Claude Duet 安全指南

Claude Duet 审批：大事由你拍板

Claude Duet 安全设计的核心原则是：活由智能体来干，不可逆的决定由你来做。Anthropic 表示，Duet 在执行敏感操作前会等待批准，并点名了四类。其他事情，比如阅读、调研、起草和制作报告，它都可以自己完成。

发送

邮件、Slack 消息和其他对外沟通，都是先起草、再搁置。发布视频里，一封录用通知一直停在“Not now”和“Send”这一步，老板点了 Send 才发出去。

付款

付款一定会等你。演示中，Duet 准备好了一份卫生许可证申请，请老板“看一下，方便时付款”。

签署

未经批准，它不会代你签署任何文件。

删除

未经批准，文件和记录不会被删除，所以一条被误解的指令也不会悄无声息地抹掉重要的东西。

根据 Anthropic 的产品页，你还可以查看 Duet 已经做了什么、正在做什么，并随时调整方向。任何时候都可以在对话里让它列出最近的操作。

Claude Duet 从不接触你的密码

Anthropic 在发布帖里对凭据问题说得很直接：Duet“从不直接看到你的密码”。

在私有云电脑里登录

审批、登录和安全检查都在一台私有云电脑里运行。实际效果是，负责推理的模型接触不到你的原始凭据；它用的是这些登录建立的会话，而不是密码本身。

敏感信息分类器

Anthropic 新增了“一个新的分类器”，防止 Duet 泄露敏感信息。可以把它理解为第二道检查：它会审视智能体准备发送或透露的内容，拦下那些不该离开你账号的东西，比如财务细节或个人身份信息。Anthropic 没有公布这个分类器的判断方式，所以把它当成安全网，而不是保证。

Claude Duet 隐私：你的数据去了哪里

隐私是 Claude Duet 安全问题里最常被误解的部分，所以值得说得精确一些。

云端处理

Duet 在 Anthropic 运营的云电脑上工作。它从你已连接的应用里读到的一切，都在云端处理，这也是你的手机关机时它还能继续工作的原因。

并非仅在本地

它没有本机运行或仅限本地的模式。如果你的规定要求某些数据绝不能离开你的设备或公司系统，就别把这些数据连到 Duet 上。

操作可见性

预览版里你没法实时观看 Duet 的浏览器，能看到的是它引用的来源和它做出的成果。Anthropic 还没有公布 Duet 专属的数据保留规则；在那之前，可以默认适用你 Claude 账号的隐私设置和 Anthropic 面向个人用户的隐私政策。

与其他智能体的安全防护对比

今年秋天推出个人智能体的几家公司，最后都走向了相似的架构：一台专属的云端机器、让模型接触不到凭据、高风险操作由人把关。区别在于由谁来把关。

• Meta Muse 在同一台机器上配了第二个名为 Sentinel 的智能体。Muse 发出的任何内容，未经 Sentinel 批准都到不了互联网；购物和发邮件之前，Muse 也会先问你。
• ChatGPT Dots 允许你自定义规则，决定每个 dot 能自主做到什么程度，从不问就做，到把任务交还给你。
• Duet 有一份固定的清单，列出哪些操作一定要你批准，外加一个筛查敏感信息的分类器。

固定清单不如可配置规则灵活，但也更不容易配错。完整对比见 Duet 对比 Muse 和 Duet 对比 Dots 页面。

安全使用 Claude Duet

Anthropic 的防护管的是智能体，下面这些习惯管的是你自己。

连接器遵循最小权限

只连接 Duet 需要的账号，批准前检查每个连接器申请的权限。如果你只想要排期建议，只读的日历就比可编辑的更安全。每个应用允许什么，见连接器指南。

审阅草稿

看草稿再批准，别只看通知。核对收件人、金额和附件，发给组织外部人员的消息尤其要仔细。

警惕提示词注入

任何能读你邮件的智能体，都能读到恶意邮件。攻击者可能把指令写进邮件，指望智能体照做。Duet 的审批规则能限制损失，因为危险操作仍然需要你点头；但如果智能体突然提议发送数据，或者给一个你没预料到的人付款，一定要起疑心。

• 按照设置教程的建议，从一个无关紧要的邮箱或测试账号开始。
• 绝不要只看通知就批准一笔给新收款人的付款。
• 不再使用的应用就断开连接；每一个连接都是攻击面。
• 每周检查一次 Duet 在跟进哪些事，把已经结束的停掉。

常见问题