1. 在 AOS 的 capsule 模型里先把模型凭据层独立出来在 AOS Community Editionaos-ce里aos命令行把 Agent 当作操作系统里的用户态进程来管理aos init、aos status --json、aos migrate、aos distro、aos mcp serve这些根命令构成产品边界capsule 则是最小可组合构建块。真正做平台工程时最容易出问题的不是 capsule 怎么拼而是模型凭据层怎么给Agent 要调用模型但你不希望它继承完整环境变量、拿到长期有效的 Key或者拥有任意网络出口。本文从平台工程视角把 TaoToken 当作 capsule 的模型凭据层先去 TaoToken 官网 创建 Key再把 Base URL 固定为https://taotoken.net/api最后把凭据注入配置写进最小权限 capsule 的边界里。这里的 Token 消耗方非常明确只在 capsule 内运行的 Agent而不是宿主机上的所有进程。AOS 里的 capsule 可以组合成 harness、meta-harness、connector、service 等系统。平台团队在构建自己的 capsule 时建议把“模型凭据”单独抽成一层一层负责 Secret 挂载与生命周期一层负责 Agent 运行时环境变量一层负责网络出口和审批。这样做的好处是即使 capsule 内的 Agent 被替换、升级或临时调试模型 Key 也不会被打进镜像、写进命令历史或者通过env泄露到日志里。下面这套做法可以作为一个落地模板先准备 TaoToken Key 和 Base URL再用 Forge 构建最小权限 capsule接着写权限清单最后分别给出 Claude Code、Codex、CC Switch 的凭据注入配置。命令默认由读者在本地执行不把 AOS 或 MCP 直接连到 Oracle、MySQL、PostgreSQL 等生产库如业务确实需要数据请由本地人工执行 SQL把只读结果作为文件挂载进 capsule。2. TaoToken 作为模型凭据层Key、Base URL 与准备清单TaoToken 在这一层承担的是“模型访问凭据供应商”的角色。你不需要把上游模型 Key 散落在每个 capsule 里而是在 TaoToken 官网 创建 Key然后让 capsule 内 Agent 通过统一 Base URLhttps://taotoken.net/api发起模型调用。注意工具配置里的 Base URL 不带 UTM 参数保持干净# 本地执行准备 capsule 使用的凭据文件 # 不要提交到 Git权限建议 600 mkdir -p ~/.aos/secrets cat ~/.aos/secrets/taotoken.env EOF TAOTOKEN_API_KEYYOUR_API_KEY TAOTOKEN_BASE_URLhttps://taotoken.net/api EOF chmod 600 ~/.aos/secrets/taotoken.env准备清单建议至少包含五项Key 作用域只为 capsule 内 Agent 创建独立 Key不复用个人开发 Key。模型白名单在 TaoToken 侧或平台侧限制可用模型避免 Agent 调用未审计模型。预算与并发设置日 Token 预算、最大并发、单次请求超时防止 loop 消耗失控。出口域名capsule 网络只允许taotoken.net:443默认拒绝其他出口。轮换路径Key 泄露或人员变更时能在 TaoToken 控制台快速吊销旧 Key 并重新注入。如果你还没有 Key可以直接从官网进入控制台创建后只把YOUR_API_KEY放进运行时 Secret不要把真实 Key 写进capsule.yaml、Dockerfile、Shell 脚本或 CI 日志。平台工程里一个很实用的检查命令是# 本地执行确认环境变量不会把真实 Key 打印出来 env | grep -E TAOTOKEN|ANTHROPIC|OPENAI | sed s/.*/redacted/输出的值应全部被替换成redacted。如果发现完整 Key 出现在终端历史里应立即轮换。TaoToken 侧负责凭据签发与模型入口AOS 侧负责把凭据限制在 capsule 内二者边界清晰后续审计才不会变成“谁都能看到 Key”的烂摊子。3. 用 Forge 构建最小权限 capsule目录、命令与校验AOS 自带 Forge 这套操作系统构建工具。平台工程可以把它理解为让一个全新 Agent 先检视运行中的系统理解 capsule 模型发现能力缺口再构建并验证一个最小权限 capsule。下面是一个示例目录实际字段名请以你本地aos --help和 Forge 输出为准capsules/taotoken-credentials/ ├── capsule.yaml ├── permissions.yaml ├── .env.example ├── scripts/ │ └── bootstrap.sh └── README.md构建与校验命令可以按如下顺序本地执行# 本地执行初始化 AOS 工作根目录默认在 ~/.aos aos init # 查看机器可读状态确认运行时、distro 和已有 capsule aos status --json # 用 Forge 检视当前系统输出到临时文件避免污染仓库 aos forge inspect --json /tmp/aos-inspect.json # 构建最小权限 capsuletag 里明确这是凭据层 aos forge build ./capsules/taotoken-credentials \ --tag taotoken-credentials:0.1.0 # 按权限清单验证 capsule不通过就不要进入 distro aos forge verify ./capsules/taotoken-credentials \ --policy ./permissions.yaml # 把 capsule 打进自己的 distro 输出目录 aos distro build \ --capsule taotoken-credentials \ --output ./dist/taotoken-credentials # 再次检查状态确认新 capsule 已被系统识别 aos status --jsoncapsule.yaml可以采用下面这种模板。