ゼロ暴露アーキテクチャは本当にパスワード流出を完全に防げるのですか？
ゼロ暴露アーキテクチャが対処するのは特定の攻撃経路である。パスワードが平文でモデルのコンテキストに入り、その後モデルが誤って出力してしまう、プロンプトインジェクションによって誘導され流出する、あるいは会話履歴に残留してしまうといったリスクだ。パスワード本体は最初から最後まで1Passwordが独立したチャネルを通じてページに直接注入し、Claudeには読み取り権限が一切ないため、この特定の経路上での流出リスクは確かに大幅に低減されている。
しかし、これによりシステム全体がパスワード関連のリスクから完全に免疫を得るわけではない。例えば、エージェントがユーザーの知らないうちにログイン動作をトリガーするよう誘導されたり、ログイン後に本来実行すべきでない操作（すでにログイン済みのアカウントから他の機密データを流出させるなど）を行うよう誘導されたりした場合、ゼロ暴露アーキテクチャ自体はそれを止められない。問題はパスワードが見られたかどうかではなく、エージェントの判断や行動が乗っ取られたかどうかだからだ。これが、ゼロ暴露アーキテクチャがAgentic Modeのような追加の保護策と組み合わせて使われるべき理由でもある。単一の仕組みだけでは攻撃対象領域全体をカバーできない。
BioShocking攻撃は1Passwordのゼロ暴露アーキテクチャと直接関係があるのですか、それとも単なるタイミングの偶然ですか？
両者は異なる層の問題に対処しているが、同じより大きなリスクカテゴリーの2つの側面を描いている。BioShockingが実証したのは「エージェントがウェブページのコンテンツを読み取り、それに基づいて行動する」という経路がどう乗っ取られうるかということだ。攻撃者はパスワードを盗む必要すらなく、エージェントに捏造されたルール（ゲームロジックなど）を信じ込ませるだけで、エージェントはすでにログイン済みの状態でデータを流出させてしまう。この攻撃ではパスワード自体は一切直接触れられていない。一方、ゼロ暴露アーキテクチャが対処するのは別の経路だ。たとえエージェントが乗っ取られなかったとしても、パスワードを平文でエージェントに渡すこと自体がリスクである。モデルのコンテキストに入ったものは理論上、出力されたり、記録されたり、後の注入攻撃によって間接的に読み取られたりする可能性があるからだ。
両者を合わせて見ると、同じより大きなテーマを反映していることがわかる。エージェントがブラウザの制御権とアカウントへのアクセス能力を持つようになると、攻撃対象領域はパスワード自体にとどまらず、エージェント自身の判断ロジックが外部コンテンツによって乗っ取られうるかどうかにも及ぶ。これが、1Passwordがゼロ暴露アーキテクチャ（パスワードがモデルに入らないよう保護する）とAgentic Mode（パスワード管理者自体が乗っ取られたエージェントからアクセスされないよう保護する）を同時に発表した理由でもある。どちらか一方の仕組みだけでは、このより大きなリスクカテゴリーを完全にはカバーできない。
ゼロ暴露アーキテクチャがすでにパスワードをモデルに入らせないようにしているのに、なぜ別途Agentic Modeを設計する必要があるのですか？この2つの保護は重複していませんか？
この2つの保護は攻撃の起点が異なるため、重複しているわけではない。ゼロ暴露アーキテクチャが想定する脅威シナリオは「Claude自体は正常に動作しているが、パスワードというデータはそもそも見せるべきではない」というものであり、防いでいるのは情報漏洩であって、Claudeが乗っ取られているかどうかとは無関係だ。たとえClaudeが一切騙されていなくても、この層には意味がある。パスワードがモデルのコンテキストに入った後に生じうる様々な派生リスク（誤出力、記録への残留、後の注入攻撃による間接的な読み取り）を低減するからだ。一方Agentic Modeが想定する脅威シナリオは「エージェント自体の判断がすでに乗っ取られており、今や植え付けられた指示が要求することを何でも実行してしまう」というものだ。この段階では問題はパスワードがモデルに入ったかどうかではなく、乗っ取られたエージェントがパスワード管理者自体のインターフェースに直接手を出せるかどうかである。例えばボールト内の他の未承認の項目を読み取ろうと試みる、といったことだ。
