本周三，Anthropic 开放了 Claude Duet 的研究预览。
这是一个跑在云端电脑上的个人 Agent，能用上你连到 Claude 的所有应用和服务，读邮件、起草回复、订东西、跑例行任务，你把 App 关了，它也还在继续干活。
两天后，Anthropic 又专门发了一篇长文，把 Duet 的安全、隐私和防护设计从头讲了一遍。
主要在于三条原则：信息要有分寸、你始终掌控它替你做什么、它永远看不到你的密码和凭证。
具体做法上，重要操作先弹审批卡片给你看，模型之外还另有一道自动检查；新做了一个敏感信息分类器，每条消息发出前都要过一遍；密码、Cookie、登录 token 和浏览器，全部放在模型碰不到的独立机器上。
而过去两三个月，xAI 的 Grok Bot、Meta 的 Muse、OpenAI 的 Dots 也都先后推出了类似的个人 Agent。
能力上大家越来越像，最后比的大概会是……你敢不敢把邮箱、日历和银行卡交给它。
Duet 是一个独立 App，iOS、Android 和 claude.ai 上都能用。
研究预览期间，它包含在 Pro 和 Max 订阅里，和 Claude 的其他产品共用额度，目前先对美国用户开放，需要排队申请。
Anthropic 给它的定位是 proactive agent，也就是主动型 Agent：它会先来找你，告诉你哪些事需要你关注，接下你交代的任务，你走开了它照样干，替你行动之前则会先问你。
Anthropic 说，它是给那些手上事情多到顾不过来的专业人士和小企业主做的。
它的底层模型是 Claude Opus 5.5，Anthropic 说 Duet 最有用的地方就在于判断力：哪件事需要你、哪件事可以等、什么时候该先问你一声。
每天早上，它会给你发一份简短的简报，汇总所有已连接应用里最重要的事；白天则持续留意这些应用，只在有事需要你的时候才发消息。
你也可以给它派各种任务，小到安排会议这类杂事，大到调用几十个工具搭建仪表盘、做财务或销售预测、做原型、开发 Web 应用。
上面这段演示里，Duet 发现芝加哥新店还有 26 天开业，卫生许可却还没申请，便先把申请填好，等店主 Nicole 过目付款；另一件续约的事，则告诉 Nicole 可以等，下周一再处理。
几个关键设计：
• Claude 账号里的记忆、Skills 和已连接的应用会直接带过来，几乎不用重新配置。所有交流都在一条持续的对话线里，打字、语音都行，回一句话和推进一周的项目都从同一个地方开始
• 它有自己的虚拟机和浏览器，不需要你的电脑或手机开着。任务完成或者需要你审核时，会推送通知给你
• 它每隔几个小时检查一次你的账号，并不是一直在看，因为不停检查会更快耗光套餐额度。你也可以告诉它想听哪些事、多久汇报一次
• 发消息、付款、签文件、删除任何东西之前，它都会把准备做的事给你看，等你批准
连接器方面，Duet 能用 Claude Marketplace 里 6000 多个连接器和插件，官方举的例子有：
• 找出你漏掉的 Gmail 和 Slack 消息，帮你回复
• 查 QuickBooks 或 Stripe 里没付的发票，起草催款提醒
• 在 Gusto 里准备并发放工资，工时、奖金、报销都提前填好
• 起草招聘启事，你改完批准后发到 LinkedIn
• 通过 Docusign 准备协议，发起审阅和签署
• 用 HubSpot 里的联系人和交易记录起草跟进邮件
• 在 Canva 里把产品发布做成一套社交媒体物料
• 搭建、设计和管理 Shopify 店铺，之后还会有一个可视化编辑器，上线前能先预览店面
花钱这件事上，Duet 用的是 Stripe 的数字钱包 Link。Duet 先和你确认商品，Link 再让你批准这笔支出，最后用虚拟卡付款，你的真实卡号不会被分享出去。
它也能用 Shopify 的 Shop Pay 在网店结账，之后还会支持用你存在 1Password 里的账号登录网站。
