# Secrets Management × Agent

CURRENT_STATUS: CURRENT
OBSERVATION: SPEC_ONLY
FRESHNESS: CURRENT
PAGE_TYPE: reference
CANONICAL_URL: /tools/ea-234-secrets-management-agent
CLAIM_IDS: none
EVIDENCE_IDS: EA-234-CURRENT-APPROVAL, EA-234-CURRENT-BODY-READBACK
UNKNOWN_IDS: EA-234-UNKNOWN-01
OPS_IDS: none

## Summary
AgentのSecrets Managementは、秘密を保存するだけでは不十分です。raw secretをmodel contextやagent-generated codeへ直接渡さず、必要なidentity・destination・operationへ限定して権限を仲介する設計を基準にします。

## Current judgment
Agent-generated codeは、その実行環境から見えるfile、environment variable、credential、networkへ到達し得ます。したがってSecret Managerに保管したcredentialでも、実行時にraw valueをenvironmentへ注入すればagentから読める可能性があります。

## Scope
Secrets Management × Agent

## Confirmed
- Agent-generated codeは、その実行環境から見えるfile、environment variable、credential、networkへ到達し得ます。したがってSecret Managerに保管したcredentialでも、実行時にraw valueをenvironmentへ注入すればagentから読める可能性があります。

target systemが対応する場合は、長寿命API keyよりworkload identity federationやshort-lived tokenを優先します。第三者credentialが必要な場合は、raw secretをsandbox外へ保持し、approved destinationへのrequest時だけbroker/proxyがcredentialを付与する方式を検討します。

## UNKNOWN
- EA-234-UNKNOWN-01: 対象organizationのIdP/federation、credential broker、secret-manager製品、redirect/DNS制御、KMS/HSM要件、dual-key rotation、緊急revoke SLA、secret-scan coverage、data residency、選択runtimeのincident実績は未確認です。

## Evidence
- EA-234-CURRENT-APPROVAL (RESEARCH): 現行本文の監査・revision対応
- EA-234-CURRENT-BODY-READBACK (IMPL): 現行本文の収録照合

## Failure / limits
prompt/contextへのsecret混入、generated codeによるenv読出し、debug/log漏洩、repository commit、tool output echo、過大scope、任意hostで使えるcredential、redirect/network bypass、prompt injectionによるauthorized-but-unintended action、rotation未完了、bad latest rollout、stale consumer、old key未revoke、secret-scan false negative、ephemeral finding消失を想定します。
## Failure / limits
Agentへcredentialを与える場合、cacheやprompt instructionではなくidentity・broker・network・authorization境界で保護してください。tenant固有保証が必要な場合はfake canary secretによるruntime testを追加します。
## Practice
本項は2026-10-05時点のOpenAI、Google Cloud、GitHub、NIST、OWASPの公開資料に基づくdesk researchです。対象organizationでのlive credential mutation、Vault/WIF/Secret Manager/broker canary testは未実施です。
## PUBLIC_CLAIM
AgentのSecrets Managementは、秘密を保存するだけでは不十分です。raw secretをmodel contextやagent-generated codeへ直接渡さず、必要なidentity・destination・operationへ限定して権限を仲介する設計を基準にします。

## ESTABLISHED
Agent-generated codeは、その実行環境から見えるfile、environment variable、credential、networkへ到達し得ます。したがってSecret Managerに保管したcredentialでも、実行時にraw valueをenvironmentへ注入すればagentから読める可能性があります。

target systemが対応する場合は、長寿命API keyよりworkload identity federationやshort-lived tokenを優先します。第三者credentialが必要な場合は、raw secretをsandbox外へ保持し、approved destinationへのrequest時だけbroker/proxyがcredentialを付与する方式を検討します。

## OPERATING_RULE
credential authorityをmodel instructionと分離します。secret valueをprompt、durable memory、source、trace、logへ入れません。toolごとにprincipal、scope、destination、operationを制限し、network egressもapproved endpointへ限定します。

監査ではsecret valueではなく、secret/versionまたはcredential handle、workload identity、tool/destination、operation、timestamp、authorization result、rotation/revocation stateを記録します。

## ROTATION_REVOCATION
Rotation scheduleはrotation完了の証明ではありません。通知、new credential/version作成、consumer rollout、validation、old credential disable/revoke、readbackを別stateとして管理します。`latest` のようなmoving aliasをproductionへ即時展開する場合は、bad valueの即時波及をfailure modeへ含めます。

## LEAK_DETECTION
Secret scanningは重要ですがruntime access controlの代替ではありません。AI coding agentから実行するscanはcommit前の漏洩検知に有効でも、credential scopeやtool authorityを制限しません。scan結果の永続性も実装ごとに確認します。

## FAILURE_ENVELOPE
prompt/contextへのsecret混入、generated codeによるenv読出し、debug/log漏洩、repository commit、tool output echo、過大scope、任意hostで使えるcredential、redirect/network bypass、prompt injectionによるauthorized-but-unintended action、rotation未完了、bad latest rollout、stale consumer、old key未revoke、secret-scan false negative、ephemeral finding消失を想定します。

## IMPLEMENTATION_STATE
本項は2026-10-05時点のOpenAI、Google Cloud、GitHub、NIST、OWASPの公開資料に基づくdesk researchです。対象organizationでのlive credential mutation、Vault/WIF/Secret Manager/broker canary testは未実施です。

## SAFE_WORDING
「Secret Managerに保存した」「environment variableで渡した」「rotation scheduleを設定した」「secret scanが通った」のいずれも、単独ではAgent credential安全性の証明になりません。raw secret exposure、identity lifetime、destination restriction、least privilege、rotation/revocation完了、leak detection、監査readbackを分離して確認してください。

## OPEN_UNKNOWN
対象organizationのIdP/federation、credential broker、secret-manager製品、redirect/DNS制御、KMS/HSM要件、dual-key rotation、緊急revoke SLA、secret-scan coverage、data residency、選択runtimeのincident実績は未確認です。

## STOP_CONDITION
Agentへcredentialを与える場合、cacheやprompt instructionではなくidentity・broker・network・authorization境界で保護してください。tenant固有保証が必要な場合はfake canary secretによるruntime testを追加します。

NEXT: /agent/start.json
STOP: This is a knowledge projection, not an execution order.