1Password pour les agents tient moins d’une fonctionnalité grand public que d’une brique d’infrastructure pour la prochaine génération de flux de travail pilotés par des assistants. Le produit sépare fondamentalement l’identité de la détention des identifiants : l’agent prouve son identité à l’aide d’une clé numérique, 1Password envoie une demande de confirmation sur l’appareil de confiance de l’utilisateur, puis le gestionnaire effectue l’action nécessitant des identifiants — en les saisissant et en les envoyant, ou en émettant des jetons temporaires — sans révéler le secret sous-jacent. Cette conception laisse à l’utilisateur le contrôle final tout en permettant aux agents d’accomplir des tâches complexes nécessitant une authentification.
Sur le plan technique, ce mécanisme remplace une pratique fragile — copier-coller des mots de passe ou intégrer des identifiants aux invites des agents — par un protocole de délégation contrôlé. Lorsqu’un agent demande un accès, 1Password reçoit une preuve signée émise par l’agent, et non par l’utilisateur, puis envoie une demande d’approbation sous forme de notification ou de fenêtre modale sur un appareil appartenant au cercle de confiance de l’utilisateur. Une fois l’accès approuvé, 1Password effectue directement la connexion ou fournit un identifiant limité à la durée de la session que l’agent peut utiliser le temps de la tâche. Pour les équipes de sécurité, cela signifie un périmètre d’exposition réduit, des délégations traçables et aucune copie persistante de secrets dans les journaux ou les profils des agents.
Le système est déjà conçu pour s’intégrer aux principaux fournisseurs d’agents : OpenAI, Anthropic et Meta font partie des options prises en charge lors du déploiement initial, et 1Password a annoncé vouloir élargir ses partenariats. Pour les équipes produit et les intégrateurs qui créent des passerelles entre agents et services, le changement est avant tout opérationnel : au lieu de s’appuyer sur la rotation de clés API brutes ou de créer un coffre d’identifiants sur mesure pour chaque agent, il faut adopter un modèle de connexion déléguée où le gestionnaire de mots de passe contrôle l’accès et où l’agent utilise des autorisations temporaires. Cette évolution touche aussi les processus juridiques, de conformité et de service client : chaque connexion génère désormais un événement d’approbation associé à l’appareil d’un utilisateur.
Pour les particuliers et les entreprises, les bénéfices sont immédiats dans certains secteurs : les agents d’achat et de voyage peuvent effectuer des réservations sans utiliser d’identifiants à longue durée de vie, tandis que l’automatisation au travail peut se connecter à des applications SaaS pour une seule session sans exposer les mots de passe administrateur. Mais cette approche n’est pas une solution miracle : les banques et les services hautement sécurisés peuvent exiger des preuves supplémentaires, une authentification renforcée ou une approbation pour chaque transaction. Les organisations doivent donc associer l’accès des agents limité à une session à des contrôles fondés sur les rôles, à la surveillance et à des règles distinguant les actions automatisées autorisées des actions à risque.