結論：認証情報の露出は減るが、権限を持つエージェントのリスクは残る
Agentic Modeは、ClaudeへパスワードやMFAコードを渡す方法より安全です。 秘密値をモデルの文脈から外し、タスク単位の明示承認とボルトの自動ロックを組み合わせています。ただし、認証後のサイト操作、Cookie、誤承認、外部ページからの誘導は別に管理する必要があります。
「パスワードを見ない」と「ログイン後に何もできない」は別です。 認証が成功すると、Claudeは通常のログイン済みブラウザーセッション内で操作します。Cookieが残る場合があり、1Passwordの保証は秘密情報の保管・承認・入力までです。ログイン後の操作はClaude側と対象サイト側の安全策に依存します。
公式資料で確認できる保護
Zero exposureパスワードとOTPはモデル、コンテキスト、Anthropicのシステムを通りません。
Human approval新しいエージェントセッションごとに、利用者が対象項目を承認します。
Vault lockdown承認していないボルト項目をブラウザー操作から隠します。
1Passwordは保存済みWebサイトと一致するページだけへ入力し、入力中はエージェントのページ読み取りを止めます。送信に失敗した場合は入力値をページから消去すると説明しています。
それでも残る5つのリスク
| リスク | なぜ残るか | 対策 |
|---|---|---|
| 1. Cookieの継続 | ログイン後のセッションはサイト側が管理 | タスク終了時にログアウトし、状態を確認 |
| 2. 誤った操作 | Claudeはログイン済み利用者として操作できる | 読み取り専用、最小権限、重要操作の再承認 |
| 3. 誤承認 | 利用者が承認すれば対象項目は使用可能 | 承認画面のサイト名と項目名を毎回確認 |
| 4. ページ側の危険 | 送信後の情報は対象サイトとページ内スクリプトの管理下 | 保存URLを点検し、未知のサイトでは使わない |
| 5. 指示の汚染 | Webページの文言がエージェント判断へ影響する可能性 | 外部ページを信頼せず、送信・変更を確認制にする |
導入前チェックリスト
- Mac、1Passwordアプリ・拡張機能、Claudeアプリ・拡張機能を最新版にする。
- 1Password拡張機能でAgentic Modeが有効になったことを確認する。
- Businessでは「AIエージェントによる自動入力」ポリシーを担当者が決める。
- 管理者やオーナーではなく、作業専用の最小権限アカウントを作る。
- 初回は低リスクな読み取りタスクで、承認とログアウトの流れを試す。
- 購入、送信、削除、公開、権限変更は自動完了させない。
- 対象サービス側のアクセス履歴と監査ログを確認できるようにする。
意図しない操作が起きたら
- 1Password拡張機能でAgentic Modeを停止し、Claudeのブラウザー操作を終了する。
- 対象サイトからログアウトし、全セッションを無効化する。
- サイト側の操作履歴、送信、購入、設定変更、権限変更を確認する。
- 認証情報の露出が疑われる場合はパスワード、OTPシード、APIキーを更新する。
- Businessでは1Passwordと対象サービスの監査ログを保全し、管理者へ報告する。
「Claudeはパスワードを見ていない」だけで調査を終えないでください。 認証情報が漏れていなくても、ログイン済みセッション内でデータの閲覧・変更・送信が行われた可能性は別に確認します。
確認した1Password公式情報
よくある質問
Agentic Modeなら金融サイトも任せてよいですか？
秘密値の露出は抑えられますが、ログイン後の振込や設定変更まで安全になるわけではありません。読み取り専用権限、専用アカウント、最終確認を併用します。
タスク終了後は必ずログアウトされますか？
1Passwordの許可は終了しますが、対象サイトのCookieやログイン状態は別です。プロンプトでログアウトを指示し、実際の状態を確認します。
Agentic Modeを停止できますか？
1Passwordブラウザー拡張機能で有効状態を確認し、いつでも停止できます。Businessでは管理者ポリシーも利用できます。