Claude Duetのセキュリティ設計が、Anthropicの10月23日の公式ブログで完全に明かされた。研究プレビュー段階にあるこのエージェントは、クラウド上のコンピュータであなたの代わりに継続的に働く。メールの読み取り、返信の下書き、注文、定期タスクの実行など、あなたが不在でも動く。権限が大きいほど、一つの問いに答えなければならない。なぜ信用に値するのか、だ。
第一の鍵は承認だ。センシティブなメッセージの送信、支払い、データの削除の前に、Duetは承認カードを表示し、操作内容、対象、内容、全ての宛先を示して承認を待つ。同時に、実働モデルとは独立した分類器が並行して、その操作があなたの意図に合致するかを判定する。チェックはモデルの外側で実行されるため、ページに隠された指示では妨害できない。一部の操作は承認すらできない。証券取引、銀行口座間の送金、他人のアカウントへのアクセスだ。支払い、注文のキャンセル、アカウントの作成といった操作は、「今後確認しない」に設定することもできない。
第二の鍵は情報の分類だ。メッセージを送る前に、別の独立した分類器が内容をスキャンする。ログイン認証情報、完全なカード番号、銀行口座番号、政府発行の身分証番号は「絶対に共有しない」に属し、あなたが求めても送信しない。健康や財務に関する情報は「同意があれば共有」に属するが、あなた自身の明確なリクエストはそのまま同意と見なされる。「歯が痛いと歯医者にメッセージして」なら二次確認は不要だ。
第三の鍵が最も徹底している。モデルはあなたのパスワードに全く触れない。ログイン時、パスワードはClaudeアプリ内のフォームに入力される。フォームはクラウド上の安全なブラウザマシンでワンタイムキーを使って暗号化し、暗号文はそのままブラウザに渡されて入力される。モデルは見ることも保存することもできない。ログイントークンはプロキシモードで扱われる。エージェントのマシンにはプレースホルダーしかなく、本物のトークンは外部のエージェントがリクエスト送信の瞬間に注入する。ブラウザ自体は独立したクラウド仮想マシン上で動く。エージェントは固定の指示しか出せず、ウェブサイトのコードやCookieはモデルのメモリに届かない。
Anthropicはまた、外部のペネトレーションテスト会社にソースコード付きでDuetをテストさせた。クラウドブラウザとログインフォームを対象とする新たなテストラウンドが進行中で、Duetは既に公開バグバウンティプログラムの対象にもなっている。
この設計の方向性は明確だ。エージェントのセキュリティは「モデルを縛る」から「システムを縛る」へと転換しつつある。承認、情報分類、認証情報の隔離という三層は相互に独立しており、どれか一層が回避されても次の層が受け止める。これは個人向けエージェントの業界テンプレートになる可能性が高い。
