エージェントのパスワードマネージャー
Phiの中で作業するエージェントは、遅かれ早かれログインの壁に行き当たります。チャットにパスワードを貼り付けるのは明らかに間違った答えなので、Phiにはもっと良い答えが用意されています。エージェントのパスワードマネージャーは、エージェントをあなたのパスワードマネージャー（現在はBitwarden）に接続し、保管庫のログイン情報を使ってサイトにログインできるようにします。ほとんどの場合、エージェントはパスワードをまったく目にしないように設計されています。
デフォルトではオフになっており、個々のリクエストは毎回まずあなたに確認され、継続中の承認はいつでも取り消せます。
Bitwardenを選んだ理由
AIエージェントにパスワードへの経路を渡すのは信頼に関わる行為であり、その背後にある保管庫はブラックボックスであってはなりません。Bitwardenはオープンソースであり、クライアントもサーバーも誰でも監査できます。またセルフホストに対応しているため、保管庫を他社のクラウドではなく、自分で運用するサーバーに置くこともできます。これにより、認証情報の置き場所を端から端まで自分で管理できます。あなたのインフラ上にある保管庫が、あなたのMac上でロック解除され、あなたが承認したときにだけ渡される、という流れです。PhiのヘルパーはBitwardenの公式SDKを土台にしており、ログイン時にはセルフホストのサーバーも選択できます。
ここで、誰がどの役割なのかをはっきりさせておきます。保管庫サービスの提供者はBitwardenであり、このサービスに関するあなたの契約相手はBitwardenで、Bitwardenの利用規約とプライバシーポリシーが適用されます。保管庫をbitwarden.comに置くか、bitwarden.euに置くか、自分でホストするサーバーに置くかはあなたが選び、その選択が保管庫の所在地と、どの国の法律が及ぶかを決めます。Phiの役割は、あなたのMac上で保管庫をロック解除し、あなたが個別のリクエストを承認したときに1件の認証情報をエージェントに渡すことだけです。保管庫の内容がPhinomenonに届くことはなく、マスターパスワードも同様です。
機密情報がエージェントに渡らない仕組み
保管庫がブラウザの中で開かれることはありません。Phiには、アプリに代わってBitwardenと通信する独立したヘルパープロセスが付属しており、Phi用のログイン情報もエージェントのリクエストもこのヘルパーが保持するため、パスワードがブラウザのプロセスに触れることはありません。ロック解除された保管庫の鍵はヘルパーのメモリ内にのみ存在し、保管庫がロックされた瞬間に破棄されます。ヘルパーはPhi自身からの接続しか受け付けず、Phiは何かを託す前にヘルパーのコード署名を検証します。
さらに、エージェントがログイン情報を使うときのデフォルトの方法は自動入力で、機密情報はエージェントから完全に隔離されます。ページのフィールドへの入力はPhi自身が行い、エージェントは入力が行われたという事実だけを知ります。
オンにする
エージェントのパスワードマネージャーは、開発者モードをオンにすると現れる、設定の開発者タブにあります。
- 設定 → 一般を開き、開発者モードをオンにします。
- 開発者タブでエージェントのパスワードマネージャーを見つけ、Bitwardenパスワードマネージャーをオンにします。
- Bitwardenアカウントでログインします。US、EU、セルフホストの各サーバーに対応しており、2段階認証を有効にしたアカウントも使えます。続いて、マスターパスワードで保管庫のロックを解除します。
有効にすると、PhiがChromeウェブストアからBitwardenブラウザ拡張機能のインストールを提案することがあります。この拡張機能は、あなた自身が通常のブラウジング中にログイン情報を自動入力するための、独立した便利機能です。エージェントのリクエストはこれを使わず、必要ともしないため、今はしないで断ってもエージェントのアクセスはそのまま機能します。
リクエストのたびに確認
エージェントが認証情報を求めるたびに、Phiは承認プロンプトを表示し、どのエージェントが、どのサイトまたはアイテムを求めているのかを、エージェントが述べた理由とともに示します。あなたが答えるまで何も渡されず、放置されたプロンプトは60秒後に自動的に拒否されます。
プロンプトには、単なるOKではない、実質的な選択肢が用意されています。
- リクエストを承認するか、拒否するかを選べます。
- 承認の有効期間を選べます。今回のみ、10分間、常にのいずれかです。
- 必要なら、リクエストしてきたエージェントだけでなく、すべてのエージェントに承認を適用することもできます。1回限りの承認では選べません。
リクエストが届いたときに保管庫がロックされている場合、Phiはまずマスターパスワードの入力を求めてロックを解除します。このパスワードはヘルパーに直接渡され、ブラウザに保存されることはありません。
3段階のアクセスレベル
