Claude Duet 的安全设计在 Anthropic 10 月 23 日的官方博客里完整拆解。这个处于研究预览阶段的智能体会在云端电脑上替你持续干活：读邮箱、起草回复、订东西、跑定时任务，人不在也能动。权限越大，越要回答一个问题：它凭什么值得信任？
第一道锁是审批。发敏感消息、付款、删除东西之前，Duet 会弹出审批卡，把动作、目标、内容和全部收件人摆出来等人点头。与此同时，一个独立于干活模型的分类器会并行判断这次操作是否符合你的意图——检查跑在模型之外，页面里藏的指令干扰不了它。有些操作连审批都不行：证券交易、银行账户间转钱、进入别人的账号。付款、删单、建账号这类动作则永远不能设"不再询问"。
第二道锁是信息分级。Duet 发消息前，另一个独立分类器先扫一遍内容：登录凭证、完整卡号、银行账号、政府证件号属于"绝不分享"，就算你要求也不发；健康、财务等隐私属于"需同意才分享"，但你自己的明确请求本身就视作同意，比如"给牙医发条消息说我牙疼"就不用二次确认。
第三道锁最彻底：模型根本碰不到你的密码。登录时你在 Claude 应用内的表单输入密码，表单用一次性密钥在云端安全浏览器机器上加密，密文原封不动传给浏览器填表，模型看不见也存不下。登录令牌则走代理模式：智能体机器里只有占位符，真正的令牌由外部代理在请求发出瞬间才注入。浏览器本身跑在独立云虚拟机里，智能体只能下固定指令，网站的代码和 cookie 到不了模型内存。
Anthropic 还请外部渗透测试公司拿着源代码测过 Duet，新一轮覆盖云端浏览器和登录表单的测试正在进行，Duet 也已纳入公开漏洞赏金计划。
这套设计的指向很清楚：智能体安全正在从"管住模型"转向"管住系统"。审批、信息分级、凭证隔离三层互相独立，任何一层被绕过都还有下一层兜底——这很可能成为个人智能体的行业模板。
