«En credential som varer ved, er allerede kompromittert. Derfor er just-in-time-credentials den eneste levedyktige sikkerhetsmodellen for KI-native utvikling», sier Nancy Wang, teknologidirektør i 1Password. Det er begrunnelsen bak Environments MCP Server for Codex, som 1Password og OpenAI annonserte 19. mai.
Problemet integrasjonen angriper er velkjent for alle som har latt en koding-agent jobbe i et ekte repo: hver gang agenten skal snakke med en database, et API eller en deploy-pipeline, trenger den credentials. I dag ligger de typisk i .env-filer, skript eller hardkodet i repoet, der de er lette å eksfiltrere og vanskelige å revidere. En koding-agent samler dermed flere hemmeligheter på ett sted som ikke er sikkert i seg selv, og blir samtidig et høyverdimål for angripere som vil stjele credentials via prompt injection.
1Passwords svar er å aldri la hemmelighetene forlate vaulten. Ved kjøretid injiserer serveren de nødvendige variablene direkte inn i applikasjonsprosessen, verdiene finnes kun i minnet, kun for den autoriserte prosessen, og kun så lenge prosessen trenger dem. Tilgang krever brukerautentisering i det øyeblikket hemmeligheten hentes, og credentials er scopet til den konkrete oppgaven. Sikkerhetsteamet beholder oversikt over hvem som aksesserer hva, uten at det bremser utvikleren.
1Password rammer dette inn som et bevispunkt for en større tese: koding-agenter er bare første bølge av KI-agenter som skal inn i arbeidsstyrken og trenger reell tilgang til reelle systemer. Poenget deres er at agentene vil trenge credentials, men ingen av dem bør ha varig forvaring av dem.
Hva bør du gjøre?
- Bruker du Codex mot ekte tjenester i dag, kartlegg hvor hemmelighetene faktisk ligger. Klartekst i .env eller i repo-historikken er den reelle lekkasjeflaten, ikke selve agenten.
- Behandle koding-agenten som en angrepsflate, ikke bare et verktøy. En agent som er eksponert for prompt injection og samtidig sitter på varige credentials, er et mål.
- Vil du teste mønsteret uten å låse deg til 1Password, kan du etterligne prinsippet selv: kortlevde, oppgave-scopede tokens injisert i prosessmiljøet ved kjøring, aldri skrevet til disk.