钥匙不过手：1Password 让 Agent 登录，却不让它看见密码
1Password 推出 1Password for Agents：Agent 遇到登录页时向用户请求凭据，用户批准后由 1Password 直接代填，密码和验证码都不经过 Agent 和模型。
住过老式小区的人大概都见过这样的场面：快递员到了楼下，门卫不认识他，也不会把大门钥匙交给他，而是拿起对讲机拨到你家，问一句「有个送快递的，让不让进」，你说让，门卫按一下按钮，门开了，快递员进去，送完东西出来，门在他身后自己合上。整个过程里，快递员办成了事，却从头到尾没摸到过钥匙，也不知道钥匙长什么样。这套办法土是土了点，很多年来倒也没出过什么大乱子。我最近想起这个场面，是因为看到 1Password 在 10 月 22 日发的一篇博客，标题叫 1Password for Agents，讲的其实就是同一件事，只不过快递员换成了 AI Agent，门卫换成了密码管理器。
先说问题本身。这两年各家都在推所谓「个人 Agent」，帮你订东西、填表、追进度，听上去很美，可真用过的人都知道，它们多半会卡在同一个地方：登录页。网站要账号密码，Agent 手里没有。于是用户只剩两个选择，要么把密码直接贴进对话框，让模型记着，要么自己接过来手动登一遍，登完再把活交还给 Agent。前一种是把钥匙复印一把塞给陌生人，后一种是你自己跑下楼开门，那还要 Agent 做什么。1Password 在博客里点出的一个细节很有意思：浏览器自带的密码管理器也好，记在笔记里的密码也好，Agent 统统用不了，只能停在那里干等人来接管。换句话说，我们这些年辛辛苦苦给自己攒下的那套「记住密码」的便利，到了 Agent 这里，一夜之间全部作废。人类发明的那些方便，原本都是给人用的，默认坐在屏幕前的是一个会看、会想、会犹豫的活人；现在屏幕前换成了一个不知疲倦、也不知轻重的程序，那些方便就突然变成了漏洞，或者干脆变成了障碍。
1Password 给的办法，据它官方博客的说法，是这样的：Agent 碰到登录页时，向 1Password 请求某一个具体的凭据，用户看到请求，审核，批准，然后由 1Password 把凭据直接自动填到目标网站上。密码和一次性验证码不会交给 Agent，也不会进到模型里。用户能看到要共享的是什么，可以随时断开集成。以后改密码，只需要在保险库里改一次，连着的 Agent 自动就用上新的。博客里举的例子挺生活化：让 Meta 的 Muse 帮忙办一场派对，发邀请、追踪回复、按预算买物料，Muse 在需要的时候分别请求 RSVPify 和 Oriental Trading 的登录，用户只批这两个，别的一概不给。你看，这不就是门卫打电话那一套么，只是门卫从一个坐在传达室里打瞌睡的大爷，换成了一段代码。
我对这套设计的好感，主要来自一个朴素的判断：钥匙这种东西，过手的人越少越好。过去我们谈 Agent 安全，总喜欢谈模型会不会「学坏」、会不会被提示词注入骗走点什么，这当然都要紧，但有一件更笨的事常被忽略：只要密码以明文形式出现在对话里，它就会被记录，被缓存，被谁都说不清的环节看见。与其指望每一个环节都守口如瓶，不如干脆不让它经过这些环节。这是「不知道」比「不说」更可靠的老道理，做过保密工作的人都懂，做过婆婆的人大概也懂。
不过，老狗看事情，总要往不那么体面的地方多看一眼。钥匙没过手，不等于门里的东西都安全。门卫放快递员进门，快递员进了楼道，按理说只该去你家门口，可他要是顺手在别家门口转一圈，门卫是管不着的。按我的理解，1Password 填完密码之后，Agent 是在一个已经登录的会话里干活的，它看不到密码，却能以你的身份在那个网站上点按钮、下订单、改设置。所以这套办法解决的是「钥匙会不会被复印」，没有、也不打算解决「进门以后做了什么」。后一个问题，得靠 Agent 自己的规矩、网站自己的风控，以及用户自己的眼睛。我这么说不是挑刺，是怕有人看了标题，以为从此万事大吉。
另一个更隐蔽的成本，是注意力。每一次请求都要人批准，这在设计上是对的，可人是会累的。门卫打第一个电话，你会问清楚是哪家快递；打到后来，你多半已经条件反射地说「让进让进」了。审批这件事，最怕的不是被绕过，而是被习惯。好在 1Password 至少把「批哪个网站」做成了一次一议，而不是一揽子授权，这比把整个保险库交出去强得多。至于用户会不会在第几次之后开始闭着眼睛点同意，那是人性的事，任何产品都管不了，句号。
再说落地。博客列出的首批集成方里有 Meta 的 Muse、Anthropic 的 Claude Duet、OpenAI 的 ChatGPT Work 与 dots、SpaceXSI Grok Bot、Town 的 Townie，但各家进度不一样，不要看成都已经能用：Muse 和 SpaceXSI Grok Bot 的说法是「未来几天陆续上线」，Duet 和 ChatGPT Work、dots 是「即将推出」，Townie 的网页版和 iOS 版也是「即将推出」。后面排队的还有 Instinct、Browserbase、Browser Use、Dana、KERNEL、Perplexity、Ramp、Tomo、Wajo 等一串名字。可用范围上，1Password.com 的个人版和家庭版免费附带；1Password.eu 和 1Password.ca 的账户暂不支持；具体能做到什么，要看各家合作方怎么集成。它也对 Agent 开发者开放接入。这些都是官方原话的范围，我一个字也不敢往外扩，毕竟「即将」这两个字，在科技行业里的弹性，大家都是领教过的。值得多说一句的是「对开发者开放」这一条：门卫这个角色，以前是每家小区自己雇的，现在 1Password 想做的是一个大家都能接的门卫，谁家的 Agent 都可以来按这个对讲机。这当然是生意，但在密码这件事上，接口统一了，用户至少不必在每一个 Agent 那里重新交一遍钥匙，也不必记着哪把钥匙给过谁。
最后说点题外的。老式小区的门卫，是要认人的，熟面孔点个头就放进来，生面孔才打电话。后来小区换了门禁卡，门卫不必认人了，只认卡。现在轮到 Agent，连卡都不给它，只让它在门口等一声「让进」。这条路看上去越走越不近人情，可仔细想想，人情本来就是靠不住的那部分。我们把信任从「认得这个人」挪到「认得这张卡」，再挪到「每次都问一下主人」，每挪一步都更啰嗦，也都更安心一点。Agent 时代的信任大概就会长成这个样子：不靠它有多聪明，也不靠它有多听话，而是靠钥匙始终不在它手上。至于这套办法能不能真的普及，要看那些「即将推出」最后推出了几家，还有用户会不会嫌麻烦……其实也不必着急，门卫那套土办法，不也是用了很多年才被换掉的么？
来源：1Password 官方博客（2026-10-22）。各集成方状态按官方原话：Muse 与 SpaceXSI Grok Bot 为“未来几天陆续上线”，其余为“即将推出”，并非都已可用；目前仅支持 1Password.com 的个人版和家庭版，.eu/.ca 账户暂不支持，具体能力因集成方而异；“进门后照样能以你的身份操作”与审批疲劳为作者理解。披露：本站日常使用其中提到的 Grok Bot。