Agent 有时确实需要 API Token 、访问密钥等敏感信息。 但直接粘贴到对话里，明文会进入上下文，甚至出发 Codex 的 Cyber 应激。为了减少这些不必要的暴露，我开发了一个开源 Agent Skill： Loopmark 。 它的工作流程是： Agent 根据任务生成一张表单，并把链接发给用户 用户在浏览器中填写普通信息或密钥 普通回答复制回对话；密钥在浏览器中加密，不会出现在复制内容里 Agent 将密钥下载并解密到本地临时 .env 文件，供后续命令按需使用 整个过程中，云端只保存密文。用于解密密钥的私钥只保存在发起表单的 Agent 本地。 加密实现采用混合方案：问题会话使用由随机 session code 派生的对称密钥加密；密钥字段使用 ECDH 密钥协商与 AES-GCM 加密。Worker 和 R2 对象存储都无法直接读取密钥明文。 默认可以直接使用托管服务；如果有更严格的数据边界要求，也可以将 Worker 和私有 R2 存储桶 部署到自己的 Cloudflare 账号 。 安装： npx sk...