Claude Duet（在新标签页中打开）是一个智能体，目前处于研究预览阶段，它使用基于云的计算机为你完成工作。它可以使用你选择连接到 Claude 的所有应用和服务，并且即使你关闭应用后它仍会持续运行。它可以读取你的收件箱、起草回复、预订事项，并在你离开时运行例行任务。我们团队在自己的账户上运行 Claude Duet，我们每天都用它来工作。
我们基于三项原则构建 Claude Duet，以指导该智能体的行为：
- 你的信息，以及他人在你连接的应用中分享的内容，都会得到谨慎处理，使用一个新的分类器在 Claude Duet 起草的消息发出前进行检查。
- 你始终掌控它代表你所做的事情。
- Claude Duet 永远不会看到你的密码、浏览器 cookie、登录令牌或其他凭据。
Claude Duet 是新的，但其背后的思考并非如此。2025 年，我们发布了我们的安全可信智能体框架（在新标签页中打开），该框架将人置于控制之中，并将隐私和安全交互视为基本要求。此后，我们撰文阐述了为什么单一防御并不足够（在新标签页中打开）以及为什么模型内部的保护无法独立存在（在新标签页中打开）。我们还通过以下方式构建和运营企业用于在生产环境中运行智能体的基础设施：Claude Managed Agents（在新标签页中打开），而 Claude Duet 以同样的方式将凭据与智能体分离。它建立在这项工作之上，增加了代表你行动的智能体所需的保护措施。本文介绍了我们新增的内容以及我们仍在努力的方向。
你批准重要操作
一个在你离开时行动的智能体必须知道何时停下来征求许可再继续，并以恰当的节奏这样做。在 Claude Duet 执行诸如发送可能敏感的消息、付款或删除任何内容之类的操作之前，它会向你展示该操作、目的地和内容，包括每一位收件人。然后它会等待你批准该操作。
每个操作都会同时运行一项独立的自动化检查，该检查基于Claude Code 的自动模式分类器（在新标签页中打开）并为 Claude Duet 做了扩展。它会评估动作是否符合你的意图。这项检查在主模型之外运行，因此页面中隐藏的指令无法影响结果。
有些操作即使你批准也仍然禁止，比如证券交易、在账户之间转账等银行操作，以及访问他人的账户。还有一些步骤不受"不要再问我"规则覆盖，无论你批准过多少次，比如付款或转账、删除订单或创建账户。你不在时运行的程序也享有同样的保护措施。
我们花了大量时间校准 Claude Duet 请求批准的频率。批准疲劳是一个严重问题，因为过多的请求会让人养成随手点过的习惯，有时甚至没有充分考虑。我们会持续调整这一校准。
对于购物，Claude Duet 使用来自 Stripe 的 Link 等钱包中的一次性卡付款，且仅限于该商户和该金额。你会看到商品和总价，并在 Link 应用中批准购买。你的真实卡号不会与 Claude Duet 或商户共享。
你的信息会被谨慎处理
一个替你读取邮件并发送消息的智能体，需要不断判断不同类型的信息该发往何处。如果你让 Claude Duet 给团队发送每周回顾，它应只包含团队中每个人本就有权访问的内容，绝不包含私密细节，比如你的绩效评估对话。
为解决这个问题，我们构建了一个新的安全分类器，它与主模型分开运行，检查 Claude Duet 即将发送的每条消息是否包含潜在的敏感信息。我们将这类信息分为两个层级：
- 绝不共享：我们对登录凭证、完整卡号和银行账号、政府身份证号等信息给予最高级别的保护。Claude Duet 被指示绝不与任何人共享这些信息，即使你要求也不行。
- 需经同意才能共享：Claude Duet 只有在获得你明确批准的情况下，才会共享其他私人信息，例如健康或财务信息。你自己的请求即视为同意，因此“给我的牙医发一条关于我牙痛的说明”通常不需要额外批准。
如果 Claude Duet 因上述任一原因被阻止，它可以决定重写消息、去掉敏感信息，然后交给你审批后再共享。
Claude Duet 仍处于研究预览阶段，这些防护措施偶尔会漏掉某些内容，或误标一条无害的消息。正因如此，它们与上述审批机制协同工作，这些机制旨在让你掌控 Claude Duet 代表你发送的内容。随着我们对人们如何使用 Claude Duet 的了解不断加深，我们预计会继续迭代我们的分类器。
你可以查看任务和已连接的应用
你可以在任务列表中看到 Claude Duet 已完成和正在做的事情，每个任务都有自己的页面，并且你可以在任务进行中引导它。Claude Duet 会保留你的对话历史和它的记忆，以便在任务之间延续上下文，直到你删除或重置历史记录。删除你的账户会清除 Claude Duet 存储的所有内容。
