这篇论文指出，随着具备工具调用能力的大模型（LLM）智能体被广泛部署，API 凭证管理的问题性质发生了根本变化：它不再只是"密钥存放是否加密"的存储安全问题，而升级为"密钥会不会进入模型执行链路"的执行安全问题。作者提出的核心论点是：一旦密钥被粘贴进提示词、写进系统提示或工具配置，它就从认证边界跨入了数据管道，进而可能长期残留在会话历史、日志、记忆存储、模型生成的代码以及错误回显中；此时若叠加提示注入（prompt injection）与过度代理权（excessive agency），原本被动的信息泄露就会被转化为未授权的实际操作。 论文围绕这一威胁链做了三方面工作。第一，形式化定义了面向智能体系统的"凭证暴露威胁链"，梳理从密钥注入、跨边界流动、持久化驻留到被滥用触发动作的完整路径。第二，综合多源证据进行论证，包括一个平台密钥存储事件的复盘、厂商公布的密钥扩散（secret sprawl）测量数据，以及 OWASP 与 NIST 的相关指导文件，用以说明该风险在真实环境中已被观测到且具有普遍性。第三，提出并描述了一种"保险库中介执行边界"（vault-mediated execution）架构：模型只负责选择一个连接器标识符，真正的认证信息由受信任的请求边界在模型之外注入，从而使凭证从不进入模型的词汇表、上下文或可观测输出。 作者对一个生产实现（Corvic Security Vault）开展了两次受控黑盒实验。在覆盖七个控制域的 16 项探测中，全部达到预期结果：一次已认证的 GitHub API 请求成功完成，而凭证未出现在进程环境变量、调用方可见的请求头、受测文件系统位置、三个第三方回显服务以及两个无关 API 源中，两个云实例元数据端点也不可达。论文同时报告了一个负面结果：某连接器的存储头映射未能满足其提供方要求的认证契约，说明集中托管本身并不保证配置正确。结论是：保险库中介能够消除若干条泄露路径，但属于必要而非充分条件，最小权限、确定性动作授权、人工审批、遥测脱敏与密钥轮换仍需独立落实。作者也坦承该研究为目的性抽样、样本量小，属于功能性安全评估而非认证。