导语：开源工具 GhostType 可扫描本地 AI 编程助手的对话历史，提取可能泄露的 API 密钥、密码等敏感信息，用于授权红队或 DLP 检测。
—
工具背景
GhostType 由开发者 xFreed0m 开源发布，是一款本地取证扫描器，专门扫描主流 AI 工具的对话历史文件，提取其中可能泄露的凭证信息。工具通过 TruffleHog 提供 800+ 探测器并支持实时 API 验证，可判断凭证是否仍然有效。设计用途为授权渗透测试、红队行动和企业 DLP 检测。
—
核心能力
多 AI 工具覆盖：支持 Claude Code CLI、Cursor IDE、Codex CLI、ChatGPT Desktop、Claude Desktop 的对话文件解析
双检测引擎：TruffleHog 引擎（800+ 结构化探测器 + API 实时验证）+ 内置正则引擎（30 正则 + 10 启发式规则，捕获结构外泄露）
凭证实时验证：TruffleHog 主动联系发行方 API 验证凭证是否仍有效，标记 verified: true/false
取证输出溯源：每条发现包含来源文件路径、chunk 位置和周围上下文，可追溯到具体对话记录
离线快速扫描：支持 --no-verification 跳过 API 验证，快速输出检测结果
灵活输出格式：JSON + CSV 双格式输出，每条发现含 tool、detector_name、severity、verified、secret_value、file_path 等完整字段
macOS 原生支持：Keychain 解密 ChatGPT Desktop 的 AES-128-CBC 加密数据文件
—
系统要求
Python 3.11+
TruffleHog 3.x（macOS: brew install trufflehog）
macOS（Linux/Windows 路径支持 Roadmap 中）
—
