hush · omarei-omoto — MCP-сервер для Claude Code: секреты команды без доступа агента
Хранит ключи команды зашифрованными прямо в репозитории. Агент умеет их использовать, но не может прочитать.
claude mcp add hush -- npx -y @omarei/hushЧто делает hush
hush решает старую проблему .env: файл лежит открытым текстом, и любой запущенный процесс его видит. Тут секреты уезжают в .hush/vault.json — зашифрованный набор, который можно коммитить. При запуске hush npm run dev значения попадают только в окружение этого процесса, на диск и в историю шелла они не возвращаются.
Агенту достаются инструменты, которые применяют ключ, но не показывают его содержимое. Команда hush team add sam hush_pk_1xM… даёт коллеге доступ, а hush team rm sam перешифровывает хранилище и заново запечатывает все значения. Отдельно есть проверки: hush scan --agents ищет открытые ключи в конфигах агентов и по флагу --fix переносит их в хранилище, hush scan --transcripts просматривает сохранённые диалоги в режиме чтения.
Статус ранний: версия до 1.0, автор один, внешнего аудита безопасности не было. Криптография повторяет схему age на node:crypto, есть дифференциальные тесты против независимой реализации, но это не заменяет проверку специалистом. Сборка ведётся на macOS, Linux закрыт в CI, а Windows пока в бете — ключ там лежит под DPAPI, одобрения идут через системный диалог, а подтверждение по отпечатку (Windows Hello) ещё не сделано.
Какие задачи решает
- убрать открытые ключи из
.envв репозитории - дать агенту доступ к секрету, не показывая значение
- выдать коллеге доступ одной командой и отозвать его
- найти ключи, осевшие в конфигах агентов
- проверить, не утекли ли ключи в сохранённые диалоги
Примеры запросов агенту
- Настрой hush в этом проекте: запусти
hush setup --jsonи иди по шагам. - Добавь секреты из
.envкак набор dev и удали сам файл. - Проверь
hush scan --agentsи перенеси найденные ключи в хранилище.
Как установить hush
Командой платформы
claude mcp add hush -- npx -y @omarei/hushКомандой платформы
codex mcp add omarei-omoto-hush -- npx -y @omarei/hushФайл настроек
{
"mcpServers": {
"omarei-omoto-hush": {
"command": "npx",
"args": [
"-y",
"@omarei/hush"
]
}
}
}Файл настроек
{
"servers": {
"omarei-omoto-hush": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"@omarei/hush"
]
}
}
}Командой платформы
gemini mcp add omarei-omoto-hush npx -y @omarei/hushПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о hush
Как установить hush в Claude Code?
Добавьте сервер командой claude mcp add hush -- npx -y @omarei/hush.
Что делает hush?
Держит секреты команды зашифрованными внутри репозитория и выдаёт агенту инструменты, которые используют ключ, но не читают его.
Чем hush отличается от обычного .env?
Значения не лежат открытым текстом: они зашифрованы в .hush/vault.json, а в процесс попадают только при запуске через hush.
Похожие MCP-серверы
Всё по теме «Безопасность» →Сначала — hush от других авторов.
