Claude Duet 安全与隐私机制解读：操作审批、敏感信息检查与凭据隔离

Claude Duet（在新标签页中打开） 是一款目前处于研究预览阶段的智能体，它使用基于云端的计算机为你处理工作。它可以使用你选择连接到 Claude 的所有应用和服务，即使你关闭应用后，它也会持续运行。它可以阅读你的收件箱、起草回复、预订服务，并在你离开时运行例程。我们的团队在自己的账户上运行 Claude Duet，每天都用它工作。

我们基于三项原则构建 Claude Duet，以指导智能体的行为：

1. 你的信息，以及其他人在你连接的应用中分享的内容，都会得到谨慎处理；我们使用一种新的分类器，在 Claude Duet 发出的消息发送前进行检查。
2. 由你掌控它代表你执行的操作。
3. Claude Duet 绝不会看到你的密码、浏览器 Cookie、登录令牌或其他凭据。

Claude Duet 虽然是新产品，但其背后的理念并不新。2025 年，我们发布了安全可信智能体框架（在新标签页中打开），该框架让人们掌控一切，并将隐私和安全交互视为基本要求。此后，我们撰文阐述了为什么单一防御措施远远不够（在新标签页中打开），以及为什么仅靠模型内部的防护无法独当一面（在新标签页中打开）。我们还通过Claude Managed Agents（在新标签页中打开）构建并运营企业在生产环境中运行智能体所需的基础设施；Claude Duet 也以同样的方式将凭据与智能体隔离。这项工作是 Claude Duet 的基础，并在此之上增添了智能体代表你行事所需的保护措施。本文将介绍我们新增了哪些内容，以及仍在推进哪些工作。

重要操作由你批准

一个能在你离开时采取行动的智能体，必须知道何时该停下来征求许可，并且要把握好征求许可的时机。在 Claude Duet 执行可能涉及敏感信息的消息发送、付款或删除内容等操作之前，它会向你展示操作内容、目标对象和具体内容，包括所有收件人。随后，它会等待你批准。

每项操作还会由一个独立的自动化检查同步审核。该检查基于Claude Code 的自动模式分类器（在新标签页中打开）构建，并针对 Claude Duet 进行了扩展，用于评估操作是否符合你的意图。检查在执行任务的模型之外运行，因此页面中隐藏的指令无法影响检查结果。

即使你批准，有些操作仍然禁止执行，例如证券交易、转移账户间资金等银行操作，以及访问他人的账户。另有一些操作不受“以后不再询问我”规则的约束，无论你之前批准过多少次，例如付款或转账、删除订单或创建账户。在你离开时运行的例程也遵循同样的安全措施。

我们花了很多时间来校准 Claude Duet 征求批准的频率。批准疲劳是个严重问题，因为请求过多会让人习惯性地快速点击通过，有时甚至不充分考虑。我们会随着时间推移继续调整这一校准。

对于购买，Claude Duet 会使用类似 Stripe Link 的钱包提供的一次性卡片付款，该卡片仅限用于指定商家和金额。你会看到商品和总金额，并在 Link 应用中批准购买。你的实际卡号不会透露给 Claude Duet 或商家。

你的信息会得到谨慎处理

能够读取你的电子邮件并代你发送消息的代理，需要不断判断不同类型的信息应当发送到哪里。如果你让 Claude Duet 给团队发送每周摘要，内容应仅包括团队中每个人都已获准访问的信息，绝不包含私人细节，例如有关你绩效评估的对话。

为了解决这个问题，我们构建了一种新的安全分类器，它独立于主模型运行，用于检查 Claude Duet 即将发送的每条消息是否包含可能敏感的信息。我们将这些信息分为两个级别：

• 绝不分享：对于登录凭据、完整的银行卡和银行账户号码以及政府颁发的身份证件号码等最敏感的信息，我们会提供最高级别的保护。Claude Duet 被要求绝不与任何人分享这些信息，即使你提出要求也不例外。
• 分享前需征得同意：对于健康或财务等其他私人信息，Claude Duet 只有在你明确同意后才会分享。你自己的请求即视为同意，因此，“给我的牙医发条消息，说说我的牙痛”通常不需要额外审批。

如果 Claude Duet 因任何一种原因而被拦截，它可以选择重写消息，去掉敏感信息，然后将消息发给你审批。

Claude Duet 仍处于研究预览阶段，这些防护措施偶尔会漏掉某些内容，或将无害消息误标。因此，它们会与上述审批机制协同工作，确保你能掌控 Claude Duet 代表你发送的内容。随着我们进一步了解人们如何使用 Claude Duet，我们预计会继续改进分类器。

你可以查看任务和已连接的应用

你可以在任务列表中查看 Claude Duet 已完成和正在执行的操作；每项任务都有自己的页面，你也可以在任务进行中对其进行引导。Claude Duet 会保留你的对话记录和记忆，以便在不同任务间延续上下文，直到你删除记录或重置记忆。删除账户会清除 Claude Duet 存储的所有内容。

