자격 증명 발급 & 비밀번호 관리

두 가지 문제. 하나의 제품.

AI 에이전트에게는 자격 증명이 필요합니다

당신의 에이전트는 코드를 배포하고, 키를 교체하고, 2FA를 통과합니다 — 하지만 현재의 비밀번호 관리자는 모든 것을 주거나, 아무것도 주지 않습니다. Clavitor는 각 에이전트에게 범위가 지정된 자격 증명만 발급합니다. 볼트 탐색 없음. 검색 없음.

자격 증명에는 진짜 암호화가 필요합니다

모든 비밀번호 관리자는 마스터 비밀번호로 암호화합니다. 그 비밀번호가 약하거나 — 유출되면 — 전부 무너집니다. Clavitor는 하드웨어에서 키를 파생합니다. 해독할 비밀번호가 없습니다. 무차별 대입할 백업도 없습니다.

문제

모든 비밀번호 관리자는 AI 에이전트가 존재하기 전에 만들어졌습니다. 이제 따라잡아야 합니다.

전부 아니면 전무 — 이건 안 됩니다

다른 모든 관리자는 AI 에이전트에게 볼트의 모든 것에 대한 접근 권한을 주거나, 아무것도 주지 않습니다. AI에게 GitHub 토큰은 필요하지만 — 여권 번호까지 볼 필요는 없습니다.

정책은 보안이 아닙니다

"AI 안전" 볼트도 여전히 서버 측에서 모든 것을 복호화합니다. 서버가 읽을 수 있다면, 진정한 비공개가 아닙니다. 수학은 항상 정책을 이깁니다.

에이전트에게는 자격 증명이 필요합니다 — 그리고 2FA도

AI는 접근 권한 없이 로그인할 수도, 2단계 인증을 통과할 수도, 키를 교체할 수도 없습니다. clavitor는 세 가지 모두를 가능하게 합니다 — 같은 파이프라인에 신용카드를 노출하지 않으면서.

작동 방식

"당신의 비서는 항공편을 예약할 수 있습니다.
일기장은 읽을 수 없습니다."

모든 필드가 암호화됩니다. 하지만 일부는 두 번째 잠금 장치를 갖습니다. 그 두 번째 키는 WebAuthn 인증기에서 파생되며 브라우저에서만 존재합니다. 우리는 금고를 지킵니다. 그 키는 오직 당신만 갖고 있습니다.

Credential Encryption

AI 읽기 가능

저장 시 암호화, 볼트 서버가 복호화 가능. AI 에이전트는 CLI를 통해 접근합니다.

API keys & tokens
SSH keys
TOTP 2FA 코드 — AI가 대신 생성합니다
OAuth tokens
구조화된 메모

Identity Encryption

당신의 기기에서만

WebAuthn PRF로 클라이언트 측에서 암호화. 서버는 평문을 절대 보지 못합니다. 절대로.

신용카드 번호
CVV
여권 & SSN
개인 서명 키
개인 메모

다르게 설계되었습니다

AI 체크박스만 추가한 비밀번호 관리자가 아닙니다. 아키텍처 자체가 기능입니다.

필드 단위 AI 가시성

각 필드는 자체 암호화 등급을 갖습니다. AI는 사용자 이름을 읽지만, CVV는 읽지 못합니다. 같은 항목, 다른 접근 권한.

WebAuthn PRF

Identity Encryption은 WebAuthn PRF를 사용합니다 — WebAuthn 인증기(지문, 얼굴 또는 하드웨어 키)에서 파생된 암호화 키입니다. 정책이 아닌 수학입니다. 우리는 문자 그대로 복호화할 수 없습니다.

API 키 — 특별 대상

전용 API 키 카테고리를 가진 유일한 볼트 — 에이전트가 접근 가능하며 시각적으로 구분됩니다. Hosted 플랜은 가져오기 시 API 키를 자동 감지합니다. 에이전트는 API 키를 가져올 수 있지만 여권은 볼 수 없습니다.

Scoped agent tokens

에이전트별로 별도 토큰을 생성합니다. 각 토큰은 지정된 항목만 볼 수 있습니다. 하나가 유출되어도 나머지는 안전합니다.

단일 바이너리, 단일 파일

Docker 없음. Postgres 없음. Redis 없음. Go 바이너리 하나, SQLite 파일 하나. Raspberry Pi에서 실행. 월 $4 VPS에서도 실행.

무엇이든 갈아타세요

14개의 비밀번호 관리자와 브라우저에서 가져오기. 모든 필드 매핑, 모든 유형 보존, 도착 시 이중 암호화. 모든 소스 보기 →

에이전트 10개.
각각 필요한 것만 정확히 받습니다.

