с замазкой на окнах, как я могу ограничить, на какие хосты я даже отправляю свои ключи, попытки аутентификации?
в основном касается приложений, использующих plink для подключения к хостам, о которых я не знаю.
Пагент имеет такой контроль?
Вы можете настроить это не для каждого хоста, а для каждого профиля подключения.
Под Connection → Auth, укажите файл ключа, который вам нужен. PuTTY все еще будет использовать агента, но предложит только соответствующий ключ.