1Password: l'IA è una minaccia e uno strumento per la sicurezza delle credenziali

L'IA come arma a doppio taglio per la sicurezza delle password

Per un'azienda che si occupa di una delle mansioni più critiche nella sicurezza delle informazioni, valutare rischi e opportunità dell'intelligenza artificiale (IA) non è un esercizio puramente analitico, ma una sfida complessa. I gestori di password, già impegnati a proteggere le credenziali più preziose dei clienti sia dagli attaccanti esterni che dalla loro stessa negligenza, ora devono affrontare l'IA su più fronti.

Da un lato, l'IA può accelerare lo sviluppo di codice e l'individuazione di vulnerabilità. Dall'altro, può spingere gli sviluppatori a creare applicazioni poco sicure, esponendo le password. Inoltre, gli agenti IA, pur promettendo di svolgere compiti complessi con precisione, possono commettere errori come un operatore umano stanco o distratto, ma su scala molto più ampia.

«Bisogna aiutare i clienti a comprendere l'impatto potenziale e quanto sia pervasivo questo problema nel loro ecosistema», afferma Nancy Wang, CTO di 1Password.

Strategie proattive per prevenire errori umani

La strategia di 1Password si concentra sulla prevenzione dei rischi prima che si verifichino. L'azienda utilizza un agente locale per monitorare l'uso dei modelli di IA da parte dei clienti aziendali e segnalare potenziali minacce che la direzione dovrebbe conoscere. Ad esempio, l'agente può avvisare: «Signora CISO, sapeva che i suoi sviluppatori stanno utilizzando il modello DeepSeek su questo ramo del codice?»

Wang sottolinea che, dopo aver rilevato l'uso di questo modello di IA sviluppato in Cina e criticato per i suoi rischi di sicurezza, sono seguite «conversazioni sulle best practice di sicurezza» con gli sviluppatori coinvolti.

Protezione delle credenziali e monitoraggio continuo

L'agente di 1Password, che esegue anche scansioni automatiche per verificare aggiornamenti software e lo stato dei dispositivi, aiuta a individuare pratiche scorrette nella gestione delle password. «Quando rileviamo credenziali non protette e non crittografate su disco, spostiamo tali credenziali nel nostro vault sicuro e crittografato», spiega Wang.

Come altri gestori di password, 1Password adotta la crittografia end-to-end, garantendo che l'azienda non possa mai accedere alle password salvate. L'azienda sottolinea inoltre che il suo software è progettato per impedire agli agenti IA di visualizzare il testo in chiaro delle password, anche durante il riempimento automatico sui siti web.

Le aziende possono anche invitare i dipendenti a installare l'agente Device Trust di 1Password sui dispositivi personali, affrontando così uno dei vettori di attacco più comuni e spesso efficaci. Tuttavia, Wang ammette che la conformità può essere disomogenea, così come l'uso delle licenze aziendali di 1Password da parte dei dipendenti sui loro computer personali.

Controllo e apprendimento dagli agenti IA

Gli agenti IA possono automatizzare compiti aziendali di routine, ma la loro natura non deterministica richiede un monitoraggio sistematico per garantire che rimangano focalizzati. Wang definisce questa situazione una «opportunità greenfield» per 1Password, che può apprendere su larga scala analizzando il comportamento degli agenti.

«Qual era il prompt? Cosa ha fatto l'agente con esso? Qual è stato l'output?»

I file di log risultanti «verranno utilizzati come meccanismo di apprendimento per l'agente e il modello», aggiunge Wang.

Nel febbraio 2025, 1Password ha annunciato un nuovo benchmark per valutare il comportamento degli agenti IA: l'SCAM Index (Security Comprehension and Awareness Measure), uno strumento che mira a standardizzare la sicurezza degli agenti automatizzati.

Un futuro sempre più complesso per la sicurezza

Con l'evoluzione dell'IA, la sfida per i gestori di password come 1Password diventa sempre più articolata. L'obiettivo non è solo proteggere le credenziali, ma anche educare le aziende a utilizzare l'IA in modo sicuro, prevenendo errori che potrebbero avere conseguenze gravi.

«La sicurezza non è mai stata così pervasiva e interconnessa. Dobbiamo affrontare questa complessità con strumenti e strategie all'altezza», conclude Wang.