口令没给它，账号给了它

10 月 22 日，1Password 发布了一套给个人 AI agent 用的登录方案。agent 走到登录页，1Password 把口令填进表单，批准发生在你自己的设备上。官方对这一步的说法很具体：「1Password directly auto-fills the credentials in the destination site so the agent doesn't have access to the credentials.」1

被点名的伙伴有五家：Meta 的 Muse、Anthropic 的 Claude Duet、OpenAI 的 ChatGPT Work 与 dots、SpaceXSI 的 Grok Bot、Town 的 Townie。另有九家在「在造」的名单上。1

新闻稿的日期行写着「Thursday, October 22, 2026 9:00am EDT」，也就是北京时间当天 21:00。2 同一分钟，The Verge 与 Engadget 各发一篇，SiliconANGLE 在十三秒后跟上；9to5Google 晚一小时四十分钟。3456

官方把流程拆成三步。第一步，agent 到登录页时用「a unique digital key」向 1Password 证明身份。第二步，申请送到人手上，人看得到它要哪条凭据、为什么，批不批由人点。第三步，1Password 直接把口令或一次性验证码填进表单；「Once the website accepts the login, 1Password removes the credential so the agent can't read or reuse it as it continues the task.」7

这三步处理的全是口令。第四步没有编号，因为它已经不属于凭据了：网站接受登录之后，agent 坐在一个已经成立的会话里。官方 FAQ 把这一句写得很直白：「An agent may be able to see information or take actions within the signed-in account. Its behavior there depends on the agent and the website.」7

两句话放在一起，这次的边界就出来了。1Password 保证的是「口令不进 agent 的手里」，它没有保证「登录之后 agent 不做事」——后者被交给 agent 和网站各自解释。

「移除」这件事，官方有两种说法，说的是两样东西。产品页讲的是页面上的值：网站一接受登录，凭据就从表单里移走。7 8 月 17 日那份 Claude 文档讲的是另一层：凭据在浏览器扩展的内存里加密保存，「The cache is destroyed when the agent signals that its task is complete, when the browser closes, and in any case after a hard cap of nine hours.」8

两个时刻都对，因为它们量的不是同一件事：一个是页面上那一格，一个是扩展里那份缓存。两个都不包括站点留在浏览器里的 cookie——那是会话，不是凭据。

7 月 17 日，即 1Password 与 Claude 的集成上线第二天，一位写技术分析的作者（Rohit Ramachandran，个人博客，不是机构实验室）用一句话说完了这件事：「The password disappears; the session keeps the authority.」9 他还指出，官方文档没有说目标站点的登录 cookie 会在同一时刻被注销，「Grant expiry and session expiry are different events.」

这次发布没有移动这条边界。让「使用而不泄露」变得普通人能懂，是 1Password 做到的；「行动而不继承全部」仍是下一道题。

五家伙伴的状态，官方博文逐家写了原文。Muse 与 Grok Bot 是「integrations rolling out over the coming days across all platforms」；Claude Duet 与 OpenAI 的 ChatGPT Work 和 dots 是「integrations coming soon」；Town Townie 是「web and iOS integrations coming soon」。1

没有一家写「available now」。这一点在伙伴页上更清楚：Muse 与 Grok Bot 各自的合作页，角标仍是「Coming soon」，按钮是「Join the waitlist」，页面上找不到一条开通步骤。1011 Claude Duet、ChatGPT Work、dots 与 Townie 在 1Password 的站点地图里连合作页都没有：/partners/ 下总共只有七条。

范围也窄。博文的脚注写「currently available at no additional cost for 1Password Individual and Family accounts on 1Password.com」，后面跟着一句「Accounts on 1Password.eu or 1Password.ca aren't currently supported」。1 Grok Bot 的合作页多写了一句：Business 与 Team Starter Pack 账户也不在资格内；Muse 的合作页没有这句。11

用户这边已经等了六周。发布前一天，r/1Password 上有一条标题为「What happened to the promised integration with Muse?」的帖子：「I was very excited about the support announcement from 1Password back when Muse launched. Fast forward 6 weeks and there haven't been any updates, is it still 'coming soon'?」12

所以这一天的发布会，发布的是一个平台：一个合作方名单、一套审批流程、一个等待名单。

读者默认的规则是「每次登录都要我批」。平台的 FAQ 只承诺了其中一半：「你决定批不批」。另一半写着：「How often you are asked to approve access may vary by integration.」7

写得最硬的那条规则在别处。8 月 17 日的 Claude 文档写：「A human approves every credential release… There are no standing approvals: a new agent session means a new prompt.」8 那是 Claude 那条链路的口径——它需要 Mac、桌面 app、浏览器扩展与 Chrome 里的 Claude——不是这次平台的统一承诺。这次点名的五家，support 站上还没有一篇对应的文章。

即使每次都问，一次点击能承载的信息也只有两类：它要哪个账号、为什么；以及多条保存的登录都匹配时，用哪一条。7 它看不到的，是登录之后 agent 要做什么、会读什么、会改什么——那一段官方交给了 agent 与网站。

那位 7 月的作者把可预期的失败模式也写了下来：「Approval fatigue is the predictable failure mode. If multi-site tasks create a stream of similar prompts, people will approve on rhythm.」9 这句话在 10 月 22 日之后更成立了：一个任务里 agent 要登几次、问几次，现在由每家集成自己决定。

1Password 第一个点名的集成是 Muse。9 月 20 日夜里，Muse 用户在 Amazon 上看到一条弹窗：「continued access by an unauthorized AI agent violates Amazon's Conditions of Use, to which our customers have agreed.」13