你已连接到 Claude 的应用会延续到 Claude Duet，在一处关闭某个应用会在两处同时关闭。断开某个应用的连接会从那一刻起停止新的访问，但 Claude Duet 已从该应用学到的内容会保留，直到你重置它的记忆——你可以随时从该应用的设置中执行此操作。Claude Duet 还会使用你 Claude 账户中的记忆，因此 Claude 从你早先聊天中记住的细节是可见的。
凭据和浏览器与模型相互隔离
Claude Duet 永远看不到你的密码、浏览器 cookie 或已连接应用的登录令牌，也无法将它们保存到记忆中。它们只会经过模型无法访问的独立机器，而支配其行为的审批和安全检查也在那里运行。
密码
当网站要求输入密码时，你在 Claude 应用内的表单中输入密码。该表单会用一把仅存在于我们安全云浏览器机器上的单次使用密钥对其进行加密，且仅限那一次使用。它将加密后的密码原封不动地传给浏览器，由浏览器将其输入到网站中。模型看不到密码，也无法保存或重复使用它。很快你还可以用 1Password 登录；Claude Duet 会请求一项凭据，你在 1Password 中批准该请求，凭据便会直接发送到浏览器，而不经过模型。
替你登录的智能体会从两方面改变网络钓鱼的形态。一方面，Claude Duet 不为你持有凭据，因此它无法被钓鱼骗取密码，也没有任何隐藏指令能让它泄露自己并不拥有的秘密。另一方面，登录表单本身就是一个目标，因为任何索要密码的东西都可能被仿冒。因此，Claude Duet 的登录表单只会出现在应用内，且仅在你主动发起的登录过程中出现。它绝不会以链接、短信、电子邮件或 claude.ai 以外网站的形式出现。如果有任何看起来像 Claude Duet 的东西在其他地方索要你的密码，那都不是合法的。
登录令牌
当 Claude Duet 在已连接的应用中工作时，它遵循我们的 Claude Managed Agents 设计（在新标签页中打开）从而使凭据始终处于智能体工作范围之外。智能体代表你使用的凭据，例如用于已连接服务的登录令牌，绝不会进入智能体工作的那台机器。取而代之的是，那里放置一个凭据占位符，而该机器外部的代理仅在发起请求时才填入真实值。
浏览器
Claude Duet 中的浏览器运行在云端一台专属的虚拟机中，与模型以及智能体工作所用的云计算机相互隔离。智能体仅通过一组固定的命令来驱动浏览器：打开此页面、点击此处、输入此内容。网站运行的任何内容都留在浏览器机器上（在新标签页中打开）该网站的代码和 Cookie 不会触及 Claude Duet 的记忆或你已连接的应用，智能体的任何命令也无法从浏览器中读取 Cookie。真正返回的是页面文本和下载内容，因为智能体必须读取它们才能完成工作。这就是为什么还需要其他检查，也是为什么 Claude Duet 还使用了我们在以下内容中描述的提示注入防护措施浏览器使用研究（在新标签页中打开）它通过浏览器上传的文件会接受与其消息相同的敏感信息检查。
Claude Duet 还被设计为能够表明自己是一个智能体。目前，其网页浏览器发送的请求包含一个独特的 User-Agent 标头，并且我们公布它浏览时使用的公共 IP 地址，以便网站能够识别它并决定如何对待它。在发布之前，我们还联系了几家大型网站，给它们选择阻止 Claude Duet 访问其网站的权利，其中一些选择了阻止。随着我们从研究预览中不断学习，我们将继续改进 Claude Duet 表明自身身份的方式。
我们如何测试 Claude Duet
测试早在研究预览之前就已开始，并且现在仍在继续。我们的 Safeguards 团队基于常规形态的任务构建了评估，每个任务有三种变体：一个无害版本、一个带有注入指令的版本，以及一个诱使智能体做超出要求之事的版本。这些评估与来自真实使用的影子流量一同运行。
红队进一步测试了 Claude Duet 是否会泄露信息、未经批准就行动或遵循恶意提示。我们构建了整个系统的威胁模型，涵盖它所触及的各个代码仓库和信任边界。一家外部渗透测试公司在可访问我们源代码的情况下对 Claude Duet 进行了测试，而一项涵盖云浏览器和登录表单的后续合作正在进行中。每个新的凭据功能在向任何人发布之前，都会在隔离装置上进行红队测试。
Claude Duet 也在 Anthropic 公开漏洞赏金计划的范围内，该计划会奖励有效的报告，并根据我们的负责任披露政策，为善意的研究提供安全港。如果你发现安全漏洞，我们希望听到你的反馈：请通过 Anthropic 的漏洞赏金计划报告，地址在HackerOne（在新标签页中打开）。
与你一起构建
我们将 Claude Duet 作为研究预览版发布，因为我们想了解你在个人智能体中最看重什么，包括你接下来希望看到哪些保护措施和控制选项。这里描述的部分内容仍在变化中：它多久请求一次批准、你如何登录，以及敏感信息检查在区分隐私内容与无害内容方面的准确程度。用平实的语言告诉 Claude Duet 你希望看到什么或哪里出了问题，它就会为我们的团队提交一份报告。