Duo创始人发文：如何自动化YubiKey让Agent完成带2FA登录

vincent_koc · x · 2026-10-25

安全公司 Duo 创始人 Jon Oberheide 发布新博客《Automating a YubiKey for Agentic Logins》。背景是 agent 常需登录各种老旧网站门户，而这些站点没有 API 或 MCP，只能走交互式登录+抓取；用户名密码容易交给 agent，但 2FA 步骤（TOTP、短信、推送、安全钥匙等）都是为人类交互设计的，自动化很痛苦。

他为此开发了一个「有趣（也很无奈）的 workaround」：自动化 YubiKey 硬件令牌的触碰确认，让 agent 能完成安全钥匙类 2FA。文中还讨论了 CAPTCHA、反-bot 机制对 agent 登录的阻碍——这是「web 该为 agent 还是为人类设计」的更大争论。转发者调侃「安全从业者请回避」。