에이전트별로 scoped CLI 토큰을 생성하세요. 에이전트 하나가 침해되면 하나의 범위만 노출됩니다 — 전체 볼트가 아닙니다.

왜 MCP가 아닌가? 자격 증명은 볼트에서 암호화되어 있고 — CLI로 로컬에서 복호화해야 합니다. MCP 서버는 그렇게 할 수 없습니다. CLI는 당신의 머신에서 복호화하고, 평문을 반환하며, 민감한 정보가 서드파티 프로토콜 레이어를 통과하지 않습니다.

Agent workflow

# Agent fetches exactly what it's scoped to
$ clavitor-cli get "GitHub Deploy" --field password
ghp_a3f8...

Claude Code

# Install the skill — Claude Code learns your vault
$ clavitor-cli skill > ~/.claude/skills/clavitor.md

# Then just ask:
# "get me the AWS credentials"
# "store this API key as 'Stripe Prod'"

모든 언어와 플랫폼 보기 →

에이전트와 당신 — 같은 볼트, 올바른 접근

네 가지 방법. 각각 다른 맥락을 위해 설계되었습니다. 모두 동일한 암호화된 저장소를 가리킵니다.

CLI

AI 에이전트용

에이전트는 CLI를 호출하여 자격 증명을 가져옵니다 — 에이전트별 scoped. 각 에이전트는 부여된 것만 봅니다. 볼트 탐색 없음, 검색 없음.

Extension

브라우저의 사람을 위해

비밀번호 자동 입력, 2FA 코드 인라인 생성, 인증기로 Identity 필드 잠금 해제 — 페이지를 벗어나지 않고.

CLI

터미널 워크플로우용

자격 증명을 스크립트와 CI 파이프라인에 직접 파이프합니다. vault get github.token — 끝.

API

그 외 모든 것을 위해

Scoped tokens가 있는 REST API. 배포 파이프라인에 스테이징 키 읽기 권한을 부여하세요. 그 이상은 없습니다.

왜 이것이 중요한가

2022년에 침해당했습니다. 년에도 여전히 피를 흘리고 있습니다.

2022년, LastPass는 암호화된 볼트 백업을 유출했습니다. 각 볼트는 고객의 마스터 비밀번호로 암호화되어 있었습니다. 수년이 지난 지금도 공격자들은 여전히 해독하고 있습니다 — 약한 비밀번호부터, 그 다음 강한 것들. FBI는 $1억 5천만의 암호화폐 도난을 그 단일 침해로 추적했습니다. 하지만 암호화폐는 눈에 보이는 피해일 뿐 — 같은 볼트에 은행 로그인, 기업 VPN 자격 증명, 의료 포털, 세금 계정도 들어 있었습니다.

$150M+

단일 침해로 인한 확인된 암호화폐 도난. FBI 추적. 아직도 증가 중. Krebs on Security ↗

3년

도난은 계속되고 있습니다. 암호화는 고객별이었지만 — 키는 비밀번호였습니다. 비밀번호는 해독됩니다. Security Affairs ↗

forever

Clavitor 하드웨어 키를 초당 1조 번의 시도로 무차별 대입하면, 우주가 존재한 시간보다 1조 × 1조 × 1조 × 1조 배 더 오래 걸립니다. 이것은 비유가 아닙니다. 이것이 수학입니다.

Clavitor의 답: 21개 리전 — 모든 볼트는 격리된 데이터베이스이며, 공유 테이블의 행이 아닙니다. 모든 자격 증명과 신원 필드는 WebAuthn 인증기 — 지문, 얼굴, YubiKey 또는 모든 FIDO2 기기 — 에서 파생된 고유한 암호화 키를 갖습니다. 당신이 선택한 비밀번호가 아닙니다. 선택할 수 있었던 비밀번호도 아닙니다. 어떤 서버에도 존재한 적이 없고, 어떤 백업에도 존재한 적이 없으며, 애초에 문자열이 아니었기 때문에 무차별 대입이 불가능한 키입니다.

이 힘에는 책임이 따릅니다. 항상 최소 두 개의 기기를 등록하세요 (휴대폰 + 노트북). 더 좋은 방법: 복구 키를 인쇄하고, PIN으로 보호하고, 집 밖에 보관하세요. 모든 기기를 잃으면, 그 인쇄물이 유일한 복구 방법입니다. 우리는 도울 수 없습니다 — 설계상 그렇습니다.

경쟁사

우리는 들었습니다. 그리고 모두 해결했습니다.