Anthropic 内部早就用上了。Claude Code 负责人 Boris Cherny 会一边散步，一边跟 Duet 把脑子里的待办过一遍，不用非得等回到工位。
模型与产品行为设计团队负责人 Chelsea Larsson 下班去陪孩子之前，把待办清单交给 Duet，晚上收一份结果报告。
Duet 团队负责人 Karan Ahuja 则用它约用户访谈、一起做原型，甚至直接提交代码（Duet 在参与开发 Duet 自己……）。
几位早期测试的小企业主也给了反馈。房产经纪 Jess Provencher 每天早上收简报，有一天 Duet 在没人要求的情况下，指出她日历上一场看房的日期写错了。
南佛罗里达连锁烤肉店 Shahs of Kabob 的老板 Amin Ebrahimi 手下有约 110 名员工，他用 Duet 处理会计、客服和营销，还一家店一家店地把发票过了一遍：
它把所有东西都汇到了一起，我不用再开 100 个标签页了。
品牌策略师 Mya Dalton 有个潜在客户的电话，Duet 在日历上看到后提前准备了一份简报，还发现这通电话正好排在她的航班之前，主动提出改个时间。
当然，Anthropic 也把局限写在了发布文里：它可能会读错一个邮件线程，或者判断错哪件事更急。
核心功能是围绕工作设计的，订票这类个人琐事还不够强；暂时也没法让你看到它的浏览器。
而且它目前是一个独立 App，和 Claude 主 App 分开，两者以后怎么配合，要看早期用户的反馈。
额度上，后台检查也算用量，做财务模型、做 PPT 这种大任务，会消耗更多的模型轮次和后台工作（Max 用户的额度焦虑，又多了一个来源……）。
原文题为 Claude Duet Safety, Privacy, and Security，Anthropic 今天发布。
Duet 的安全建立在两层已有的保护之上：一层是 Claude 模型本身的安全训练，另一层是 Claude Code、Claude Managed Agents 这些产品里已有的防护。在此之上，Anthropic 又为「跨账号工作、替你行动」这件事加了新的保护。
Anthropic 也提到，他们团队自己的账号上就跑着 Duet，每天都在拿它干活。
指导 Duet 行为的三条原则是：
• 你的信息，以及别人在你连接的应用里分享给你的内容，都要有分寸地处理。新的分类器会在 Duet 起草的消息发出前先检查一遍
• 它替你做什么，由你掌控
• Duet 永远看不到你的密码、浏览器 Cookie、登录 token 或其他任何凭证
Duet 是新的，这套思路却不算新的了。
2025 年，Anthropic 发布过一份安全可信 Agent 的框架，把「人来掌控」、隐私和安全交互列为基本要求；之后又陆续写过为什么没有哪一道防线单独够用、为什么模型内部的保护不能单独撑起安全。
企业在生产环境跑 Agent 用的基础设施 Claude Managed Agents 也是他们在做，Duet 把凭证和 Agent 隔开的方式，和它一模一样。
一个在你不在时行动的 Agent，得知道什么时候该停下来先问你，而且问的节奏要合适。
在发送可能敏感的消息、付钱、删除任何东西之前，Duet 会把动作、目的地和内容都展示给你，包括每一个收件人，然后等你批准。
与此同时，每个动作旁边还跑着一道独立的自动检查。它基于 Claude Code 的 auto mode 分类器，为 Duet 做了扩展，判断这个动作是否符合你的意图。
这道检查运行在干活的模型之外，所以网页里藏着的指令影响不了它的结果。
审批卡片和这道检查都放在模型之外，所以 Agent 读到的网页、邮件、文档里的任何文字，都没法替你「回答」审批卡片，也没法说服检查改判。
还有些事，哪怕你批准了也不做：交易证券、在账户之间转账这类银行操作、访问别人的账号。
