1Password: AI både hot och hjälpmedel för säkerhetsbranschen

AI som dubbelsidigt svärd för säkerhetsföretag

För ett företag vars främsta uppgift är att skydda känsliga uppgifter är bedömningen av AI:s risker och möjligheter en utmaning som snarare liknar ett tärningsslag än en ren analys. Lösenordshanteraren 1Password, som redan måste försvara sina kunders mest värdefulla inloggningsuppgifter mot både externa angripare och kundernas egen oaktsamhet, står nu inför AI på flera fronter.

AI kan hjälpa lösenordshanterare att utveckla kod snabbare och identifiera sårbarheter effektivare. Samtidigt riskerar AI att underlätta för utvecklare att skapa slarvigt kodade appar som exponerar lösenord. Dessutom kan AI-agenter, trots sin effektivitet, drabbas av hallucinationer eller prompt-injektionsattacker och därmed fatta felaktiga beslut i skala – snabbare än en människa, men med samma brister.

Nancy Wang, teknikchef på 1Password: "Du måste börja med att hjälpa dina kunder förstå sin exponeringsyta och hur omfattande den här utmaningen är inom deras ekosystem."

Skydda kunder från självförvållade säkerhetsrisker

1Passwords AI-strategi inleds med att förebygga problem redan innan de uppstår. Företaget använder en lokal AI-agent som granskar användningen av AI-modeller och flaggar för risker som företagsledningen bör känna till. Exempelvis kan agenten varna för att utvecklare använder en specifik AI-modell i en viss del av kodbasen.

Nancy Wang: "Hej, CISO, visste du att dina utvecklare använder DeepSeek-modellen på den här grenen av kodbasen? Det har faktiskt hänt." Hon tillägger att säkerhetsdiskussioner följde med de berörda utvecklarna.

Automatiserad övervakning och lösenordsskydd

Den lokala AI-agenten, som även kontrollerar mjukvaruuppdateringar och enhetens hälsa, hjälper 1Password att upptäcka slarvig lösenordshantering. Wang förklarar: "När vi upptäcker oskyddade, okrypterade inloggningsuppgifter på en enhet kan vi flytta dem till vårt säkra, krypterade valv."

Liksom andra lösenordshanterare använder 1Password end-to-end-kryptering, vilket innebär att företaget inte kan se de sparade lösenorden. Wang betonar att mjukvaran är utformad så att en AI-agent inte kan se lösenordets klartext, även när det fylls i automatiskt på en webbplats.

Företag kan också uppmana anställda att installera 1Passwords Device Trust-agent på privata enheter, vilket minskar risken för en vanlig attackvektor. Dock kan efterlevnaden vara ojämn, precis som de familjekonton som ingår i vissa företagslicenser och ofta förblir oanvända på anställdas datorer.

AI-agenter kräver ständig övervakning

AI-agenter kan automatisera rutinmässiga uppgifter, men på grund av sin icke-deterministiska natur kräver de systematisk övervakning för att säkerställa att de håller sig till uppgiften. Wang ser detta som en "grönfältsmöjlighet" för 1Password att lära sig i stor skala genom att analysera agenters beteende.

Nancy Wang: "Vad var prompten? Vad gjorde agenten med den? Var resultatet korrekt?" De resulterande loggfilerna "kommer sedan att fungera som en inlärningsmekanism för agenten och modellen."