密码不进模型的两条路

“密码永远不经过模型”正在成为智能体产品的统一口号，但这句口号背后有两种完全不同的工程实现：一种跑在你自己的电脑上，一种跑在厂商的云端虚拟机里。

本地路线以 1Password for Claude 为代表，把密码管理器变成“本地信任锚”，用端到端加密通道在填充瞬间让智能体“闭眼”；云端路线以 Claude Duet 为代表，用一次性密钥、机器外代理和独立云浏览器，把机密挡在模型所在机器之外。

两者的共同原则一致：机密不进模型上下文、委托而不交付、人在回路、无常驻持有；但信任假设、密钥落点和批准方式因“本地在场、云端关机”而根本不同。

真正的难点其实不是密码，而是登录之后的会话令牌、Cookie 和高危动作——Duet 甚至把银行账户间转账列为即使你批准也不做的禁区。

看懂这两条路，银行才能为自己的本地坐席智能体与云端值守智能体，分别设计可落地的凭据与权限隔离架构。

一、同一个口号，两种工程

1. 本地智能体：典型是浏览器里的编程助手、网页副驾，运行在用户设备上，人就在键盘前，设备有安全芯片可作信任根。
2. 云端智能体：典型是 Claude Duet，运行在厂商的云计算机里，设备关机也能后台执行，人经常不在场，也没有面向用户的硬件信任根。
3. 目标相同：让智能体用凭据能解锁的东西，却永远拿不到凭据本身，从根上消除“机密进入模型上下文”这一泄漏面。
4. 路径分叉：本地可以把信任锚放在用户自己的保险库里，云端只能把信任拆到几台模型碰不到的专用机器和代理上。
5. 正在收敛：1Password 于 2026 年 10 月 22 日发布跨厂商的 1Password for Agents，试图把本地保险库模式延伸到各种云端智能体。

二、本地路线：把密码管理器做成信任锚

1. 1Password for Claude 于 2026 年 7 月 16 日推出：用于 macOS 上的 Claude Desktop 与 Claude in Chrome，让 Claude 完成需要登录的浏览器任务，密码和一次性验证码不进入模型上下文、记忆或 Anthropic 系统。
2. 智能体只提请求：Claude 遇到登录页时向 1Password 请求凭据，只说明要登录哪个站点，不接触任何秘密值。
3. 代码签名配对：1Password 用操作系统代码签名校验请求方，必须是有效签名、在可信伙伴白名单、由 Anthropic 已验证开发者团队发布的应用。
4. 逐会话身份：每个智能体会话单独注册，1Password 铸造绑定该会话的密钥，会话之间互不可见，类似本地版的 OIDC 联邦。
5. 本地盲中继：浏览器扩展与桌面应用之间走本地回环中继，用基于 Noise 的协议端到端加密、双向认证、每会话密钥，中继读不到也改不了载荷。
6. 内存暂存、填充闭眼：凭据用 AES-256-GCM 仅在内存中加密暂存、绝不落盘；填充那一刻智能体停止读取页面，提交成功后再睁眼，失败先清空，且只填进与凭据项匹配的网站。
7. 生物识别逐次批准：每次释放都在 1Password 弹窗里用 Touch ID 等确认，无常驻授权；这一路线充分利用了“人在场”这个本地环境最强的条件。

三、云端路线：Duet 的三道隔离墙

Claude Duet 于 2026 年 10 月 21 日开放研究预览，其安全专页（10 月 23 日）确立三条原则：谨慎处理信息、人保持控制、永不看到密码、浏览器 Cookie 和登录令牌。它在云端把凭据隔离拆成三道墙。

1. 密码：一次性密钥，两头不见模型：当网站要求密码时，用户在 Claude App 内的表单输入；表单用一把一次性密钥加密，该密钥只存在于 Anthropic 的安全云浏览器机器上、且仅这一次使用；密文不打开地传给浏览器，由浏览器键入网站。模型看不到密码，也无法保存或复述。
2. 令牌：占位符加机器外代理：对连接应用的登录令牌，Duet 沿用 Claude Managed Agents 设计——令牌永不进入智能体工作的机器，那台机器上只有一个占位符，由机器之外的一个代理在请求真正发出时才替换成真实值。
3. 浏览器：独立专用云虚拟机：浏览器运行在专属云虚拟机里，与模型、与智能体工作机都隔离；智能体只能通过“打开此页、点这里、输入这些”这组固定命令驱动浏览器。
4. 网站代码与 Cookie 不出浏览器机：网页脚本和 Cookie 留在浏览器虚拟机，不进入 Duet 记忆或已连接应用，智能体的任何命令也无法读出 Cookie；回传给智能体的只有页面文本和下载文件。
5. 登录表单自身防钓鱼：Duet 不持有凭据，所以无法被网页里的隐藏指令套出密码；官方同时规定登录表单只在 App 内、由用户发起的登录过程中出现，绝不通过链接、短信、邮件或非 claude.ai 网站送达。
6. 身份透明与可拒绝：Duet 浏览器请求带独特 User-Agent 头，并公开浏览所用 IP 地址，官方在上线前还联系多家大型网站、允许其屏蔽 Duet 访问。

