Anthropic a détaillé l'intégralité du design de sécurité de Claude Duet dans un billet de blog officiel du 23 octobre. Cet agent, actuellement en aperçu de recherche, travaille pour vous en continu sur un ordinateur dans le cloud : il lit vos e-mails, rédige des réponses, passe des commandes, exécute des tâches planifiées – même en votre absence. Plus ses pouvoirs sont grands, plus une question devient pressante : en quoi mérite-t-il votre confiance ?
Le premier verrou, c'est l'approbation. Avant d'envoyer un message sensible, de payer ou de supprimer quelque chose, Duet affiche une carte d'approbation présentant l'action, la cible, le contenu et tous les destinataires, et attend votre feu vert. En parallèle, un classifieur indépendant du modèle opérationnel vérifie que l'opération correspond bien à votre intention – le contrôle s'exécute hors du modèle, si bien que des instructions dissimulées dans une page ne peuvent pas le perturber. Certaines opérations ne peuvent même pas être approuvées : le trading de titres, les virements entre comptes bancaires, l'accès au compte d'autrui. Les actions comme les paiements, les annulations de commandes ou la création de comptes ne pourront jamais être réglées sur « ne plus demander ».
Le deuxième verrou, c'est la classification de l'information. Avant d'envoyer un message, un autre classifieur indépendant analyse d'abord le contenu : les identifiants de connexion, les numéros de carte complets, les numéros de compte bancaire et les numéros de pièces d'identité officiels relèvent de « jamais partagé » – ils ne seront pas envoyés, même si vous le demandez ; les données de santé ou financières relèvent de « partagé uniquement avec consentement », mais votre propre demande explicite vaut consentement – « envoie un message au dentiste pour dire que j'ai mal à la dent » ne nécessite donc pas de seconde confirmation.
Le troisième verrou est le plus radical : le modèle ne touche jamais vos mots de passe. Lors de la connexion, vous saisissez votre mot de passe dans un formulaire intégré à l'application Claude ; le formulaire le chiffre avec une clé à usage unique sur une machine navigateur sécurisée dans le cloud, et le chiffré est transmis tel quel au navigateur pour remplir le formulaire – le modèle ne peut ni le voir ni le conserver. Les jetons de connexion suivent un mode proxy : la machine de l'agent ne contient que des espaces réservés, et le vrai jeton est injecté par un agent externe au moment précis où la requête part. Le navigateur lui-même tourne sur une machine virtuelle cloud isolée ; l'agent ne peut donner que des instructions fixes, et le code des sites web ainsi que les cookies n'atteignent jamais la mémoire du modèle.
Anthropic a également fait tester Duet par des sociétés externes de tests d'intrusion avec accès au code source ; une nouvelle vague de tests portant sur le navigateur cloud et les formulaires de connexion est en cours, et Duet est déjà intégré au programme public de bug bounty.
La direction de ce design est limpide : la sécurité des agents passe de la « maîtrise du modèle » à la « maîtrise du système ». Approbation, classification de l'information et isolation des identifiants sont trois couches indépendantes – si l'une est contournée, la suivante prend le relais – et cela pourrait bien devenir le modèle de référence du secteur pour les agents personnels.
