Anthropic hat das Sicherheitsdesign von Claude Duet in einem offiziellen Blogbeitrag vom 23. Oktober vollständig offengelegt. Der Agent, derzeit in der Forschungsvorschau, arbeitet auf einem Cloud-Computer fortlaufend für Sie: Er liest E-Mails, entwirft Antworten, bestellt Waren, führt geplante Aufgaben aus – auch wenn Sie nicht da sind. Je größer die Befugnisse, desto dringender die Frage: Warum sollte man ihm vertrauen?
Das erste Schloss ist die Freigabe. Bevor eine sensible Nachricht gesendet, eine Zahlung getätigt oder etwas gelöscht wird, zeigt Duet eine Freigabekarte mit Aktion, Ziel, Inhalt und allen Empfängern und wartet auf Ihr Nicken. Gleichzeitig prüft ein vom Arbeitsmodell unabhängiger Klassifizierer parallel, ob die Aktion Ihrer Absicht entspricht – die Prüfung läuft außerhalb des Modells, sodass versteckte Anweisungen auf einer Seite sie nicht stören können. Manche Aktionen sind nicht einmal per Freigabe möglich: Wertpapiergeschäfte, Überweisungen zwischen Bankkonten, Zugriff auf fremde Konten. Aktionen wie Zahlungen, Stornierungen und das Anlegen von Konten dürfen niemals auf „Nicht mehr fragen" gesetzt werden.
Das zweite Schloss ist die Informationsklassifizierung. Bevor Duet eine Nachricht sendet, scannt ein weiterer unabhängiger Klassifizierer den Inhalt: Zugangsdaten, vollständige Kartennummern, Bankkontonummern und Ausweisnummern gehören zu „niemals teilen" – sie werden auch auf Ihre ausdrückliche Bitte hin nicht gesendet; Gesundheits- und Finanzdaten gehören zu „nur mit Zustimmung teilen", doch Ihre eigene ausdrückliche Bitte gilt bereits als Zustimmung, etwa bei „Schick dem Zahnarzt eine Nachricht, dass mir der Zahn weh tut" ist keine zweite Bestätigung nötig.
Das dritte Schloss ist das konsequenteste: Das Modell berührt Ihre Passwörter überhaupt nicht. Bei der Anmeldung geben Sie Ihr Passwort in ein Formular innerhalb der Claude-App ein; das Formular verschlüsselt es mit einem Einmalschlüssel auf einer sicheren Browser-Maschine in der Cloud, und der Chiffretext wird unverändert an den Browser zum Ausfüllen des Formulars weitergegeben – das Modell kann ihn weder sehen noch speichern. Anmelde-Token laufen über ein Proxy-Verfahren: Auf der Agentenmaschine liegen nur Platzhalter, das echte Token injiziert ein externer Agent erst in dem Moment, in dem die Anfrage hinausgeht. Der Browser selbst läuft auf einer separaten Cloud-VM; der Agent kann nur feste Anweisungen erteilen, und Code sowie Cookies von Websites erreichen den Speicher des Modells nicht.
Anthropic hat Duet zudem von externen Penetrationstesting-Firmen mit Zugriff auf den Quellcode testen lassen; eine neue Testrunde für den Cloud-Browser und die Anmeldeformulare läuft, und Duet ist bereits in das öffentliche Bug-Bounty-Programm aufgenommen.
Die Richtung dieses Designs ist klar: Die Agentensicherheit verschiebt sich von der „Bändigung des Modells" zur „Bändigung des Systems". Freigabe, Informationsklassifizierung und Trennung der Zugangsdaten sind drei voneinander unabhängige Schichten – wird eine umgangen, fängt die nächste ab – und das dürfte zur Branchenschablone für persönliche Agenten werden.