它不把真实 Key 放进去只声明从 Secret 读取# capsules/taotoken-credentials/capsule.yaml apiVersion: aos.local/v1alpha1 kind: Capsule metadata: name: taotoken-credentials version: 0.1.0 spec: runtime: locked entrypoint: scripts/bootstrap.sh isolation: rootfs: read-only user: 65532:65532 workdir: /workspace env: - name: TAOTOKEN_BASE_URL value: https://taotoken.net/api - name: TAOTOKEN_API_KEY fromSecret: taotoken-api-key network: egress: - host: taotoken.net port: 443 protocol: httpsbootstrap.sh只做最小启动不打印 Secret#!/usr/bin/env bash set -euo pipefail # capsule 内 Agent 的模型入口只认 TaoToken Base URL export TAOTOKEN_BASE_URL${TAOTOKEN_BASE_URL:-https://taotoken.net/api} # 不要 echo Key不要写日志只检查是否存在 if [[ -z ${TAOTOKEN_API_KEY:-} ]]; then echo missing TAOTOKEN_API_KEY 2 exit 1 fi # 后续启动 capsule 内 Agent具体命令按你的 harness 填 exec /workspace/agent/run --provider taotokenForge 的价值在于“可构建、可演进”它不是让你手工拼一个永不更新的脚本而是让 Agent 能理解当前系统缺口并给出最小权限 capsule 的构建路径。平台团队应该把 Forge 输出纳入代码评审而不是让某个 Agent 在宿主机上直接改环境变量。4. 权限清单模型调用、文件、网络与审批都要收口最小权限 capsule 的关键是权限清单。下面这份permissions.yaml可以直接作为平台基线模型只允许走 TaoToken文件系统只读加临时写网络只放行taotoken.net:443数据库端口全部拒绝。注意这里不是让 MCP 或 Agent 直连 Oracle/生产库而是要求读者在本地执行 SQL把结果作为只读文件挂载。# capsules/taotoken-credentials/permissions.yaml permissions: model: providers: - name: taotoken base_url: https://taotoken.net/api allowed_models: - claude-sonnet - gpt-codex budget: daily_tokens: 200000 max_concurrency: 2 request_timeout_seconds: 120 filesystem: read_only: - /capsule - /workspace/input write: - /tmp - /workspace/output deny: - /etc/shadow - /root/.ssh - /var/run/docker.sock network: egress: allow: - taotoken.net:443 deny: - 0.0.0.0/0 - *:22 - *:1521 - *:3306 - *:5432 - *:6379 process: allow: - /usr/bin/python3 - /usr/local/bin/node deny: - /bin/sh -c *curl* - /bin/sh -c *wget* approvals: mcp_forms: required interaction: auto allowed_values: - true - false - approve - deny这份清单里有几个平台工程要点。第一base_url固定为https://taotoken.net/api不再让 Agent 自己传任意模型网关地址。这样即使 Prompt 被注入Agent 也很难把请求发到未授权域名。第二allowed_models不要写“全部可用”而是写业务需要的少数模型。Token 消耗方是 capsule 内 Agent不是整个宿主机预算和并发限制也应绑定到这个 capsule。第三网络出口默认 deny只 allowtaotoken.net:443。数据库端口、SSH、Redis 等一律拒绝。若业务需要数据本地执行查询后把 CSV/JSON 放进/workspace/inputAgent 只读。第四文件系统把docker.sock、SSH 目录、shadow 文件拒掉。很多 Agent 事故不是模型答错而是它能读到不该读的凭据。第五审批面参考aos mcp serve的边界当客户端支持 MCP 表单时由受控审批表单处理不支持时默认--interaction auto使用本地决策面。本地桥只接受布尔值或固定审批枚举不收集任意字符串、密码型字段或 URL。这是很好的安全设计平台工程应把审批枚举固化到 capsule 权限清单里。5. 凭据注入配置Claude Code、Codex、CC Switch 分轨处理凭据注入要分客户端处理不能把 Anthropic 的环境变量套到所有工具上。下面分别给出 Claude Code、Codex、CC Switch 三件套的配置示例。所有 Key 都使用YOUR_API_KEY占位运行时替换成 Secret。