果を実現する計画も共有しましたが、OneCLI の「すぐに使える」エクスペリエンスの方が優れていることを認めました。 Y Combinator の公式アカウントによって宣伝されたデモ ビデオでは、Claude Code が OneCLI ゲートウェイを介して GitHub API を呼び出す完全なプロセスが示されています。エージェントはプロセス全体を通じて FAKE_KEY のみを保持し、実際の PAT はリクエストが行われた瞬間にゲートウェイによって挿入されます。 中国人コミュニティからの評価は主に建設的なものです。ブログパークの一部の開発者は、OneCLI で実際のテストを実施し、「変換コストはゼロに近い」と信じています。ただし、実稼働環境エージェントをすでに実行しているチームの場合は、ゲートウェイの HTTPS 証明書管理とネットワーク分離に特別な注意を払う必要があります。資格情報の一元管理はリスクの一元化も意味する、つまり OneCLI サーバーが侵害された場合、攻撃者にとって非常に貴重な標的となるとコメントする人もいます。
-
OneCLI は複数の信頼できる情報源から好意的な報道を受けています。 Y Combinator の公的プロモーションは、エージェントのセキュリティ インフラストラクチャが注目に値する独立したトラックであるとアクセラレータが信じているという業界へのシグナルとみなされます。 Agent Times、World AI 360、その他のメディアがこれについて報じており、一般に、OneCLI の設計パターン (資格情報をエージェント メモリの外に隔離する) がエージェント アーキテクチャの標準セキュリティ層になると予想されています。 競争力のある製品環境の観点から見ると、OneCLI が直面する主な競争には 2 種類のソリューションがあります。 1 つのタイプは、従来のキー管理ツール (HashiCorp Vault、AWS Secrets Manager、1Password) です。これらのツールはストレージの問題を解決しますが、インジェクションの問題は解決しません。エージェントがキーを取得した後も漏洩のリスクが依然としてあります。もう 1 つのタイプは、新しいエージェント フレームワーク (MCP プロトコルなど) ですが、MCP ツール定義はエージェントのコンテキスト ウィンドウを使用し、各 MCP サーバーは認証を個別に処理するため、統合された資格情報管理が不足しています。 OneCLI の差別化された位置付けは、エージェントのコンテキスト ウィンドウを消費せずにストレージとインジェクションの両方を解決するという、2 種類のソリューション間の空白スペースを見つけることです。
-
OneCLI にはリスクがないわけではありません。中心的な問題は MITM CA モデルにあります。ゲートウェイは、任意のターゲットに証明書を発行するために CA キーを保持する必要があります。これは、共有マシンまたはマルチテナント マシン上で、権限昇格の脆弱性により CA キーが公開される可能性があることを意味します。デプロイメントでは、Docker コンテナーの分離とネットワーク名前空間について特別な注意が必要です。 プロジェクトは迅速に反復され、コミュニティは急速に成長していますが、まだ v1.x 段階にあり、API と構成形式はバージョンのアップグレードに応じて変更される可能性があります。長期的な安定性の保証を必要とする企業の場合、従来の資格情報管理をフォールバック ソリューションとして保持しながら、プロトタイプ検証のための評価可能なソリューションとして OneCLI を使用することをお勧めします。 無視できないもう 1 つの問題は、信頼の一元化です。資格情報を 1 つのゲートウェイ管理に一元化すると、運用とメンテナンスの効率が向上しますが、ゲートウェイ自体が単一の攻撃対象になることも意味します。オペレーターは、ダッシュボードのアクセス IP の制限、監査ログの外部ストレージの有効化、暗号化キーの定期的なローテーションなどを含む (ただしこれらに限定されない)、ゲートウェイの追加の強化を実行する必要があります。
-
OneCLI は両方のタイプのチームに最適です。 1 つ目のカテゴリは、コーディング エージェント (Claude Code、Codex、Cursor) を実行する開発および運用チームです。これらのエージェントは、GitHub、Slack、Jira などの外部 API を頻繁に呼び出す必要があり、出力の各行にキーが含まれる場合があります。 2 番目のカテゴリは、すべてのエージェントの API アクセスを均一に管理および監査する必要があるマルチエージェント コラボレーション システムを構築するチームです。 適切ではないシナリオには、完全に分離されたネットワークでのみ実行されるエージェント、すでに成熟した HashiCorp Vault 展開があり、追加のインフラストラクチャを追加したくないチーム、および厳格なコンプライアンス監査 (SOC 2 Type II など) を必要とするベンチマーク企業が含まれます。後者の場合、運用レベルの展開を検討する前に、OneCLI がサードパーティのセキュリティ監査を完了するまで待つことをお勧めします。
