KeyDrift 用于发现 AI 编程工具在客户端 JavaScript 包中遗留的 API 密钥和机密信息。它读取应用实际提供的 JavaScript 文件，而不是代码仓库，因此能发现 Next.js 等框架在构建时将 NEXT_PUBLIC_ 等变量内联到包中、从而随每位访客下载而泄露的密钥。
主要能力包括：扫描已部署的 HTML 和 JavaScript，查找 Supabase、Stripe、OpenAI、AWS 等服务的密钥；识别公开凭证格式（如 Supabase anon key、Stripe publishable key、Firebase web key），并有意排除它们，避免误报；不存储实时密钥，发现结果仅保留掩码前缀和指纹；支持仅针对公开资源进行检查，无需私有基础设施权限；可通过 URL 或直接粘贴代码包启动扫描，免费首次扫描无需账号。
使用方式：在网站提供 URL 或粘贴 JavaScript 包进行扫描。付费方案提供持续监控：Indie 方案每月 29 美元或每年 290 美元，监控最多 3 个应用，每次扫描最多 40 个代码块，支持邮件和 Slack 警报；Team 方案每月 89 美元或每年 890 美元，监控最多 15 个应用，每 15 分钟扫描一次，每次最多 150 个代码块，支持邮件、Slack、Discord 和 webhook 警报，并提供人工支持。Growth 方案起价每月 249 美元，面向需要更大覆盖范围的平台，按部署报价。前 100 名创始客户可锁定年度 25% 折扣。所有方案均不会扣留发现结果。
适用场景包括：使用 Lovable、Bolt、Cursor、Replit 或 v0 等 AI 构建工具开发的应用，可能将密钥意外放入浏览器端代码；团队需要持续监控客户端包，以及时发现新引入的泄露；开发者希望区分真正的机密泄露与应当公开的客户端凭证。
限制：目前仅针对公开可访问的客户端资源，不会读取私有基础设施或代码仓库；密钥不会被存储，因此无法查看完整原始密钥；免费方案仅提供只读公开检查，不包含持续监控；Growth 方案的具体细节未完全提供，需联系获取报价。
