1Password と age と SOPS の白書を読んで、それでも secret manager を自作すると決めた話

AI CLI を 6 つ並行で動かしている環境で、grep のパターンを雑に書いたせいで API キーの生値がコンソールに流れました。 信用境界の内側だったので実害はゼロでしたが、構造としては間違っている。 そこから secret manager の候補 8 個を一次情報で読み解いて、最後に「それでも自作する」と決めるまでの記録です。

この記事のテーマ

車輪の再発明をやると決めたうえで、まず車輪を分解して観察する、という順序の話です。 1Password の Two-Secret Key Derivation（覚えるパスワードと、デバイスにしか無い 128 bit の Secret Key を組み合わせる設計）、 age が GPG に対する引き算として作られていること、SOPS の「キー名は平文・値だけ暗号化」が git diff と両立する仕組み、 そして Windows / macOS / Linux が OS 標準で持っている秘密保管の API を、それぞれ公式ドキュメントと白書から読みました。

結論として、費用対効果だけで考えれば 1Password を買うのが正解です。年 5,400 円で AI CLI からの実値到達を構造的に遮断できる。 それが分かったうえで、なぜ自作を選ぶのかを自分に説明するために書いた記事です。暗号そのものは自作せず、age をライブラリとして呼ぶだけの薄いラッパーにする、という線引きも含みます。