Mærkaten på credentialet er ikke credentialets scope.

Kryptografien er uigennemtrængelig. RFC 5054 SRP-6a, AES-256-GCM, sammenligninger i konstant tid, zero-knowledge proof. 1Password fik kryptografien rigtigt. Det, de fik forkert, er mærkaten på dåsen.

I denne måned brugte to ingeniører fra Token Security tre dage på at reverse-engineere 1Passwords proprietære SRP-autentifikationsprotokol. De ledte ikke efter en sårbarhed. De forsøgte at erstatte en SCIM bridge med en Python-klient til værktøjer til non-human identity. Det, de fandt, var en kløft mellem det, credentialet siger, det kan gøre, og det, det faktisk kan gøre [1][2].

Et servicekonto-token afgrænset til én vault, med læsetilladelser, kan liste hver bruger i organisationen. Hver gruppe. Hvert gruppemedlemskab. Hver vault-tilladelse på tværs af alle vaults. Navne, e-mails, statusser, tidspunkter for seneste autentifikation. Tokenets mærkate siger "én vault." API'et siger noget andet [1].

1Password har bekræftet det. Opførselen er tilsigtet. Granulær afgrænsning er på roadmap uden dato [2].

Hvad tokenet faktisk rækker

Gil Portnoy og Henry, der skriver for Token Security, dokumenterede fem API-endpoints, som et "one-vault"-servicekonto-token kan ramme med fuldt resultat [1]:

/api/v2/users returnerer hver bruger i organisationen: UUID, navn, e-mail, status, type, tidspunkt for seneste autentifikation. /api/v1/groups returnerer hver gruppe med dens tilladelser og status. CLI-kommandoerne for gruppemedlemskab, vault-brugere og -tilladelser samt vault-grupper returnerer alle live-data. /api/v3/account returnerer kontometadata. /api/v2/vault/{id}/vaultaccess returnerer oplysninger om vault-adgang.

Ingen af disse endpoints er afgrænset til den ene vault, som tokenet blev oprettet til. Tokenet fik at vide "læs én vault." API'et gav det et kort over hele organisationen [1].

Her er det skarpere punkt: opremsningen virker ikke gennem 1Passwords officielle SDK. Den vej returnerer UNSUPPORTED eller FORBIDDEN. Den virker gennem CLI'ens interne API, som forskerne måtte reverse-engineere. "Scopet" er en SDK-begrænsning på klientsiden. Det underliggende credential er læseadgang på organisationsniveau. En angriber bruger ikke dit SDK [1].

Forskerne byggede klienten på cirka 420 linjer Python. Fem API-endpoints. Fuld synlighed i organisationen. De udgav rapporten den 16. juli [1].

Låsen er ikke problemet. Nøgleringen er.

Forskerne er omhyggelige på dette punkt. Kryptografien er stærk. SRP-implementeringen bruger RFC-standardiseret zero-knowledge proof: serveren ser aldrig adgangskoden, klienten ser aldrig saltet, og hver autentifikationsfejl returnerer samme fejlmeddelelse, så en angriber intet lærer. 1Password har dokumenteret deres egne ikke-standardafvigelser (inklusive en Beatles-tekst fra "Penny Lane" begravet i en kryptografisk konstant som en easter egg), og afvigelserne er sikkerhedsmæssigt neutrale [1].

Problemet er ikke låsen. Det er det, nøglen åbner. Når et credential er mærket "afgrænset til én vault," opretter administratorer agenter med det i den tro, at skadeomfanget er smalt. Agenten får et credential. Credentialet får organisationsdiagrammet. Ingen ønskede det, men ingen kan heller se det ske [1].

Når du giver en agent et "afgrænset" token, opererer agenten inden for det scope, API'et faktisk håndhæver, ikke det scope, mærkaten beskriver. Hvis agenten kompromitteres — gennem en prompt injection, en forgiftet konfigurationsfil, et supply-chain-angreb eller en af de vektorer, som tekstbaserede forsvar ikke fuldt kan lukke — får angriberen ikke én vault. De får den organisatoriske topologi: hvem der er i hvilken gruppe, hvem der har adgang til hvilke vaults, hvornår hver person sidst autentificerede. Det er rekognoseringsfasen af et brud, leveret i et enkelt API-kald [1].

Kløften mellem dokumenteret scope og effektivt scope er ikke unik for 1Password. Ethvert credential management-API træffer implicitte autorisationsbeslutninger, som administratorer aldrig ser. Det, Token Security beviste, er, at kløften er reel, målbar og udnyttelig med en weekend og en Frida-hook [1].

Hvad en vault bygget til dette gør anderledes

Credentialets opgave er at overleve den verden, det befinder sig i. Hvis et "afgrænset" token stille og roligt kan kortlægge din organisation, var scopet aldrig reelt. Det var en mærkat.

Clavitor mærker ikke credentials og håber det bedste. Agenten får ét eksplicit navngivet credential, hentet live i selve øjeblikket for kaldet, injiceret i en enkelt anmodning, og væk. Der er intet stående token, en angriber kan genbruge. Der er intet org-kort-endpoint bag en scope-mærkat, som ingen har verificeret. Vaulten udsætter ikke opremsning for agenten. Agenten når det, det er navngivet til at nå, og intet andet.

Hvert access logges til den specifikke agent, der foretog det, på vaulten — ikke på det endpoint, agenten kører på. Hvis et token kompromitteres, er skadeomfanget det ene kalds scope, ikke den organisatoriske topologi bag det.

Principperne bag en vault, der håndhæver scope i stedet for at mærke det: The Ten Rules of Credential Management

Clavitor (@clavitorai) er credential vaulten bygget til AI-agenter — og imod dem. clavitor.ai

Kilder

[1] Token Security (Gil Portnoy, Henry) — Reversing 1Password's Proprietary SRP Authentication Protocol — @TheTokenSec

[2] @TheTokenSec — X-tråd om scope-escalation-fundet, 16. juli 2026 — "1Password confirmed this is by design, to support vault-management workflows"