从 AI 聊天历史中提取凭证的取证工具

导语

：开源工具 GhostType 可扫描本地 AI 编程助手的对话历史，提取可能泄露的 API 密钥、密码等敏感信息，用于授权红队或 DLP 检测。

工具背景

GhostType 由开发者 xFreed0m 开源发布，是一款本地取证扫描器，专门扫描主流 AI 工具的对话历史文件，提取其中可能泄露的凭证信息。工具通过 TruffleHog 提供 800+ 探测器并支持实时 API 验证，可判断凭证是否仍然有效。设计用途为授权渗透测试、红队行动和企业 DLP 检测。

核心能力

• 多 AI 工具覆盖
  ：支持 Claude Code CLI、Cursor IDE、Codex CLI、ChatGPT Desktop、Claude Desktop 的对话文件解析
• 双检测引擎
  ：TruffleHog 引擎（800+ 结构化探测器 + API 实时验证）+ 内置正则引擎（30 正则 + 10 启发式规则，捕获结构外泄露）
• 凭证实时验证
  ：TruffleHog 主动联系发行方 API 验证凭证是否仍有效，标记 verified: true/false
• 取证输出溯源
  ：每条发现包含来源文件路径、chunk 位置和周围上下文，可追溯到具体对话记录
• 离线快速扫描
  ：支持 --no-verification 跳过 API 验证，快速输出检测结果
• 灵活输出格式
  ：JSON + CSV 双格式输出，每条发现含 tool、detector_name、severity、verified、secret_value、file_path 等完整字段
• macOS 原生支持
  ：Keychain 解密 ChatGPT Desktop 的 AES-128-CBC 加密数据文件

系统要求

• Python 3.11+
• TruffleHog 3.x（macOS: brew install trufflehog）
• macOS（Linux/Windows 路径支持 Roadmap 中）

https://github.com/xFreed0m/ghosttype  

点阅读原文跳转