すべてのリクエストが同じではなく、プロンプトはその違いを正直に示します。各リクエストは次の3種類のいずれかで、機密情報がどこまで届くかに応じて色分けされています。
| 種類 | 実際に起こること |
|---|---|
| 🟢 自動入力のみ | 保存されたログイン情報はPhi自身がページに入力します。エージェントは入力のきっかけを与えるだけで、ユーザー名もパスワードも受け取りません。 |
| 🟠 コマンド使用 | エージェントが実行するコマンドで使えるように、値がエージェントに渡されます。たとえば、CLIの環境変数に注入されるデータベースのパスワードです。エージェントのツール側で出力から値は除去されますが、エージェントが値を保持することをPhiが止めることはできません。 |
| 🔴 フルアクセス | 保存されたアイテム（パスワード、メモ、カード、ID、キーのいずれか）がエージェントに直接共有され、エージェントはそれを自分のコンテキストに記録する可能性があります。 |
記憶された承認は、それを与えた種類のアクセスにしか適用されません。自動入力のみの承認によって、エージェントがパスワードそのものを読めるようになることは決してありません。
自動入力には追加の安全網があります。入力は保存元のサイトに限定されます。エージェントが開いているページが、そのログイン情報の保存先サイトに属していない場合、Phiは入力を拒否します。これはまさに、偽のページがパスワードを盗もうとするときの手口だからです。また、入力されたパスワードはページ上でマスクされたまま保たれ、「パスワードを表示」の切り替えがクリックされても表示されません。
エージェントに決して渡らないもの
何を承認していても、越えられない一線があります。
- 2段階認証コードは決して渡されません。有効な2段階認証コードをエージェントに渡すと、2つの認証要素が1つのプロンプトの背後にまとめられてしまうため、このステップは常にあなたのものです。エージェントは操作を戻し、コードはあなた自身が入力します。
- 曖昧な場合は何も渡されません。複数の保管庫アイテムがリクエストに一致する場合、Phiはあなたに代わってアカウントを推測するのではなく、リクエストを拒否してエージェントに絞り込みを求めます。
- すべて記録され、値は残りません。各リクエストは監査ログに記録され、どのエージェントが、どのサイトに、どの種類のアクセスを求めたかが残ります。機密情報そのものが記録されることはありません。
保管庫が扱うのはログイン情報だけではありません。セキュアメモ、カード、ID、SSHキーもリクエストの対象になりますが、ページに自動入力できるのはログイン情報だけです。それ以外はすべて、上で説明したのと同じ明示的な承認プロンプトを通ります。
承認の確認と取り消し
設定の同じセクションにあるエージェントの認証情報の承認…には、継続中のすべての承認が一覧表示されます。どのエージェントが、どのサイトへ、どの種類のアクセスを、どれだけの期間持つのかが確認できます。期限付きの承認は自動的に失効します。常にの承認は、あなたが個別に、またはすべて取り消すで取り消すまで残ります。
このシートにはすべてのパスワードへのアクセスを許可というスイッチもあります。これは、どのエージェントも確認なしにあらゆる保存済みログイン情報を使えるようにする、意図的な全体許可です。警告を示す赤で表示されているのには理由があり、オンにする前にPhiが確認を求めます。この引き換えの意味を完全に理解していない限り、オフのままにしてください。
保管庫のセッションタイムアウト
保管庫をどれだけの時間ロック解除したままにするかは、あなたが決めます。エージェントのパスワードマネージャーのセクションで、セッションタイムアウトを1時間、4時間、システムのロック時、ブラウザの再起動時（デフォルト）、しないから選び、タイムアウト時の動作として、再開にマスターパスワードが必要になるロックか、アカウントから完全にログアウトするログアウトかを選択します。
オフにする
これらのスイッチは、単に見えなくするのではなく、実際に動作を停止させます。
- Bitwardenパスワードマネージャーをオフにすると、保管庫はロックされ、期限付きの承認は破棄されます。後で再度有効にできるよう、アカウントのログイン状態はディスク上に保持されますが、オフの間はすべてのエージェントのリクエストが拒否されます。常にの承認の対象であっても例外ではありません。
- 開発者モードのオフは、全体の停止スイッチです。エージェントアクセスとエージェントのパスワードマネージャーがまとめて無効になり、再びオンにしても自動的に再有効化されるものはありません。各機能は1つずつ手動でオンにし直す必要があります。
次のステップ
- phi-browserスキル、コーディングエージェントが専用のエージェントスペースでPhiを操作する仕組み。
- 自動化とPhi Link、オンデマンドのアクション、バックグラウンドタスク、主導権の保ち方。
- プライバシーとデータ、データの保存場所とAIの扱い。