まさにこれが、両者を合わせて見るべき理由だ。ゼロ暴露アーキテクチャだけでは、BioShockingのような手法でエージェントが乗っ取られた場合、パスワード自体はモデルに直接読み取られていなくても、乗っ取られたエージェントは理論上、操作インターフェースを通じてボールト内の他のコンテンツにアクセスを試みることができてしまう。Agentic Modeが埋めるのはまさにこの隙間だ。操作インターフェース全体をロックすることで、乗っ取られたエージェントが何かをしようとしても、現在のタスクですでに承認された1つの認証情報しか使えず、それ以外のコンテンツには物理的に手が届かない。2つの層はそれぞれ「パスワードが見られるかどうか」と「乗っ取られたエージェントがどれだけの被害を引き起こせるか」という、攻撃連鎖の異なる箇所に対処している。
ユーザーとして、ベンダーのアーキテクチャ設計を信頼する以外に、自分自身でリスクを減らすために何ができますか？
第一に、「範囲限定」の原則を活用することだ。すべてのアカウントを同じボールトに入れて、その全部をエージェントの使用に承認するのではなく、高リスクなアカウント（銀行、暗号資産取引所、主要なメールなど）は別に保管するか、より高いレベルの承認を必要とするよう設定することを検討し、日常タスクで実際に使う低リスクなアカウントだけをエージェントに開放する。こうすれば、たとえある承認判断が誤っていたとしても、露出範囲は低リスクなアカウントに限定される。第二に、承認リクエストの内容そのものが妥当かどうかに注意を払うことだ。1Passwordは毎回、どの認証情報が要求されているか、なぜ必要かを提示する。もしエージェントが要求している認証情報が、本来依頼したタスクと一致しない場合（例えば価格比較を頼んだだけなのに、銀行の認証情報を要求してくるなど）、それは立ち止まって再確認すべき兆候であり、承認フローが習慣的な動作になったからといって、深く考えずに同意ボタンを押すべきではない。
第三の、最も見落とされがちなことは、承認の瞬間だけで判断するのではなく、エージェントの活動記録を定期的に確認することだ。ゼロ暴露アーキテクチャはパスワード自体をより安全にするが、その後エージェントが実際に何をしたかについてユーザーが一切気にしなくてよいわけではない。製品にタスク履歴機能があれば、それを定期的に見返す習慣をつけることで、被害が拡大する前に異常なパターンをより早く発見できる。これは技術アーキテクチャの外側で、ユーザー自身が補える最後の防衛線である。
エージェントにウェブサイトへのログインやチェックアウトを代行させる方法は、長らく1つしかなかった。ユーザー名とパスワードを平文でエージェントに渡し、それをページのフォーム欄に直接入力させる方法だ。これはパスワードがモデルのコンテキストに入る、つまりモデルがそれを「見る」ことを意味する。2026年7月、パスワード管理サービスの1PasswordはAnthropicと提携し、「1Password for Claude」を発表した。これは異なるアプローチを提案するものだ。Claudeはログイン情報を使ってタスクを完了できるが、パスワード本体は一切モデルやその記憶に入らない。
1Passwordはパスワードとワンタイムパスコードの唯一の保管者であり続け、Claudeはタスク実行時のみアクセス権を付与され、タスク終了と同時にそのアクセスは即座に取り消される。常駐アクセスは残らず、次のセッションに引き継がれることもない。Claudeがブラウジングタスク中にログインが必要なページに遭遇すると、1Passwordはまずユーザーにどの認証情報が要求されているか、なぜ必要かを提示する。ユーザーが生体認証による承認を完了して初めて、1Passwordはユーザー名とパスワードをページのフィールドに直接注入する。このプロセスはClaudeを完全に迂回し、Claudeはボールト項目、パスワード本体、ワンタイムコードを一切見ることがない。入力完了後、1Passwordはページ上に秘密情報が誤って露出していないか確認する。送信に失敗した場合、1Passwordは入力済みの値をクリアしてからClaudeに制御を戻す。1Passwordの最高技術責任者ナンシー・ワン氏はこの設計の論理をこう述べている。「人間だけでなくエージェント専用に構築された新しいセキュリティモデルが必要だ……答えはエージェントに秘密を渡すことではない。ユーザーがエージェントに、認証情報を『使用する』許可を与えつつ、それを見せないようにすることだ」