四、关键差异：本地有“在场的人”，云端是“关机的设备”

1. 信任根不同：本地路线可把设备绑定密钥放进苹果 Secure Enclave 或 Windows TPM，私钥不出安全区；云端智能体没有面向用户的硬件信任根，只能用专用机器、最小化密钥存在范围和单次使用来逼近。
2. 密钥落点不同：本地的长期密钥在用户保险库里，云端的一次性密钥只在云浏览器机上短暂存在、用后即弃。
3. 批准方式不同：本地能便利地用生物识别逐次批准；云端任务在人离开时运行，批准被前移到动作发生前，并通过移动端 App 推送，人不在场时默认不执行高危动作。
4. 机密路径不同：本地是“保险库到网页”的旁路注入，云端是“手机加密、云浏览器机解密、模型机只见占位符”的多机跳转。
5. 攻击面不同：本地主要防同机恶意进程与扩展滥用，云端还要防跨虚拟机、跨会话和云内部威胁，因此更强调机器边界、固定命令与最小回传。
6. 共同点：两条路都把“携带真实权限的东西”放进一个独立于模型的控制平面，模型只表达意图，不持有、不读取、不复述秘密。

五、真正的难点是令牌与动作，不是密码

1. 现代登录靠令牌：用户登录后，真正代表身份的是会话 Cookie、访问令牌和刷新令牌，密码只是一次性入场券；只保护密码而放任令牌，等于守了大门、开了窗户。
2. Duet 的代理替换更具普遍性：占位符加机器外代理的思路，本质是“机密注入点”与“推理执行点”分离，可推广到 API 密钥、数据库口令、支付凭据等一切机密，与银行熟悉的支付令牌化同构。
3. 会话仍然在智能体手里：登录成功后，智能体就在已认证会话内操作，Cookie 即便读不出，也能驱动页面下单、改设置、发邮件，这是凭据保护覆盖不到的区域。
4. 动作分类器补位：Duet 对每个动作跑一个独立于工作模型的自动检查，判断是否符合用户意图，该检查在模型之外运行，网页里的隐藏指令无法影响它的结论。
5. 高危动作列为禁区：即便用户批准，Duet 也不做证券交易、银行账户间转账这类银行动作，不访问他人账户；付款、汇款、删除订单、开户等步骤不适用“不再询问”，每次都要重新确认。
6. 支付用一次性卡：网购通过 Stripe Link 之类钱包生成限定商户、限定金额的一次性卡，真实卡号既不给 Duet 也不给商户，把同样的隔离原则用到支付凭证上。

六、收敛：一个跨厂商的智能体信任层

1. 1Password for Agents 于 2026 年 10 月 22 日发布：定位为个人 AI 智能体的“信任层”，让智能体在不看到、不存储密码和机密的前提下完成登录与任务。
2. 统一交互模式：智能体遇到登录表单时，用唯一数字密钥向 1Password 证明身份；用户在自己设备上看到需要哪个凭据、为什么，再决定是否批准；批准在用户本人设备上完成，1Password 直接把凭据填进表单，而不是发给智能体。
3. 多方接入：首批覆盖 Meta Muse、Anthropic Claude Duet、OpenAI ChatGPT Work 与 dots、SpaceXSI Grok Bot、Town Townie，还包括 Browserbase、Browser Use 等浏览器基础设施厂商。
4. 对 Duet 的含义：官方安全页把 1Password 登录写为“即将支持”，届时 Duet 会请求凭据、用户在 1Password 中批准、凭据不经模型进入浏览器，等于在云端自研方案之外，再叠加一层用户自持的第三方保险库。
5. 趋势判断：行业正在从“每个智能体各自保存密码”走向“智能体只持有短时、受限的授权，机密集中在中立信任层”，这与零信任、零常驻权限和特权访问管理的方向一致。

