qoderwake静态加密必须启用aes-256-gcm并由hsm托管密钥，执行qoderconfig set encryption.at-rest.enabled true和qoder config set encryption.at-rest.key-source hsm后，需通过十六进制校验、健康检查及启动日志三重验证是否初始化成功。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
QoderWake数字员工处理客户代码、日志、财务数据等敏感内容时，必须确保这些数据在磁盘上静止状态不被未授权访问——启用AES-256-GCM静态加密是强制性安全基线，否则硬盘被盗或系统被渗透将直接导致明文数据泄露。
启用静态数据加密开关
第一步：在QoderWake CLI中执行命令：qoderconfig set encryption.at-rest.enabled true。该命令会触发配置写入内部策略引擎，但此时加密尚未生效，仅完成策略注册。
第二步：运行qoder config set encryption.at-rest.key-source hsm，强制密钥由硬件安全模块（HSM）托管。这一步不可跳过——【若使用软件密钥源（如file或env），密钥可能被内存dump提取，静态加密形同虚设】。
验证加密是否真正生效
方法一：检查向量库存储路径下的任意一个持久化文件（如/var/qoderwake/vectorstore/chunk_001.bin），用十六进制编辑器打开。若前16字节为随机不可读字节（非ASCII可识别文本），且文件整体无结构化明文特征，则大概率已加密。
方法二：调用诊断命令qoder health check --encryption at-rest。输出中必须包含“GCM tag verified on 3/3 shards”和“nonce uniqueness confirmed”两行，缺一不可。前者验证认证标签完整性，后者确认每个数据块使用唯一随机nonce，防止重放攻击。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
方法三：查看QoderWake服务启动日志（journalctl -u qoderwake | grep -i "at-rest"），确认出现“AES-256-GCM initialized for persistent storage”字样。注意：仅出现“enabled”不代表已加载，必须看到“initialized”才表示算法实例已成功绑定到存储层。
密钥轮转与失效控制
1、执行qoder key rotate --scope at-rest --force触发密钥轮转。新密钥立即生效，旧密钥仍保留在HSM中用于解密存量数据，但不再用于新写入。
2、等待所有活跃任务完成并刷新缓存后，运行qoder key destroy --id <old-key-id> --confirm</old-key-id>。该操作不可逆，【销毁前必须确保所有存量数据已完成迁移解密再加密流程，否则将永久丢失数据】。
3、验证轮转结果：重复执行健康检查命令，观察输出中密钥ID是否更新，且新生成的chunk文件能被正常读取。