另一些步骤，不管你批准过多少次，都不能设成「下次别再问我」，比如付款或转钱、删除订单、创建账号。你不在时自动运行的例行任务（routines），也受同样的约束。
Anthropic 说他们花了很多时间去校准 Duet 多久问你一次。
审批疲劳是个很严重的问题，请求太多，人就会被训练成连想都不想直接点通过（用过 Claude Code 的人，大概都有过一路狂按回车的时候……）。
这个频率，之后还会持续调整。
购物时，Duet 会用 Stripe 的 Link 这类钱包生成一张一次性卡，只能用于这一个商家、这一个金额。你会看到商品和总价，然后在 Link App 里批准。
你的真实卡号，既不会给 Duet，也不会给商家。
一个替你读邮件、发消息的 Agent，每时每刻都在判断不同的信息该流向哪里。
比如你让 Duet 给团队发一份每周回顾，它应该只写团队里每个人本来就能看到的东西，绝不能把你绩效面谈之类的私事带进去。
为此，Anthropic 做了一个新的安全分类器，还配了一份专门的安全系统提示词。
分类器独立于主模型运行，检查 Duet 准备发出的每条消息里有没有潜在的敏感信息，敏感信息分两档：
• 永不分享：登录凭证、完整的银行卡号和银行账号、身份证件号码等最敏感的信息，享受最高等级的保护。Duet 被要求永远不向任何人分享这些，哪怕是你让它分享
• 需同意才能分享：健康、财务等其他隐私，只有你明确批准，Duet 才会分享。你自己提的要求本身就算同意，所以「给我的牙医发条消息，说我牙疼」一般不需要再额外批准
按图里的流程，Duet 在 Gmail、Slack 等应用里发消息之前，会先判断内容敏不敏感。
普通消息直接发；属于需同意的一档，就看你有没有同意过，没有的话，要么把敏感内容删掉（前提是它对这条消息不重要），要么停下来问你；永不分享的一档直接拦截，你要求了也不发。
被拦下之后，Duet 可以自己决定把消息改写成不含敏感信息的版本，再拿给你批准。
Anthropic 也坦白说，研究预览阶段，这些防护偶尔会漏掉东西，也偶尔会误伤无害的消息。
所以它们是和前面的审批机制配合着用的，审批本来就是为了让你始终掌控 Duet 替你发出去的东西。分类器也会随着他们对用户用法的了解，继续迭代。
Duet 做过什么、正在做什么，都列在它的任务列表里，每个任务都有自己的页面，你可以在任务进行到一半时调整它的方向。
截图左边是任务列表，按「待审核」「需要你输入」「进行中」「已解决」分组：A 轮融资的 PPT 已经做好了等你审，芝加哥咖啡店开业需要你批准一笔 640 美元的卫生许可费，招聘那边三位候选人的面试都约好了。
右边则是一封准备发给投资人的邮件，附着融资 PPT，下面是「暂不」和「发送」两个按钮。
为了在任务之间延续上下文，Duet 会保存你的对话历史和它自己的记忆，直到你删除历史或重置为止。删除账号，会清空 Duet 存过的所有东西。
你连到 Claude 的应用会同步到 Duet，在一处关掉，两边就同时关掉。
那断开某个应用之后，它还记得之前看到的东西吗？
还能记得。
从断开那一刻起它就拿不到新的访问了，但它之前从这个应用里了解到的东西还会留着，直到你重置它的记忆，这个在 App 设置里随时可以操作。
另外，Duet 也会用你 Claude 账号里的记忆，所以 Claude 在你以前的聊天中记住的细节，它都看得到。
Duet 永远看不到你的密码、浏览器 Cookie 和已连接应用的登录 token，也不能把它们存进记忆。
这些东西只会经过模型访问不到的独立机器，管着 Duet 行为的审批和安全检查，也跑在那些机器上。
网站要求输入密码时，你会在 Claude App 里的一个表单里输入。
表单用一个一次性密钥把密码加密，这个密钥只存在于 Anthropic 安全的云端浏览器机器上，也只用这一次。
加密后的密码原封不动地传给浏览器，由浏览器填进网站。模型全程看不到这个密码，也没法保存或复述它。
