账上现金比融过的钱还多，Infisical 还是拿了 4000 万美元：卖的是「agent 不许碰真 key」
一家不缺钱的公司融资，通常只有一个理由：窗口期比现金更贵。
Infisical 10 月 27 日宣布 4000 万美元 B 轮，估值 6 亿美元。Elad Gil 领投（A 轮也是他领的），Y Combinator 和 Gradient Ventures 三倍跟投，Gallery、Pace、Dynamic 参投。创始人在公告里写得很直白：这轮不是必须融——公司长期现金流为正，账上现金比历史上融到的总额还多。
数字
- 融后估值 6 亿美元，B 轮 4000 万美元
- 1300 多个组织在用，公告点名的客户有 LG、First American Financial、OpenRouter、Wise 和美国政府
- 开源核心项目 3 万 GitHub star
- 要招 100 多个岗位
- 上一轮 A 轮 1600 万美元，2025 年 6 月
为什么现在融
公告把理由压在三个变化上：写代码的 agent 让代码产量涨了 10 倍以上；代码多了，机器身份、凭据、证书跟着暴涨；agent 拿着越来越敏感的权限做以前需要人批的事，而现在的安全设施不是为这个设计的。
于是产品的重心往 Agent Vault 挪。它的做法很简单：agent 永远不持有真 key。你在 access bundle 里登记 agent 能调的服务（主机、HTTP 方法、路径都能限死），真凭据存在 Infisical；agent 只拿到一张有期限的会话票，请求经过前置代理，由代理在出口把真凭据贴上去。代理还能设成”只放行 bundle 里列过的主机”，别的全拒。
对你意味着什么
一人公司最容易犯的错，是把生产环境的 key 直接塞进 agent 的 .env。一旦 agent 读过文件、把日志贴进上下文、或者被注入一段指令，key 就跟着走了——而且你事后查不出它去了哪。
代理这套东西的价值不在”更安全”这三个字，在于可撤销：会话到期或你手动撤销，代理一分钟内就不再贴凭据。真 key 一次都没离开过服务端。
对个人开发者，这件事的现实版本是：至少把最贵的那把 key（模型 API、支付、云账号）和 agent 的运行环境分开，别让它在同一个 .env 里。
泼冷水
- Agent Vault 仍是预览状态。 公告把预算投向它，说明能力还在补齐，别现在就当成生产级方案。
- 它解决的是”凭据被读走”，不解决”agent 做错事”。 一个有权限的 agent 照样能把你所有数据删干净，代理只保证它用的是有限权限的那把钥匙。
- 部署有硬要求。 代理最好跑在另一台机器上——同机部署，agent 能读到代理的令牌和 CA 私钥，等于白做。
- 这类公司的客户是组织，不是个人。 1300 个客户撑起 6 亿美元估值，说明买单的是有合规压力的公司；个人开发者能白嫖的是开源版，商业版按身份计费，规模上去成本会明显。
- 现金流为正还融资，也是一种信号。 要么是看到了必须抢先占的位置，要么是估值窗口好。两种都可能，外部看不出来。
具体建议
- 今天先做一次清点：哪些 key 出现在 agent 能读到的文件、环境变量、日志里。
- 把这些 key 全部换成短期凭据或代理注入，先做最贵的那两三把。
- 给每个 agent 单独发凭据，别共用一把——出问题时你需要知道是谁干的。
- 如果你想看成熟实现，Agent Vault 的文档是公开的：access bundle / service / session / proxy 四个概念，读一遍就知道自己该在哪个环节动手。