-
OneCLI は、AI エージェントの普及における本当の問題点である認証情報のセキュリティを正確に解決し、エンジニアリング上のエレガントで実用的なソリューションを提供します。その中心的な判断は「エージェントはキーに触れるべきではない」というものであり、この原則をアーキテクチャ レベルに実装します。エージェントにとっておもちゃから生産性への重要な移行期間中、OneCLI はエージェント インフラストラクチャのセキュリティ標準になることが期待されています。ただし、サードパーティの監査が完了し、安定したバージョン 2.0 がリリースされるまで、その真の価値を完全に検証することはできません。
ユーザーレビュー
-
2hyqkek—OneCLIを試してみたら、Claude Codeの鍵管理問題が完全に解決した。以前は毎回.envにいろんなAPIキーを詰め込んでいたが、今はdockerコマンド一つで起動して、Agentは本物の鍵を一切知らない。安心感が段違いに上がった。 -
珊瑚37—HashiCorp Vaultと比較する人がいるが、私は位置づけが違うと思う。Vaultは重すぎる。小さいチームがAgent開発をやるなら、OneCLIのワンクリックデプロイは本当に楽だ。 -
RGonzales_Plus—Rustで書かれたHTTPゲートウェイで、性能は確かに安定している。レイテンシを測ってみたが、OneCLIプロキシを挟んでもほとんど追加オーバーヘッドを感じない。Vaultで毎回鍵を取りに行くよりずっと速い。 -
王月珍—YCの公式アカウントがOneCLIを推しているのを見て調べてみた。発想が確かに良い。AgentにAPIを呼ばせないのではなく、Agentが鍵にすら触れるべきでないという考え方。この設計哲学には共感する。 -
FrankHicksIII—Hacker News では「これはただの auth proxy では？」という疑問の声もあった。確かに似たソリューションは昔からある。でも Agent シナリオ向けに最適化されていて、すぐ使える。それで十分だ。 -
AnnGray—デプロイは簡単で、docker run一行で動き出す。ただ一つ落とし穴がある。自己署名証明書の問題を自分で処理する必要があり、AgentコンテナがCA証明書を信頼していないとHTTPSトラフィックが通らない。 -
流年472—OneCLI のやり方を見て、以前読んだ実例を思い出した。ある大手企業のセキュリティ責任者が Agent に権限を与えたら、Agent がメールを片っ端から削除し始めた。あのときゲートウェイのポリシー制限が一枚あれば、全部ではなく数通の削除で済んだかもしれない。 -
8j0wz—OneCLI を NanoClaw と組み合わせて試したら、体験がとても滑らかだった。Agent はキーの存在を全く知らないので、漏らしたくても漏らせない。セキュリティに敏感なチームには、この組み合わせは試す価値がある。 -
HaroldStephensIII—自分の Cursor ワークフローに OneCLI を組み込んで、GitHub・OpenAI・Slack の API を全部設定した。設定プロセスは直感的で、Web パネルで Agent とキーを管理でき、権限の粒度も十分細かい。 -
AshleyOrtiz—唯一の懸念は集中化リスク。すべてのキーが OneCLI ゲートウェイを通るので、万一このゲートウェイが破られたら全部終わり。暗号化ストレージはよくできているが、本番環境での単一障害点にはやはり少し不安がある。 -
康明_1—いくつかの認証情報管理ツールを比較したが、OneCLI は個人開発者に最も優しい。Authsome はインフラ不要だが監査機能がない。Vault は重すぎる。OneCLI はちょうど中間の立ち位置が良い。 -
Isabella.Morgan—Bitwarden と連携できるのが嬉しい。キーを OneCLI のローカルデータベースに保存する必要がなく、Bitwarden から直接取得できる。すでにパスワードマネージャーを使っているチームなら移行コストはとても低い。 -
KeithStewartJr—コードを見てみたが、Rust ゲートウェイの層はかなりしっかり書かれている。AES-256-GCM の静的暗号化で、リクエスト時にだけ復号する。設計上の明らかな弱点はない。今後の承認フローと監視ルールの追加に期待。 -