Amazon 的理由不是「用户没同意」，而是「站点没同意」。它说 Muse 在客户提示下能进到账户页与订单历史，而它不表明自己是 agent，于是这等于「一个未披露的第三方在客户账户里活动、处理交易、处理敏感数据，而 Amazon 不知情也未同意」。13

条款里也能读出同一条线。Amazon 的使用条件在 2026 年 8 月 14 日那一版里有一节 Agent 条款：「No Agent may access, use, or interact with Amazon Services unless, at all times, it identifies itself and operates in strict accordance with the requirements in section 3 of these Agent Terms」；同页还写着站点可以「At our sole discretion… limit, including by technical measures, whether and how any Agent accesses」。14

Walmart 走得更远。9 月 21 日那一版的使用条款里，未按 16.L 获授权的 Agent 与 robot、spider 并列，禁止其「place orders」或与站点交互；而 16.L 把许可写得很清楚：「Any right of an Agent to access or use the Walmart Sites is granted solely by Walmart and may be conditioned, limited, suspended, or revoked by Walmart at any time.」15

X 的写法是把门交给接口：「access or search… other than through our currently available, published interfaces… unless you have been specifically allowed to do so in a separate agreement with us」。16

这几家的共同点不是「禁止 agent」，而是许可的签发方不同。用户在自己的 vault 里批准的是「你用它」；站点发的是「它能来」。这两张许可不在同一个柜子里，也不由同一个人签字。

这套机制不算新。2025 年 10 月 8 日，1Password 就发布过 Secure Agentic Autofill，第一个集成是 Browserbase，凭据经 Noise 协议建立的端到端通道注入浏览器，「only when required and always authorized by a person」。17 2026 年 7 月 16 日，1Password for Claude 上线，写的是「available now for Mac, across business, family, and individual plans」。18

9 月 3 日的 Universal Sign In 甚至预告了这一天：「Once every authentication method runs through our universal sign-in system, that system can be driven by something other than your click, including an AI agent acting with your explicit approval.」19

10 月 22 日新增的是覆盖面与分发：五家伙伴、一个统一的审批界面、装进 Individual 与 Family 计划，加一个等待名单。机制没有换，换的是它面向谁、以什么形式打包。

四家当天的报道里，没有一家把「凭据被移除」和「会话仍然存在」并排写出来。9to5Google 引了前一句（以「1Password explains:」引出），没有引后一句。6 The Verge 的写法是「designed to work with a variety of popular AI agents」，绕开了状态问题。3

Engadget 的标题与正文更靠前一步：它写这套东西已经能和 Muse、Dots、Grok Bot 一起用，而官方写的是「未来几天陆续上线」与「即将到来」。同一篇的结尾还写，公司「has yet to reveal other details like pricing or availability」——而官方当天已经写明，这项能力对 Individual 与 Family 计划不额外收费。4

SiliconANGLE 是四家里唯一给出时间口径的：它引 Anthropic 的首席产品官 Ami Vora 说，1Password 会「soon」填这些登录；同一篇写「The company did not say when each partner integration will reach users.」5

另一条线在隔一天前。Anthropic 的 Claude Duet 在 10 月 21 日挂出，是研究预览、先给美国的 Pro 与 Max 用户、要排队；它对 1Password 的写法也是「Coming soon, with your permission, it will be able to sign in to sites with logins you've saved in 1Password.」20 也就是说，两家的集成互相都在等对方。VentureBeat 在 10 月 21 日就写了这一句：「That capability is forthcoming.」21

第一，先分清这是谁的许可。vault 批准的是「你用它」，站点批准的是「它能来」。前者不能替后者签字：Amazon 拒 Muse 时，用户是同意了的。13

第二，把会话当成这次任务真正的产物。凭据会被收走，会话不会；批准之前，先想清楚这次任务会给 agent 留下什么权限、能碰到哪些页面。

第三，别按「每次都问」估自己的风险。频率因集成而异，接之前要问清楚这一家多久问一次、凭据缓存留多久；同一家公司的另一条链路写的是「新会话就是新提示」，但那是另一条链路。

能确定的是：发布在 10 月 22 日，新闻稿时刻 9:00am EDT；机制是 vault 代填、凭据不进 agent；五家伙伴没有一家写「现在可用」，Muse 与 Grok Bot 的合作页角标仍是 Coming soon；可用范围只写 Individual 与 Family，且仅限 1Password.com；登录之后 agent 仍可在账号里行动，这是官方自己写的。

不能确定的有几块。五家的批准频率、凭据缓存多久销毁，官方没有公布——support 站上连一篇对应文章都没有；能引的那套细则属于 Claude 那条只支持 Mac 的链路。8 「unique digital key」怎么签发、能不能被复制，官方一句技术表述都没有，开发者站也没有对外接入规范。

Business 与 Enterprise 是否被整体排除，两页口径不一致：Grok Bot 的合作页写了 Business 与 Team Starter Pack 不在资格内，Muse 页没写，博文只写 Individual 与 Family。1

也没有第三方技术复核。截至发稿，检索不到针对这次发布的独立分析；对同一机制的独立分析只有 7 月那一篇，针对的是 Claude 集成。Hacker News 到 22 日 23:57 没有这条发布的故事条目；r/1Password 的官方帖分数 47、评论 18。22

最后一件可以说清的事很小：这套东西的价值不在「agent 能登录了」——那件事 2025 年 10 月就做过；它的价值在于让「每一次登录都有一个人在批准」变成普通人能看见的界面。而批准之后发生的事，仍然写在别人的条款里。