之后还会支持 1Password 登录：Duet 申请一个凭证，你在 1Password 里批准，凭证直接送到浏览器，同样不经过模型。
一个替你登录的 Agent，会从两个方向改变钓鱼攻击。
好的一面是，Duet 手里本来就没有你的凭证，所以钓不出密码，任何隐藏指令也套不出一个它根本不知道的秘密。
麻烦的一面是，登录表单本身成了攻击目标，因为任何要密码的东西都能被仿冒。
所以 Duet 的登录表单只会出现在 App 内、在你自己发起的登录过程中，它永远不会以链接、短信、邮件，或者 claude.ai 以外的网站的形式出现。
如果在别的地方有个看起来像 Duet 的东西找你要密码，那它就不是 Duet。
已连接应用的登录 token，则沿用 Claude Managed Agents 的设计，让凭证始终在 Agent 够不着的地方。
Agent 替你使用的凭证，比如某个服务的登录 token，永远不会进入 Agent 干活的那台机器。那台机器上放的只是一个占位符，真正发出请求时，才由机器外面的一个代理把真实的值填进去。
浏览器则跑在云端一台专属的虚拟机里，和模型分开，也和 Agent 干活的云端电脑分开。
Agent 只能通过一组固定的指令驱动浏览器：打开这个页面、点这里、输入这个。
网站运行的任何东西都留在浏览器机器上，网站的代码和 Cookie 进不了 Duet 的记忆，也碰不到你连接的应用，Agent 的任何指令都没法从浏览器里读出 Cookie。
能传回来的，只有页面文字和下载的文件，毕竟 Agent 得读它们才能干活。
这也正是其他那些检查存在的原因，Duet 还用上了 Anthropic 在浏览器使用研究里的提示词注入防护。
它通过浏览器上传的文件，也会和消息一样过一遍敏感信息检查。
Duet 还被设计成会主动表明自己是个 Agent。
它的浏览器发出的请求带有专门的 User-Agent 标识，Anthropic 也公开了它浏览网页时用的 IP 地址，网站可以认出它，自己决定怎么对待它。
上线前，Anthropic 还联系了几家大型网站，给它们选择不让 Duet 访问的权利，而有些网站，真的选择了拒绝。
Duet 表明身份的方式，之后也会根据研究预览里的经验继续完善。
测试在研究预览之前很久就开始了，现在也还在继续。
Anthropic 的 Safeguards 团队用例行任务的形式构建了一批评测，每个任务都做三个版本：一个正常版本，一个被注入了指令的版本，还有一个诱导 Agent 做超出要求的事的版本。
这些评测，和来自真实使用的影子流量（shadow traffic）一起跑。
红队则进一步测试了 Duet 会不会泄露信息、会不会未经批准就行动、会不会听从恶意提示词。他们还给整个系统建了威胁模型，覆盖它涉及的各个代码仓库和信任边界。
一家外部渗透测试公司拿着源代码测试了 Duet，针对云端浏览器和登录表单的后续测试正在进行。
每一个新的凭证功能，在上线给任何人之前，都要先在隔离环境里被红队测一遍。
Duet 也在 Anthropic 公开漏洞赏金计划的范围内，有效报告有奖励，按照负责任披露政策，善意的安全研究受安全港保护。
如果你发现了漏洞，Anthropic 希望你去 HackerOne 上提交。
Anthropic 把 Duet 作为研究预览发布，是想了解大家到底看重个人 Agent 的什么，包括接下来想要哪些保护和控制。
文中写的不少东西还在变：多久请求一次批准、怎么登录，以及敏感信息检查能多准确地分清什么是隐私、什么是无害内容。
你可以直接用大白话告诉 Duet 你想要什么、哪里出了错，它会给团队提交一份报告。
Duet 并不是唯一一个。今年的个人 Agent 赛道，已经挤满了人。
1 月，开源的 OpenClaw 爆火，全民养🦞，很多人第一次体验到一个 7×24 小时跑在自己机器上、能接管各种账号的个人助理。
它的安全争议也一直没有间断，毕竟要把 API key、邮箱和聊天账号全交给一个 Agent，提示词注入就成了真实的风险。