5.1 Claude Codesettings.json 与 ANTHROPIC_*Claude Code 走 Anthropic 兼容环境变量。可以放在~/.claude/settings.json由 capsule 启动时注入{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_AUTH_TOKEN: YOUR_API_KEY, ANTHROPIC_API_KEY: YOUR_API_KEY } }如果你的版本只读取其中一个变量保留ANTHROPIC_BASE_URL和ANTHROPIC_AUTH_TOKEN即可。关键点是Base URL 不带 UTMKey 不要写死在仓库capsule 内只挂载运行时 Secret。Claude Code 文档入口放在文末 CTA配置时先确认模型名和网关路径与你本地版本一致。5.2 Codexconfig.toml不要混用 ANTHROPIC_*Codex 使用~/.codex/config.toml不要在上面套ANTHROPIC_*。示例# ~/.codex/config.toml model gpt-codex model_provider taotoken [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY wire_api chatenv_key指向TAOTOKEN_API_KEY由 capsule Secret 注入。若你本地 Codex 版本要求responses协议把wire_api改成对应值不要因为复制 Claude Code 配置而把ANTHROPIC_BASE_URL写进 Codex 文件那是两套客户端边界。5.3 CC Switch 三件套Base URL、API Key、模型CC Switch 这类切换器建议只维护三件套Base URL、API Key、模型名。示例# cc-switch 供应商条目示例 provider: taotoken base_url: https://taotoken.net/api api_key: YOUR_API_KEY model: claude-sonnet三件套不要多填不要把宿主机代理地址、个人账号 Token、生产库连接串混进供应商配置。CC Switch 只负责选择供应商Secret 生命周期仍应由 AOS Secret 或平台密钥管理负责。每次轮换后更新TAOTOKEN_API_KEY重启 capsule再用aos status --json确认新配置已生效。6. 验证与排障从 aos status --json 到 Token 消耗审计构建完成后不要直接让 Agent 跑长任务。先做最小验证# 本地执行查看 capsule 是否被识别策略是否挂载 aos status --json | jq .capsules[] | {name, status, policy} # 启动 MCP 边缘审批面按本地平台显示 aos mcp serve --interaction auto # 在 capsule 内检查 TaoToken 出口是否可达 curl -sS -o /dev/null -w %{http_code}\n https://taotoken.net/api常见排障路径401Key 未注入或已吊销。检查TAOTOKEN_API_KEY是否只在 Secret 里不要打印完整值。403模型不在白名单或网络出口未放行taotoken.net:443。429并发或 Token 预算触发限流。调低max_concurrency检查 Agent 是否循环调用。超时确认 capsule 出口、DNS、TLS 正常不要通过关闭网络隔离来“解决”。模型名不存在Base URL 正确但模型名与 TaoToken 侧不一致回控制台核对。配置漂移用aos forge verify重新跑权限清单确认没有人手工改过网络出口。审计时重点看三件事谁创建了 Key、哪个 capsule 使用了 Key、Token 消耗是否落在预算内。如果发现异常先吊销旧 Key再在 TaoToken 官网 创建新 Key最后滚动重启 capsule。不要试图在运行时热改 Secret 后继续跑长任务滚动重启更可控。7. 平台工程落地顺序先凭据层再 capsule再审计把 AOS 最小权限 capsule 落到平台工程里推荐顺序如下在 TaoToken 控制台创建专用 Key记录用途是“AOS capsule 模型凭据层”。在本地准备~/.aos/secrets/taotoken.env权限 600不提交 Git。用aos forge inspect --json检视运行系统理解已有 capsule 和缺口。用aos forge build构建taotoken-credentials:0.1.0用aos forge verify校验权限清单。用capsule.yaml注入TAOTOKEN_BASE_URLhttps://taotoken.net/api和 Secret 引用。按客户端分轨写入 Claude Codesettings.json、Codexconfig.toml、CC Switch 三件套。用aos status --json、aos mcp serve --interaction auto做最小验证。把 Token 预算、并发、出口域名、审批枚举纳入持续审计。这套结构的好处是模型凭据不再散落在 Agent Prompt、Shell 历史、镜像层和 CI 日志里capsule 内 Agent 只拿到运行时注入的 Key并且只能访问https://taotoken.net/api。平台团队后续要替换模型、调整预算、轮换 Key都只需要改凭据层和权限清单不需要重做整个 capsule。如果你准备把这套凭据层接进现有工作流可以按这个顺序走先用 模型对话 验证 Key 与模型是否可用如果 capsule 内 Agent 需要稳定供给再看 Coding Plan随后到 API Keys 创建或轮换专用 Key最后把 Claude Code 接入 capsule 时参考 Claude Code 文档。需要从官网总入口进入也可以直接访问 TaoToken 官网。