Agent IA, secrets et .env : masquer les clés

Vous avez demandé à votre agent IA de ne jamais lire le .env. Puis il a lancé un grep pour trouver une ligne cassée, et la clé API s'est retrouvée dans la transcription. Il faut maintenant la changer.

Tokenade masque les identifiants qu'il reconnaît dans les sorties d'outils, avant que l'agent ne les lise. C'est une couche de protection, pas une garantie, et cette page dit précisément où elle s'arrête.

Votre quotidien avec un agent IA

Des règles que l'agent lit, puis enfreint

Une consigne dans CLAUDE.md ou dans la mémoire est un conseil donné au modèle, pas un verrou.

Dans un rapport de bug public, le .env d'un projet était bien ignoré par git et l'utilisateur avait écrit une règle contre l'affichage des secrets. L'agent a quand même lancé Get-Content sur le fichier pour vérifier la présence de variables, et quatre identifiants réels se sont affichés (anthropics/claude-code#59094, incident du 14 mai 2026).

Des fuites qu'on ne voit qu'après coup

Un autre rapport décrit le problème de calendrier. L'agent a lancé grep -n curl .dev.vars pour trouver une ligne mal formée, et le jeton est parti dans la transcription.

Le diagnostic de l'auteur : « The model's safety reflex fires on output it has already produced, not on commands it is about to run » (anthropics/claude-code#44868, ouvert le 7 avril 2026). À ce stade, seule la rotation de la clé répare.

Des secrets qui restent dans les logs locaux

Le secret ne disparaît pas avec la session. Un guide français le rappelle : « Claude Code écrit des logs dans ~/.claude/ pour le debugging. Si vous avez activé le mode verbose, collé une clé dans un prompt, ou si un fichier .env a été lu pendant la session, il peut apparaître dans ces logs » (claude-codex.fr, 21 avril 2026).

Des secrets qui ne viennent d'aucun fichier

Au quotidien, la plupart des fuites passent par la sortie des commandes : « A database error dumps the connection string with the password. The .env file was never opened, but the secrets are now in context anyway » (strongly.ai, 12 avril 2026).

Tests, env, docker inspect, un curl verbeux : chacun peut afficher une clé. Une règle sur un nom de fichier ne voit rien de tout ça.

Ce que Tokenade change

Tokenade est un outil en ligne de commande local, placé entre l'agent IA et ses outils. Il replie déjà les sorties verbeuses pour économiser des tokens ; le masquage se fait dans le même passage.

Masquage avant lecture par l'agent. Avant que la sortie d'un outil n'atteigne l'agent, Tokenade remplace par <redacted> les identifiants qu'il reconnaît : clés cloud, jetons, clés privées, numéros de carte, et chaînes à forte entropie qui ressemblent à des formats de jetons inconnus (ce que Tokenade envoie et stocke).
Sur le chemin de la sortie, pas du nom de fichier. Il contrôle tout ce qu'il renvoie à l'agent, quelle que soit la commande. Un grep, une trace d'erreur, un log de débogage ou un résultat MCP encapsulé passent par le même filtre.
Avant tout stockage. Le masquage a lieu avant que Tokenade n'écrive dans son stash ou ses caches (fonctionnement de la compaction).
Indépendant de votre forfait. Sans licence active, Tokenade cesse de réécrire les commandes shell, mais le masquage des secrets continue (hooks).
Passe optionnelle sur les données personnelles. Adresses e-mail, numéros de téléphone, adresses IP et MAC ne sont masqués que si vous définissez TOKENADE_REDACT_PII=1 (variables d'environnement).
Commandes de nettoyage. tokenade scrub-secret <sous-chaîne> purge une chaîne exacte de tous les fichiers de Tokenade ; tokenade scrub-cache réapplique les motifs au stash.

La même installation replie aussi les sorties bavardes, ce qui a rendu les sessions longues 39 % moins chères dans notre benchmark public THOL.

Ce qu'il ne fait pas

Mieux vaut connaître les limites avant de s'y fier :

Ce n'est ni un scanner de secrets ni un outil de DLP. Il masque ce que ses motifs reconnaissent. Un identifiant dans un format inconnu, à faible entropie, peut passer.
Il ne bloque pas l'accès aux fichiers. L'agent peut toujours ouvrir le .env. Tokenade agit sur les sorties qu'il traite : gardez vos règles de refus.
Il ne voit que les sorties d'outils qu'il intercepte. Une clé collée dans un prompt, ou un contenu reçu par un autre chemin, lui échappe.
Il s'efface en cas de panne. Si Tokenade plante, ses hooks se terminent proprement et l'appel d'outil continue sans lui. Votre travail n'est pas bloqué ; le masquage n'est donc pas garanti.
Il ne masque ni les personnes ni les données client. Noms, noms d'hôtes et contenu métier passent tels quels.

Gardez les protections habituelles : secrets dans un gestionnaire plutôt qu'en clair, règles de refus, scan avant commit, rotation au moindre doute. Tokenade réduit un chemin de fuite ; il ne ferme pas les autres.

Ce qui reste sur votre ordinateur

Masquage et repli tournent sur l'ordinateur où travaille l'agent. Sorties d'outils, code, contenu des fichiers et arguments de commandes ne sont jamais envoyés aux serveurs de Tokenade. Tokenade envoie une ligne d'usage par compaction (nombre de tokens, compacteur, agent, modèle, nom du programme) pour décompter votre forfait. La liste complète des champs se trouve dans Ce que Tokenade envoie et stocke.

Mise en place

Installez. Suivez Installer Tokenade. Le masquage est actif par défaut.
Branchez vos agents. tokenade install couvre Claude Code, Codex, Cursor, Copilot CLI et plus de 15 autres ; le tableau de compatibilité indique le masquage des secrets agent par agent.
Ajustez si besoin. Définissez TOKENADE_REDACT_PII=1 pour masquer aussi les coordonnées et les identifiants réseau.

FAQ

Tokenade empêche-t-il mon agent IA de lire le .env ?

Non. Il ne bloque pas l'accès aux fichiers. Quand l'agent lance une commande ou un outil que Tokenade couvre, Tokenade masque les identifiants reconnus dans le résultat. Vos règles de refus sur .env et les fichiers de secrets restent la première barrière.

Quels secrets reconnaît-il ?

Clés cloud, jetons d'API, clés privées, numéros de carte, et chaînes à forte entropie qui ressemblent à des formats de jetons inconnus. E-mails, téléphones, adresses IP et MAC ne sont masqués qu'avec TOKENADE_REDACT_PII=1.

Un secret peut-il quand même atteindre le modèle ?

Oui, dans certains cas : un format que les motifs ne couvrent pas, une clé collée dans le prompt, ou un moment où Tokenade ne tourne pas. Voyez-le comme une couche utile, pas comme une garantie, et changez toute clé que vous pensez exposée.

Ma sortie est-elle envoyée à Tokenade pour être analysée ?

Non. Le masquage tourne sur votre ordinateur. Seuls des compteurs d'usage parviennent à tokenade.net, jamais la sortie, les noms de fichiers ni les arguments de commandes.

Agents IA et secrets : garder les clés API et les valeurs du .env hors des sorties de commandes