Anthropic 介绍 Claude Duet 智能体的安全、隐私与凭证隔离设计
更新日期：2026年10月23日
Claude Duet 是一个处于研究预览阶段的智能体，使用云端计算机替用户完成工作。它可以读取收件箱、起草回复、预订事项，并在用户关闭应用后继续运行。Anthropic 表示，Claude Duet 的设计建立在三项原则上：谨慎处理用户和连接应用中的信息、让用户始终掌控智能体代表自己做的事情、让智能体永远无法看到密码、浏览器 Cookie、登录令牌或其他凭据。
你批准重要操作
一个在用户离开时继续行动的智能体，必须知道何时停下来请求许可。Claude Duet 执行发送可能敏感的消息、付款或删除内容等操作前，会显示操作、目标和内容，包括每一位收件人，然后等待用户批准。
每个操作还会运行一项独立的自动化检查。该检查基于 Claude Code 的自动模式分类器并针对 Claude Duet 扩展，用来评估操作是否符合用户意图。检查在执行任务的模型之外运行，因此页面中的隐藏指令无法影响审批结果。
有些操作即使用户批准也仍然禁止，例如交易证券、银行操作（包括账户间转账）以及访问他人的账户。付款或转账、删除订单和创建账户等步骤，也不会被“不要再问我”规则永久跳过。
Anthropic 还强调了审批频率的重要性。请求太多会造成审批疲劳，让用户养成不加判断就点过的习惯，因此团队会继续调整分类器和审批机制的校准。
对于购买，Claude Duet 使用 Stripe Link 等钱包的一次性卡付款，并将其限制在指定商户和金额内。用户会看到商品和总额，并在 Link 应用中批准购买，真实卡号不会与 Claude Duet 或商户共享。
您的信息会被谨慎处理
如果智能体读取电子邮件并替用户发送消息，它必须判断不同类型的信息可以流向哪里。例如，用户让 Claude Duet 向团队发送每周回顾时，内容应只包含团队成员本来就有权访问的信息，不应包含私人绩效评估。
Anthropic 构建了一个与主模型分开运行的安全分类器，在每条消息发送前检查是否包含潜在敏感信息。信息被分为两个层级：
- 绝不共享： 登录凭据、完整银行卡号、银行账号和政府身份证件号码等信息受到最高级别保护，即使用户要求，Claude Duet 也不会共享。
- 共享需征得同意： 健康或财务信息等其他私人信息，只有在用户明确批准后才会共享。用户自己的请求通常视为同意，例如“给我的牙医发一条关于我牙痛的说明”。
如果消息被阻止，Claude Duet 可以尝试重写消息、去掉敏感信息，再交给用户审批。Anthropic 承认研究预览阶段的保护措施可能漏掉某些内容，或把无害消息误标记，因此分类器需要与审批机制协同工作并持续改进。
您可以查看任务和已连接的应用
用户可以在任务列表中查看 Claude Duet 已完成和正在执行的工作。每个任务有自己的页面，任务运行时也可以继续引导智能体。Claude Duet 会保留对话历史和记忆，以便在不同任务之间延续上下文，直到用户删除或重置历史记录。删除账户会清除 Claude Duet 存储的内容。
已连接到 Claude 的应用会延续到 Claude Duet，在一处关闭某个应用，另一处也会关闭。断开连接会停止新的访问，但智能体已经从应用中学到的内容会保留，直到用户重置记忆。Claude Duet 还会使用 Claude 账户中的记忆，因此早期聊天中保存的细节可能对它可见。
凭据和浏览器与模型隔离
Claude Duet 不会看到密码、浏览器 Cookie 或已连接应用的登录令牌，也不能把它们保存到记忆中。这些凭据只经过模型无法访问的独立机器，管理智能体行为的审批和安全检查也在那里运行。
密码
当网站要求输入密码时，用户在 Claude 应用内的表单中输入。表单用一次性密钥加密密码，该密钥只存在于安全云浏览器机器上，并且只用于这一次。加密后的密码会原封不动地传递给浏览器，由浏览器输入网站，模型无法看到、保存或重复使用它。
Anthropic 还计划支持通过 1Password 登录：Claude Duet 请求凭据，用户在 1Password 中批准后，凭据直接发送给浏览器，不经过模型。
这种设计也改变了网络钓鱼的风险形态。Claude Duet 不持有凭据，因此无法被隐藏指令诱导泄露它并不拥有的秘密；但登录表单仍可能被仿冒。Anthropic 表示，Claude Duet 的登录表单只会出现在应用内，且仅在用户主动发起登录时出现。如果一个看似 Claude Duet 的页面、短信或邮件要求输入密码，那就不是合法的登录流程。
登录令牌
Claude Duet 遵循 Claude Managed Agents 的设计，让凭据始终处于智能体工作范围之外。智能体使用的登录令牌不会进入智能体所在的机器，而是使用凭据占位符，由机器外部的代理在发出请求时填入真实值。
浏览器
Claude Duet 的浏览器运行在独立的云端虚拟机中，与模型和智能体工作的云计算机隔离。智能体只能用固定命令驱动浏览器，例如“打开此页面”“点击此处”“输入此内容”。网站代码和 Cookie 留在浏览器机器上，不会进入 Claude Duet 的内存，智能体命令也无法从浏览器读取 Cookie。
智能体必须读取页面文本和下载内容才能完成工作，因此这些内容会返回给它，也会带来提示注入风险。Anthropic 说明，浏览器上传的文件会接受与消息相同的敏感信息检查。
Claude Duet 的设计还要求它表明自己是智能体。当前浏览器请求包含独特的 User-Agent，Anthropic 也公布了浏览时使用的公共 IP 地址，以便网站识别并决定是否允许访问。部分大型网站已经选择阻止 Claude Duet。
我们如何测试 Claude Duet
研究预览之前，Anthropic 就开始测试，并且测试仍在继续。安全团队针对常规任务构建评估，每个任务有无害版本、包含注入指令的版本，以及诱使智能体做超出要求之事的版本。这些评估与真实使用产生的影子流量并行运行。
红队测试重点检查 Claude Duet 是否泄露信息、未经批准就行动或遵循恶意提示。Anthropic 为整个系统建立威胁模型，覆盖它接触到的代码仓库和信任边界。外部渗透测试公司曾在可访问源代码的条件下测试 Claude Duet，针对云浏览器和登录表单的后续合作也在进行中。
每项新的凭据功能在发布前都会在隔离环境中接受红队测试。Claude Duet 也纳入 Anthropic 的公开漏洞赏金计划，安全研究人员可以通过 HackerOne 上的 Anthropic 计划报告漏洞。
与你共同构建
Anthropic 以研究预览形式发布 Claude Duet，是为了了解用户在个人智能体中看重什么，以及希望看到哪些保护措施和控制项。审批频率、登录方式和敏感信息分类准确度仍可能变化。
Claude Duet 的研究预览提醒用户：智能体的安全不只取决于模型本身，还取决于审批、浏览器、凭据、分类器、日志和人工复核等系统边界。使用具有外部操作能力的智能体时，应先连接低敏感度应用，逐项检查权限，并确认删除、付款和发送消息等动作的审批机制。
来源
本文根据 Anthropic 官方文章《Claude Duet Safety, Privacy, and Security》整理。Claude Duet 处于研究预览阶段，具体能力、可用地区和安全机制以 Anthropic 当前产品页面和官方说明为准。