실제 사용자들의 실제 불만 — 1Password, Bitwarden, LastPass에 대한. 포럼, GitHub 이슈, Hacker News에서 수집. 자사 사용자 의견을 선별한 것이 아닙니다.

1PASSWORD — Community Forum

"The web extensions are laughably bad at this point. This has been going on for months. They either won't fill, wont' unlock, or just plain won't do anything (even clicking extension icon). It's so bad"

— notnotjake, April 2024 ↗

clavitor: 데스크톱 앱 의존성 없음. 확장 프로그램은 로컬 볼트 바이너리와 직접 통신합니다 — IPC 없음, 동기화 없음, 잠금 해제 체인 없음.

BITWARDEN — GitHub Issues

"Every single website loads slower. From Google, up to social media websites like Reddit, Instagram, X up to websites like example.com. Even scrolling and animation stutters sometimes. javascript heavy websites like X, Instagram, Reddit etc. become extremely sluggish when interacting with buttons. So for me the Bitwarden browser extension is unusable. It interferes with my browsing experience like malware."

— julianw1011, 2024 ↗

clavitor: 콘텐츠 스크립트 제로. 확장 프로그램은 페이지에 아무것도 주입하지 않습니다 — 당신이 요청할 때만 브라우저 자동 입력 API를 통해 입력합니다.

LASTPASS — Hacker News

"The fact they're drip-feeding how bad this breach actually was is terrible enough... Personally I'm never touching them again."

— intunderflow, January 2023 ↗

clavitor: 셀프 호스팅하거나 Identity Encryption이 포함된 호스팅을 이용하세요 — 우리는 수학적으로 당신의 비공개 필드를 읽을 수 없습니다. 유출될 볼트 데이터가 없습니다.

1PASSWORD — Community Forum

"Since doing so, it asks me to enter my password every 10 minutes or so in the chrome extension"

— Anonymous (Former Member), November 2022 ↗

clavitor: WebAuthn 우선. 인증기가 기본 잠금 해제 수단입니다. 세션은 로컬에 유지 — 서버 측 만료로 인한 재인증 강제 없음.

BITWARDEN — Community Forums

"the password not only auto-filled in the password field, but also auto-filled in reddit's search box!"

"if autofill has the propensity at times to put an entire password in plain text in a random field, autofill seems like more risk than it's worth."

— xru1nib5 ↗

clavitor: LLM 필드 인식. 확장 프로그램이 양식을 읽고, 모델에게 어떤 필드가 무엇인지 물어봅니다 — CSS 선택자가 아닌 의도를 기반으로 입력합니다.

BITWARDEN — Community Forums

"Bitwarden REFUSES to autofill the actual password saved for a given site or app...and instead fills an old password. It simply substitutes the OLD password for the new one that is plainly saved in the vault."

— gentlezacharias ↗

clavitor: LLM 필드 인식이 의도를 기반으로 매칭합니다. 항목은 URL로 인덱싱됩니다 — 올바른 사이트에 올바른 자격 증명, 매번.

모든 인용문은 공개 게시물에서 그대로 가져왔습니다. URL 검증 완료. 출처 보기 →

볼트는 당신이 있는 모든 곳에 있어야 합니다.

홈 네트워크에서만 작동하는 비밀번호 관리자는 비밀번호 관리자가 아닙니다. 노트북은 이동합니다. 휴대폰은 이동합니다. 브라우저 확장 프로그램은 카페에서, 비행기에서, 고객 사무실에서 볼트가 필요합니다.

셀프 호스팅은 공인 IP가 있는 서버, DNS, TLS 인증서, 가동 시간 모니터링, 백업을 의미합니다. 주말 프로젝트가 아닙니다 — 인프라입니다.

우리는 모든 대륙의 21개 리전에서 clavitor를 운영합니다. 연 $12. 당신의 Identity Encryption 키는 브라우저를 떠나지 않습니다 — 우리는 수학적으로 당신의 비공개 필드를 읽을 수 없습니다.

Start free → See plans

30초 만에 실행

명령어 하나. 의존성 없음.

Terminal

# Initialize the agent (one-time, token from web UI)

$ curl -fsSL clavitor.ai/install.sh | sh

$ clavitor

# Running on http://localhost:1984

Agent access — scoped, encrypted

# Initialize the agent (one-time, token from web UI)
$ clavitor-cli init <setup-token>

# Agent fetches only what it's scoped to
$ clavitor-cli get "Vercel" --field password
tV3r...

"비밀을 지키려면, 자기 자신에게도 숨겨야 한다."