智能体看不见密码了，进门之后还得另管

给智能体的密码和密钥，开始由第三方在它够不着的地方代填，钥匙不再交到智能体手里。

先说结论。10 月 22 日，1Password 推出 1Password for Agents，谷歌云发布 Agent Compute Engine 并扩展智能体治理，两家一个面向个人智能体、一个面向企业运行环境，做的是同一件事：智能体要用账户时，密码或令牌由别人替它填进去，它本身看不见、存不下。我们的看法是，这解决的是「钥匙被抄走」的问题，不是「进门之后做什么」的问题。智能体登录之后，账户的会话仍在它手里，能动哪些东西，还得靠另一层审批和限权来管，而这一层多数还在预览或「即将」。

一次登录现在怎么走

据 1Password 的发布稿，智能体走到登录页时，先用一把专属的数字密钥向 1Password 证明自己是谁；用户在自己的设备上看到它要哪个账户、为什么要，批准后由 1Password 把密码直接填进登录框，而不是发给智能体。发布稿列出的合作方有 Meta 的 Muse、Anthropic 的 Claude Duet、OpenAI 的 ChatGPT Work 与 Dots 等，另有 Perplexity、Browserbase、Ramp 等九家在做接入。

1Password 给 Claude 的支持文档把细节写得更具体：代填期间 Claude 暂停读取和追踪网页，等它再看页面时，凭据已经提交、不再可见；Claude 只知道用了哪个登录项，密码和一次性验证码不进入模型的上下文、记忆和 Anthropic 的系统。Claude 接管浏览器后，1Password 进入「智能体模式」，只有本次任务批准过的条目可用。文档也写明了范围：目前支持用户名、密码、一次性验证码和谷歌、Facebook 这类第三方登录，其他条目类型和通行密钥还不支持。

这不完全是新东西。据 SiliconANGLE 的报道，Claude 在浏览器里接 1Password 从 7 月就有了，Perplexity 和 Browserbase 的浏览器智能体去年底已经接上；这次是把它做成一个统一的平台，并拉上 Meta、OpenAI 这些做个人智能体的公司。报道也写明，1Password 没说每家合作方的接入什么时候到用户手里；Anthropic 首席产品官 Ami Vora 的原话是 1Password「很快」会为 Duet 代填登录。

企业那一侧：凭据在出口处注入

谷歌云的博客写的是另一种场景。Agent Compute Engine 给每个智能体一台硬件隔离的微型虚拟机，每台机器有自己的身份和短期凭据，「服务凭据在微型虚拟机之外的出口处注入」；开源的 Agent Substrate 在 Kubernetes 上做同样的事，出口代理执行网络策略，并把凭据注入到「智能体自己够不着的地方」。谷歌称 Agent Substrate 的计算密度最高是传统方式的 10 倍、在 20 万个智能体的基准里每秒激活 500 次，这些都是企业宣称。需要说清的是，Agent Compute Engine 本身写明「未来几个月」才开放预览，跨云和本机编程智能体的治理也写着「即将预览」，现在能用的是开源的 Agent Substrate。

小公司在做同样的事。Alter 10 月 21 日在 Hacker News 的发布帖里描述了一个常见情形：团队在 Slack 里各自登录用一个内部智能体，智能体却拿一把共享的 API 密钥连客户管理或计费系统，「这把钥匙能做什么，智能体就能做什么」。Alter 的做法是当代理，替智能体持有下游凭据，每一次调用都按代表的那个人和策略检查一遍。

为什么这一步重要，又为什么不够

钥匙放在智能体手里的代价，我们这个月已经写过两次：LiteLLM 投毒事件里，官方称攻击者从网关日志里拿到了编程智能体回显的令牌（见那一篇）；OpenCode 的云端控制台被入侵，团队存进去的模型密钥可能外泄（见这一篇）。凭据不进智能体、不进对话记录和日志，正好堵住这类泄露。

但分析推断（依据：1Password 文档描述的是「代填后由智能体继续任务」，谷歌描述的是凭据在出口代理处注入、请求照常发出）：密码不在智能体手里，登录之后的会话却在。一个被网页里藏着的指令诱导的智能体，偷不走密码，却仍能用已经登录的账户去改设置、发消息、下单。谷歌的出口代理能按策略拦下一部分请求，1Password 的批准只发生在登录那一刻。所以评估这类方案要分两问：密码会不会泄出去，进门之后它能动哪些东西。第一问今天有了比较好的答案，第二问还要看各家的审批和限权能做多细。

最强反方

最有力的反驳是：凭据泄露本来就是智能体出事最常见、损失最大的一类，把它堵上就是最主要的进步；登录后的动作本来就有别的护栏，比如 Claude Duet 发消息、付款前要人批准（见我们写过的那一篇），谷歌的网关按策略逐次放行。把「进门之后」算成这次发布的缺口，是拿一个产品去要求它本不负责的事。

我们让步一半：凭据不进智能体确实是该先做的那一步，各家把动作审批交给智能体产品本身也合理。但我们仍坚持，读者不该把「它看不见我的密码」理解成「它进了我的账户也安全」。登录那一次批准管不到后面几小时的会话，而谷歌这次宣布扩展的治理能力，大多还写着「预览」和「即将」。如果半年内这些产品普遍做到按任务发放、任务结束即收回的会话权限，我们会改口说这两问都有了答案。

我们不知道什么

• 1Password 各家合作方的接入具体何时上线、是否收费，发布稿和报道都没有给出时间表。
• 代填之后，智能体拿到的会话能保持多久、能不能由用户或 1Password 一键收回，文档没有写。
• 谷歌出口代理的策略能细到什么程度，比如能不能限定某个智能体只能读、不能改某个系统，要等 Agent Compute Engine 开放预览后才看得到。
• 这几家方案的实际接入量和拦下的事件数，都没有公开数字。

接下来看什么

一看 Claude Duet、Dots、Muse 接入 1Password 后，登录之外的动作审批是否也按任务收窄；二看谷歌 Agent Compute Engine 开放预览时的权限策略文档；三看有没有智能体在凭据不可见的情况下仍被诱导滥用会话的公开案例，那会直接检验我们的论点。