Jacqueline.Adams—OneCLI はキーの漏洩は防げるが、認可された Agent の暴走は止められない。Agent に Stripe API を呼ぶ権限があれば勝手に課金できてしまう。この問題は承認フローで解決する必要があり、ゲートウェイだけでは足りない。 -
Laura_MooreIII—Show HN からずっと追いかけているが、もう 2800+ スターに達していて、成長は確かに速い。このペインポイントが本当に多くの人に刺さっている証拠だ。Apache-2.0 ライセンスに YC のお墨付き、注目に値する。 -
7wnel5q—OneCLI をデプロイしたら思わぬ収穫があった。監査ログが便利すぎる。以前は Agent がどの API をいつ呼んだのか全く見えなかったが、今は一目瞭然で、トラブルシューティングの効率が大幅に上がった。 -
EHughesIII—Gateway + Dashboard + 暗号化ストレージの三点セットのアーキテクチャは明快だ。Rust ゲートウェイの性能は問題にならないし、Next.js のパネルも操作しやすい。ただドキュメントは所々簡潔すぎて、初心者は手探りが必要かもしれない。 -
smallpeacock198—博客園のあの実測記事に沿って一通りやってみたら、ローカルへのデプロイは 10 分もかからなかった。Claude Code で GitHub API を呼んでも、終始 FAKE_KEY しか見えない。この透過的な置き換えは確かにブラックテクノロジー感がある。 -
Brian.Martinez168—私のような AI Agent 開発者にとって、OneCLI は一番頭の痛い問題を解決してくれた。以前はデモのたびに .env ファイルをうっかり commit していないか確認していたが、もうその心配は要らない。 -
Web_3Wave—まだ 1.x 段階なので、API の変更は頻繁かもしれない。本番環境で使うならバージョンを固定するのがおすすめ。アップグレード後に設定フォーマットが変わったら面倒だから。 -
purplepanda996—OneCLI をうちのチームのマルチ Agent システムに組み込んだ。3 つのプロジェクトがそれぞれキーとポリシーを分離している。このプロジェクト単位の分離設計は実用的で、異なる顧客のデータが混ざらない。 -
许桂强—知りたいのは 1Password 連携がいつサポートされるのかということだけ。今は Bitwarden しかなくて少し物足りない。チームには 1Password ユーザーがかなり多いので、ぜひ追加してほしい。 -
DianeMitchell_Plus60—Docker のコマンド一発で立ち上がって、確かに便利。ただ Node.js の Agent を試したら、HTTP_PROXY 環境変数は古い Node バージョンではサポートがいまいちで、22 以上が必要だった。 -
LoganRodriguez_20234—高評価。以前実験したことがあるが、普通のプロンプトインジェクション攻撃で環境変数から OpenAI のキーを騙し取れた。OneCLI を使ってから同じ攻撃を試したら、Agent はそもそもキーを持っていないので、漏らしようがなかった。 -
OMpow—ポリシーエンジンの設計が良い。Agent ごとに個別の allow/block ルールとレート制限を設定できる。これは単純なキー管理よりずっと踏み込んでいて、ネットワーク層での権限コントロールと言える。 -
云烟737—PostgreSQL への依存はハードルだ。個人開発でこれを動かすためだけにデータベースを入れるのはちょっとオーバーキル。幸い PGlite の組み込み版があるそうで、別途データベースを構築する必要がなくなる。正式サポートに期待。 -
AfraRomkes—チームの DevOps と話したところ、OneCLI の MITM プロキシ方式は中国の信創環境ではコンプライアンスリスクがあると彼は考えている。自己署名証明書は等級保護監査で認められるとは限らないので、この点は要注意。 -
WLopezX736—The Agent Times のあの分析記事は良く書けていて、核心を突いている。OneCLI はキー漏洩は解決したが、Agent による権限の濫用は解決できない。それでも欠点より長所が勝る。少なくとも一番致命的な問題を先に解決してくれた。 -
goldendog167—承認フローについて Issue を立てて質問したら、開発者の返信がとても早く、すでにロードマップに載っていると言われた。Y Combinator が投資しているプロジェクトだから、イテレーションの速度は遅くならないはず。 -
星辰_14—karpathy がリツイートした CLI と Agent に関する見解を読んでから OneCLI の設計を見ると、確かに合致している。CLI は Agent のネイティブなインターフェースであり、CLI レイヤーで認証情報を管理するのはアプリ層でやるよりも低レベルで汎用的だ。