比如我年初写过的：太野了！某龙虾自爆安全漏洞
在 5 月的 Google I/O 上，Google 发布了 Gemini Spark，定位是一个 24 小时帮你干活的个人 Agent，同时推出了主动推送的每日简报。
8 月 11 日，马斯克 的 Grok Bot 开启了早期测试。
xAI 把它叫 AI 队友，它会登录你的工具，像你一样去用，然后把做完的活交回来。
每个 Bot 都是一个常驻的 Agent，有自己的云端电脑，带浏览器、文件系统、终端和记忆，你下线了它也照样干活，运行环境由 Cursor 提供支撑。
它能接 Gmail、日历、Notion、Drive、X 等服务，有自己专属的邮箱，能按计划跑定时任务，也能语音对话，马斯克还转发过用户在 Cybertruck 里用它的体验。
邮件、购物、出差可以各配一个 Bot，多个 Bot 分头做同一个项目，再在群聊里由一个 Bot 统筹，Grok Bot 从第一天起就是按一队 Bot 来设计的。
它目前只对部分高价订阅用户开放（我也有！），最近马斯克几乎每天都会连发好几条帖子给它站台，说它「像雇了一个极其能干的员工」。
9 月 8 日，Meta 推出了 Muse，美国用户可以在网页、iOS、Android 和 WhatsApp 里用，免费起步，重度使用有每月 20 美元和 100 美元两档付费，之后又上线了日本。
它能发邮件、订行程、帮你砍账单、填表、下单，跑在一台叫 Muse Secure VM 的专属虚拟机上，旁边还有一个系统层面隔离的 Sentinel Agent。
Meta 同样承诺 Muse 看不到你的密码和支付方式，结账也走 Stripe 的 Link，Shop Pay 和 1Password 也都在路上。
9 月 29 日的 DevDay 上，OpenAI 发布了 Dots，基于 GPT-6 Astra。
每个 Dot 都有自己的云端电脑、浏览器和账号，能接 4000 多个应用，可以在 ChatGPT 和 Codex 里启动，也能在 Slack、Teams 里直接给它发消息，短信也会支持。
Dots 先开放给 ChatGPT Pro 和 Business Premium 用户，更强调一个主 Dot 带着几个专职 Dot 组队，长时间推进项目。
然后，就是本周三的 Claude Duet。
形态上，几家的基本已经达成共识，正在收敛：
云端虚拟机加独立浏览器、主动发简报、连上你的邮箱日历和各种 SaaS、花钱前要你点头、模型不碰你的密码。Muse 和 Duet 连付款，选的都是同一个 Stripe Link……
形态上拉不开差距，各家讲「为什么可以放心」的方式就很不一样了。
关于 Meta Muse 一直有人在问：还敢不敢把数据交给一家多次因为隐私问题被 FTC 处罚的公司？
而 Muse 上线才一个月，安全公司 Claroc 的研究人员就发现，它的对话分享链接可以被枚举，一口气挖出了 6800 条用户分享过的对话，里面有不少显然不打算公开的个人和商业信息……见前文：号称为隐私和安全而生的 Meta Mus...
OpenAI 讲的是多 Agent 组队，以及和微软 Agent 365 安全管控的整合。
xAI 则有评测指出，发布页说每个 Bot 都有自己的电脑，文档里写的却是同一账号下的所有 Bot 共用一台机器，浏览器 Cookie、登录状态和文件都是共享的。
Anthropic 今天的这篇长文，则试图把审批卡片、两档敏感信息、一次性密钥、占位凭证、浏览器隔离给讲清楚。
至于多久问你一次才合适，问多了会被闭眼点过，问少了又没人敢用，这个度如何把控为合适，Anthropic 说还在调。
在我看来，这也是这类 Personal Agent 产品接下来最难做好的一件事。
目前 Duet 只对美国的 Pro 和 Max 用户开放，需要排队。
不过你排就好，我虽然有 Max 但我就不排了，我怕封号
◇ ◆ ◇
