シークレット管理と AI エージェントガイド

.env を置かない・読ませない・渡すなら短命に。

読ませない

• .env を AI コーディングエージェントに読ませない（hooks・deny ルール） — @_watany

渡し方

• AI エージェントに資格情報を渡す 4 パターンと使い分け — @dkfj
• 1Password Environments で .env をマウントし、平文ファイルを置かない — @ken5scal
• シークレットを実行時に注入するツールの選び方 — @matsuu
• age でシークレットファイルを暗号化する（SSH 鍵を流用） — @Comamoca_

漏れていないか確かめる

• Semgrep＋gitleaks（＋secretlint）の二段構えを全リポジトリに入れる — @matsuu
• 偽シークレット（カナリア）＋MITM でツールの外部送信を検証する — @arafatkatze