七、还没解决的问题

1. 凭据安全不等于行为安全：即使密码和令牌被隔离，智能体在已登录会话中仍可能被提示注入诱导，执行越权操作或外发数据。
2. 页面文本仍进入模型：Duet 必须读页面才能干活，页面里的敏感信息、注入指令仍可能影响它，需靠独立动作检查与提示注入防护兜底。
3. 云端信任仍需让渡：云端方案里，用户必须信任云浏览器机这一“黑盒”，无法像本地那样完全自控，第三方保险库的吸引力正在于此。
4. 研究层面的开放问题：浏览器智能体使同源策略的强度下降到对提示注入的防御强度，掩码字段、脚本注入、跨域读取等问题仍在演化，尚无厂商宣称彻底解决。
5. 产品成熟度：Duet 仍是研究预览，仅面向美国 Pro 和 Max 用户，安全页也明示登录方式、审批频率与敏感信息检查仍在变化，外部渗透测试仍在进行。

八、对银行的架构启示

1. 本地与云端分别设计：网点坐席、开发运维等本地智能体，可采用本地保险库加设备信任根；云端值守、批量处理类智能体，应采用专用隔离机、一次性密钥和机器外代理，不能照搬本地方案。
2. 把机密注入点独立出来：建设统一的凭据与令牌代理，智能体工作机只放占位符，在请求出域时由代理填入真实值，并记录每一次取用，实现“推理与机密分离”。
3. 用令牌化代替可重用密码：对核心系统、数据库和支付通道，全面采用短时令牌、限定范围与金额的交易凭据，减少长寿命密钥，结合即时取用与自动回收。
4. 浏览器与会话隔离：需要操作网页的智能体应跑在独立虚拟机或独立浏览器配置里，固定可用命令，封锁 Cookie 读取与跨域访问，限制横向移动。
5. 动作级而非仅凭据级管控：登录之后再设一道动作闸门，对转账、改限额、加收款人、签约等高危动作做独立判定、强身份核验和逐次审批，不提供“永久放行”。
6. 明确银行动作禁区：对资金交易等高风险行为，可参考 Duet 直接设为即使客户口头批准也不允许全自动完成的禁区，强制回到行方自有渠道与强认证。
7. 审批要防疲劳：控制审批频率与分级，避免“审批疲劳”导致用户机械点过；对高危动作宁可多问，对低风险动作默认放行。
8. 把第三方智能体纳入准入：评估外部智能体接入银行服务时，要求其提供凭据隔离架构、独立动作检查、可识别身份（User-Agent、来源 IP）、可拒绝访问与审计日志。

九、落地清单

1. 按本地、云端两类智能体分别梳理机密流向，标出密码、令牌、Cookie、API 密钥实际落在哪台机器。
2. 为智能体工作机引入占位符与机密代理，禁止任何机密进入模型上下文、日志、记忆与训练数据。
3. 用专用虚拟机、固定命令和最小回传承载网页操作，隔离网站代码、Cookie 与文件。
4. 建立动作分类与禁区清单，对资金类高危动作强制独立检查与强认证。
5. 以短时令牌、一次性卡、限定商户与金额替代可重用密码和卡号。
6. 统一审批入口、控制审批频次，保留完整且可归属到人的审计记录。
7. 对第三方智能体实施身份透明、可屏蔽、可审计的接入策略，并定期开展红队与渗透测试。

结语

“密码不进模型”看似只是一个功能点，实则是智能体安全架构的分水岭。本地方案靠一台你自己掌控的信任锚，把机密在旁路安全地送进网页；云端方案靠一次性密钥、机器外代理和独立浏览器机，在人不在场、设备关机的情况下依然让模型碰不到秘密。两条路形态不同，内核却一致：把机密从模型的上下文里拿走，把它放进一个独立、短命、最小授权、可审计的控制平面。 对银行而言，比记住任何一家产品更重要的是掌握这条原则，并把它延伸到令牌、会话和动作——密码挡住了，登录后的资金动作更要挡住；凭据看不见了，越权的手更要捆住。这才是智能体从“能干活”走向“敢上岗”的真正门槛。

（口径说明：本文事实依据 Anthropic 官方《Claude Duet Safety, Privacy, and Security》（2026-10-23）、《Introducing Claude Duet》（2026-10-21），1Password 官方新闻稿《1Password for Agents》（2026-10-22）、《1Password for Claude》安全说明（2026-08-17）与本地委托授权参考架构。Claude Duet 为研究预览，仅面向美国 Pro、Max 用户，1Password 登录在官方文档中表述为“即将支持”，具体机制、审批频率与安全边界可能随版本变化。1Password for Claude 为 macOS 付费套餐 beta。文中机制描述以官方当时有效文档为准，不构成法律或投资建议。）