KI-Agenten

• Suchen: Der Agent sieht IDs, Titel, Tresore, Kategorien, Domains, Benutzernamen, Feldnamen und Secret-Referenzen. Nie Passwörter, andere verdeckte Werte, 2FA-Codes, Kartennummern oder Notizen.
• Nutzen: Der Agent startet einen Befehl mit Geheimnissen in der Umgebung (passbox_run) oder schreibt eine Konfigurationsdatei aus einer Vorlage (passbox_inject). Die Werte gehen in den Prozess oder die Datei, nie in die Antwort an den Agenten. Die Ausgabe des Befehls schwärzt Passbox.
• Speichern: Der Agent legt ein neues Geheimnis an (passbox_create_item), etwa ein Token, das er gerade erzeugt hat. Den Wert bekommt er nicht zurück.

Jede Nutzung braucht eine Freigabe, die Sie in der Web-App oder der Desktop-App erteilen. Eine Freigabe im Terminal gibt es bewusst nicht, denn dort könnte der Agent selbst antworten.

1. Legen Sie ein Dienstkonto mit Lesezugriff auf einen Tresor an, der nur enthält, was der Agent braucht. Setzen Sie ein Ablaufdatum.
2. Installieren Sie die Kommandozeile.
3. Tragen Sie pbx mcp in Ihrem Agenten ein (Beispiele unten).
4. Lassen Sie die Passbox Web-App oder Desktop-App auf einem Gerät geöffnet, das Sie im Blick haben. Dort erscheinen die Anfragen.

Claude Code:

claude mcp add passbox \
  --env PASSBOX_SERVER=https://app.passbox.net \
  --env PASSBOX_SERVICE_ACCOUNT_TOKEN=pbx_sa_… \
  -- pbx mcp

Nutzen Sie den Bereich für Ihren Benutzer, nicht eine .mcp.json im Projekt, die eingecheckt wird.

Claude Desktop, Cursor und andere (claude_desktop_config.json, ~/.cursor/mcp.json):

{
  "mcpServers": {
    "passbox": {
      "command": "pbx",
      "args": ["mcp"],
      "env": {
        "PASSBOX_SERVER": "https://app.passbox.net",
        "PASSBOX_SERVICE_ACCOUNT_TOKEN": "pbx_sa_…"
      }
    }
  }
}

Codex (~/.codex/config.toml):

[mcp_servers.passbox]
command = "pbx"
args = ["mcp"]
env = { PASSBOX_SERVER = "https://app.passbox.net", PASSBOX_SERVICE_ACCOUNT_TOKEN = "pbx_sa_…" }

Jeder Client, der MCP-Server über stdio startet, funktioniert genauso: Befehl pbx, Argument mcp und die beiden Variablen. Ohne Dienstkonto nutzt pbx mcp Ihr angemeldetes Konto und braucht dann PASSBOX_PASSWORD. Das empfehlen wir nicht: Das Master-Passwort in einer Konfigurationsdatei ist ein viel größerer Schlüssel.

Bitten Sie den Agenten etwa: „Führe die Migrationen gegen Staging aus, mit den Zugangsdaten für die Staging-Datenbank aus Passbox.“ Der Agent sucht, fragt an, und in Passbox öffnet sich ein Dialog:

• ein Anfragecode, den auch der Agent anzeigt,
• die Einträge, die er nutzen will,
• die genaue Befehlszeile oder die Zieldatei,
• die Begründung des Agenten, als seine eigenen Worte gekennzeichnet,
• wie lange die Freigabe gilt.

Lesen Sie die Befehlszeile und wählen Sie Freigeben oder Ablehnen. Ihre Entscheidung unterschreibt Passbox mit Ihrem Kontoschlüssel.

Für mehrere Befehle kann der Agent eine Freigabe mit einer Liste erlaubter Befehle anfragen, etwa npm run migrate * und npm test, für eine Stunde. Eine Freigabe gilt höchstens acht Stunden und endet, wenn pbx mcp beendet wird. Befehle, die keine Freigabe abdeckt, fragt der Agent einzeln an.

Unter Entwickler → KI-Agenten sehen Sie offene und frühere Anfragen, widerrufen aktive Freigaben und lesen das Protokoll. Jede Aktion steht außerdem in der Aktivität Ihres Kontos.

Manchmal braucht ein Agent einen Wert wirklich, etwa um ihn in ein Webformular einzufügen. Dafür gibt es passbox_reveal. Es ist mehrfach abgesichert:

1. Sie starten pbx mcp --allow-reveal. Ohne diese Option gibt es das Werkzeug nicht.
2. Jede Anfrage braucht Ihre Freigabe mit dem eigens angehakten Kästchen Anzeigen des Werts für den Agenten erlauben.
3. Für Tresore einer Organisation muss deren Richtlinie das erlauben. Standardmäßig ist es verboten.
4. Der Server protokolliert das Anzeigen, bevor der Wert herausgegeben wird.

• Die Schwärzung der Ausgabe ist ein Sicherheitsnetz, keine Grenze. Umgeformte Werte, etwa rückwärts geschrieben, erkennt sie nicht. Die eigentliche Schranke ist Ihre Freigabe der Befehlszeile.
• Ein erlaubtes Programm kann selbst Daten ins Netz schicken. Lesen Sie Befehlszeilen deshalb genau und halten Sie Listen erlaubter Befehle kurz.
• Mit passbox_inject geschriebene Dateien kann der Agent lesen, wenn er unter Ihrem Benutzer läuft. Nutzen Sie passbox_run, wo es geht.
• Ein Agent, der beliebige Befehle als Ihr Benutzer ausführen darf, kann seine eigene Konfiguration lesen und das Token direkt nutzen. Er bekommt dann genau, was das Dienstkonto darf. Halten Sie es deshalb klein und beschränken Sie den Dateizugriff des Agenten.
• Freigaben auf dem Handy gibt es noch nicht.