你已连接到 Claude 的应用也会同步到 Claude Duet；在一处关闭某个应用，它在两处都会关闭。断开应用连接后，Claude Duet 将无法再获取新信息，但它此前从该应用获取的信息会一直保留，直到你重置记忆。你可以随时在应用设置中重置记忆。Claude Duet 也会使用 Claude 账户中的记忆，因此 Claude 从你之前的聊天中记住的详细信息也会显示出来。

凭据和浏览器与模型隔离

Claude Duet 绝不会看到你的密码、浏览器 Cookie 或已连接应用的登录令牌，也无法将它们保存到记忆中。这些信息只会经过模型无法访问的独立机器；管理其操作的审批和安全检查也在这些机器上运行。

密码

当网站要求输入密码时，你可以在 Claude 应用内的表单中输入。表单会使用一次性密钥对密码加密，该密钥仅存在于我们安全的云端浏览器机器上，且仅用于这一次操作。表单会将加密后的密码不经解密直接传给浏览器，由浏览器将其输入网站。模型看不到密码，也无法保存或复述它。不久后，你还可以通过 1Password 登录；Claude Duet 会请求提供凭据，你在 1Password 中批准该请求后，凭据就会直接发送给浏览器，而不经过模型。

能够代你登录的智能体从两个方面改变了网络钓鱼的风险。一方面，Claude Duet 不替你持有凭据，因此无法被钓鱼骗取密码，任何隐藏指令也无法让它泄露自己并不掌握的秘密。另一方面，登录表单本身也是攻击目标，因为任何要求输入密码的界面都可能被仿冒。因此，Claude Duet 的登录表单只会在你主动要求登录时出现在应用内。它绝不会以链接、短信、电子邮件或 claude.ai 以外的网站的形式出现。如果某个看起来像 Claude Duet 的界面在其他任何地方索要你的密码，那就是假的。

登录令牌

当 Claude Duet 在已连接的应用中工作时，它遵循我们的 Claude Managed Agents 设计（在新标签页中打开），确保凭据始终处于智能体工作环境无法触及的范围。智能体代表你使用的凭据，例如已连接服务的登录令牌，绝不会进入智能体工作的机器。机器上存放的是凭据的占位符，只有在发出请求时，机器外部的代理才会填入真实值。

浏览器

你在 Claude Duet 中使用的浏览器运行在云端独立的专用虚拟机中，与模型以及智能体工作的云端计算机相互隔离。智能体只能通过一组固定命令操控浏览器：打开这个页面、点击这里、输入这些内容。网站运行的任何内容都留在浏览器机器上（在新标签页中打开）。网站的代码和 Cookie 不会进入 Claude Duet 的记忆或你已连接的应用，智能体的任何命令也都无法从浏览器中读取 Cookie。传回的内容是页面文本和下载内容，因为智能体必须读取它们才能完成工作。这就是其他检查机制存在的原因，也是 Claude Duet 同时采用我们在浏览器使用研究（在新标签页中打开）中介绍的提示注入防护措施的原因。它通过浏览器上传的文件会接受与其消息相同的敏感信息检查。

Claude Duet 在设计上也会表明自己的智能体身份。目前，其网页浏览器发送的请求中包含独特的 User-Agent 请求头，我们也会公布它浏览网页时使用的公共 IP 地址，以便网站识别它，并决定如何对待它。在推出之前，我们还联系了几家大型网站，让它们可以选择阻止 Claude Duet 访问其网站，其中一些网站选择了阻止。随着我们从研究预览中积累经验，我们将继续完善 Claude Duet 表明自身身份的方式。

我们如何测试 Claude Duet

测试在研究预览版发布之前就已开始，并且现在仍在继续。我们的 Safeguards 团队基于类似例行任务的场景构建了评估，每项任务都有三个变体：无害版本、注入指令的版本，以及诱使代理执行超出要求内容的版本。这些评估会与来自真实使用场景的影子流量一同运行。

红队进一步测试了 Claude Duet 是否会泄露信息、未经批准采取行动，或遵循恶意提示。我们针对整个系统构建了威胁模型，涵盖它所接触的代码仓库和信任边界。一家外部渗透测试公司在获得我们源代码访问权限的情况下测试了 Claude Duet；目前正在进行后续测试，范围涵盖云端浏览器和登录表单。每项新的凭据功能在向任何人发布之前，都会在隔离环境中接受红队测试。

Claude Duet 也纳入了 Anthropic 的公开漏洞赏金计划范围。该计划会奖励有效报告，并根据我们的负责任披露政策，为善意研究提供安全港。如果你发现安全漏洞，我们希望听到你的反馈：请通过 HackerOne 上的 Anthropic 漏洞赏金计划进行报告：HackerOne（在新标签页中打开）。

与你共同构建

我们以研究预览版的形式发布 Claude Duet，因为我们希望了解你看重个人代理的哪些方面，包括你希望接下来看到哪些保护措施和控制功能。这里描述的某些内容仍在变化：它请求批准的频率、你的登录方式，以及敏感信息检查能否准确区分隐私信息和无害信息。请用通俗的话告诉 Claude Duet 你希望看到什么，或哪里出了问题，它会为我们的团队提交一份报告。