ゼロ暴露アーキテクチャはパスワードがモデルのコンテキストに入るべきかという問題に対処するが、第二の層のリスクを未解決のまま残す。エージェント自体がブラウザの完全な制御権を握った場合、逆にパスワード管理者自身の拡張機能を操作してしまう可能性はないのか、という点だ。1PasswordはまさにこのシナリオのためにAgentic Modeを設計した。これはブラウザ拡張機能内の独立した仕組みで、互換性のあるAIエーAIエージェントザの制御を握ったことを検知すると、操作インターフェース全体を自動的に隠して施錠する。エージェントは現在のタスクに明示的に承認されたログイン情報のみを使用でき、ボールト内のそれ以外の内容には一切アクセスできなくなる。この防御は追加の設定なしに機能し、そのタスクで1Passwordが不要な場合でも作動し、保護対象はClaudeだけでなく他の互換エージェントにも及ぶ。
1Password for Claudeが発表される1ヶ月前、セキュリティ研究会社のLayerXは「BioShocking」と呼ぶ攻撃を公開実証した。研究者らはパズルゲームを装った悪意あるウェブページを構築し、そのゲームロジックは意図的に「間違った」答え（例えば2足す2は5であると主張すること）に報酬を与えるよう設計されていた。エージェントがこの「間違いが正解」というゲームロジックを受け入れると、そのゲームのルールを本来の安全ルールよりも優先すべき指示として扱うようになり、すでにログイン済みのアカウントからデータを流出させるよう誘導されうる。このテストはOpenAIのChatGPT Atlas、PerplexityのComet、AnthropicのClaudeブラウザ拡張機能を含む複数の主要なAIブラウザエージェントを対象とした。LayerXによれば、2025年10月から2026年1月にかけて各ベンダーに順次開示したという。OpenAIはChatGPT Atlasでこの問題を修正したが、LayerXはAnthropicによるClaude拡張機能への修正は完全には効いていないと報告している。この事件は、エージェントが認証情報にアクセスする経路自体が攻撃者に悪用されうるというリスクの具体的な実証であり、まさにゼロ暴露アーキテクチャが対処しているのはこの経路の問題である。たとえエージェントが騙されて実行すべきでない行動を取ってしまったとしても、パスワード自体はそもそもエージェントが読み取ったり流出させたりできる範囲に入ったことは一度もない。
1Password for Claudeは現時点でMacのみで利用可能であり、1Passwordデスクトップアプリとブラウザ拡張機能（v8.12.28以降）、そしてClaudeデスクトップアプリとChrome版Claudeの両方が必要で、個人・家族・ビジネスのいずれのプランでも利用できる。現在のサポート範囲は「ログイン」タイプの項目に保存されたアカウントパスワードとワンタイム確認コードに限定されており、パスキー、ソーシャルログイン、支払いカード、身元情報にはまだ対応していない。同社は発表後に順次対応を追加していく方針だとしている。この保守的な範囲は、PYMNTS Intelligenceの調査結果とある程度一致している。オンラインショッパーの56%はAIエージェントに価格比較を手伝ってもらうことを望んでいるが、エージェントに支払い認証情報を触らせることを望む割合は4割に満たない。ユーザーはエージェントが「作業をする」ことは受け入れられるが、エージェントが「お金や身元に触れる」ことには依然として明確な警戒心を抱いている。これこそがゼロ暴露アーキテクチャのような設計が埋めようとしている信頼のギャップである。
あなたがエージェント製品にアカウントの認証情報へのアクセスを許すべきかどうかを検討しているなら、ゼロ暴露アーキテクチャは具体的な検証基準を提供してくれる。「この製品は安全か」という検証しにくい漠然とした問いではなく、「プロセス全体のどこかの時点で、パスワードがモデルのコンテキストに読み込まれたり書き込まれたりしないか」を具体的に確認することだ。BioShockingの事例はまた、より根本的なことを思い出させてくれる。パスワード自体が保護されていても、エージェントは依然として、すでにログイン済みのアカウントから他のデータを流出させるなど、別の有害な行動を取るよう誘導されうるということだ。ゼロ暴露アーキテクチャが対処するのは認証情報の流出という特定のリスクであり、プロンププロンプトインジェクション解決策ではない。両者は分けて評価する必要があり、パスワードが安全に見えるからといって、エージェントの操作プロセス全体が安全だと仮定すべきではない。