Cred：给AI Agent做的OAuth，不泄露你的刷新令牌

每个需要访问你Google、GitHub或Slack账户的AI Agent都面临同一个问题：怎么给它凭证，又不给它全部权限？Cred用一个专门为Agent设计的委托层解决了这个问题。

机制很干净。你通过标准OAuth流程连接账户，选择授权哪些权限范围。Agent需要访问时，调用cred.delegate()获得一个短期访问令牌。刷新令牌永远不离开保险库。加密回执记录每次委托。Agent得到临时的、有作用域的访问。你保持永久控制。

这很重要，因为Agent凭证管理正在成为一个规模化的真实问题。欧盟AI法案2026年8月开始执行，罚款最高3500万欧元。70%的组织预计明年内要管理数百个Agent。在Agent内存里硬编码API密钥或存储刷新令牌是定时炸弹。Cred对待Agent凭证的方式和企业IAM对待人类凭证一样：最小权限、短期有效、可审计。

产品在cred.ninja，今天上了Product Hunt。这是一个窄而专注的工具，做好一件事。在每个Agent框架都在加工具调用和MCP支持的世界里，总得有人来做让这些工具安全可用的管道。Cred就是这个管道。

https://www.cred.ninja/