Вы проверили, какая информация попадает в файлы журнала? Вы можете указать, что IBM не использует диалоговые данные, но, тем не менее, пароль передается пару раз, прежде чем ваше приложение получит к нему доступ. Кто гарантирует безопасность? Это ваш дизайн приложения, вы бы обвиняли IBM в случае проблем с безопасностью, примут ли пользователи такой подход (я бы не стал)?
Если ваше приложение выводит диалоговое окно и имеет пользовательский интерфейс, почему бы не предоставить ссылку на страницу входа? Я не знаком с Salesforce API, но многие API предоставляют доступ на основе токенов, и пользователи могут авторизовать приложения для входа в систему от их имени. Прежде чем исследовать функциональность регулярных выражений в Watson Assistant и узнать, как получить пароль, я бы пересмотрел дизайн приложения.