GitHub Radar

這篇是 Anthropic 針對 Claude Duet 發布的安全、隱私與資安說明。Claude Duet 是目前仍在 research preview 的主動式 agent，跑在雲端電腦上，可以使用你連接給 Claude 的所有 app 與服務，關掉 app 後仍持續運作：讀信、擬回覆、訂東西、在你不在時執行例行任務。它建立在兩層既有防護之上（模型本身的安全訓練，以及 Claude Code、Claude Managed Agents 的產品防護），再加上為「跨帳號代你行動」新增的保護。

三大原則

第一，你的資訊以及他人在你連接的 app 裡分享的內容要被謹慎處理，由一個新的分類器在訊息寄出前檢查。第二，你對它代你做的事保有控制權。第三，Claude Duet 永遠看不到你的密碼、瀏覽器 cookie、登入 token 或其他憑證。文章也指出這延續了 Anthropic 2025 年的「安全可信 agent」框架，以及「沒有單一防線足夠」「模型內防護不能單獨存在」等既有論述。

重要動作需要你核准

在寄出可能敏感的訊息、付款或刪除任何東西之前，Claude Duet 會把動作、目的地與內容（包括每位收件人）攤給你看，等你核准。另有一個獨立的自動檢查與每個動作並行，以 Claude Code 的 auto mode 分類器為基礎延伸而來，判斷動作是否符合你的意圖；它跑在執行工作的模型之外，所以網頁裡藏的指令無法左右結果。有些動作即使你同意也一律禁止，例如交易證券、帳戶間轉帳等銀行操作、存取他人帳號；另一些動作（付款或轉帳、刪除訂單、建立帳號）不適用「下次別再問」規則。背景執行的 routine 也套用相同防護。團隊花了大量時間校準詢問頻率，因為核准疲勞會讓人習慣性點過，之後仍會持續調整。購物時用 Link from Stripe 之類錢包產生限定商家、限定金額的一次性卡號，你在 Link app 裡核准，真實卡號不會給 Claude Duet 或商家。

資訊謹慎處理

代你讀信寄信的 agent 要不斷判斷資訊該流向哪裡，例如替團隊寫週報時只該包含大家本來就看得到的內容，不能放進你的績效面談細節。為此他們做了一個與主模型分開執行的新分類器，把敏感資訊分兩級：「絕不分享」包括登入憑證、完整卡號與銀行帳號、政府身分證號，即使你要求也不分享；「需要同意才分享」包括健康、財務等私密資訊，你自己的請求就算同意，例如請它寫信告訴牙醫你牙痛通常不需再核准。被擋下時，Claude Duet 可以改寫訊息拿掉敏感內容再請你核准。官方坦承這些防護仍會漏判或誤判，所以和核准機制一起運作。

任務與連接 app 的可見性

任務清單中每個任務都有自己的頁面，可以中途調整方向。對話紀錄與記憶會保留以延續脈絡，直到你刪除或重置；刪除帳號會清除所有資料。連接的 app 與 Claude 帳號共用，在一邊關掉另一邊也關；斷開某個 app 會停止新的存取，但已學到的內容會留到你重置記憶。它也會使用你 Claude 帳號裡的記憶。

憑證與瀏覽器和模型隔離

密碼：網站要求密碼時，你在 Claude app 內的表單輸入，以只存在於安全雲端瀏覽器機器上的一次性金鑰加密，原封不動傳給瀏覽器輸入，模型看不到也無法儲存或複述。之後也將支援 1Password 核准登入。文章也談到釣魚：Duet 本身不持有憑證所以無從被騙出密碼，但登入表單本身會成為仿冒目標，因此它只會在你主動要求的登入流程中、在 app 內出現，絕不以連結、簡訊、Email 或 claude.ai 以外的網站出現。登入 token：沿用 Claude Managed Agents 設計，憑證不進入 agent 工作的機器，那裡只放佔位符，由機器外的 proxy 在發出請求時才填入真值。瀏覽器：跑在獨立的雲端 VM，與模型和 agent 的工作機分開，agent 只能透過固定指令操作（開頁、點擊、輸入），網站程式碼與 cookie 留在瀏覽器機器上，回傳的只有頁面文字和下載檔，因此仍搭配 browser-use 研究中的 prompt injection 防護；透過瀏覽器上傳的檔案也要過敏感資訊檢查。Duet 會以獨特的 User-Agent 標示自己是 agent，並公布其瀏覽 IP，上線前也讓幾個大型網站選擇是否封鎖它，有些網站選擇封鎖。

測試方式

Safeguards 團隊用 routine 形狀的任務建評測，每題三個版本：無害版、注入指令版、誘使 agent 越權版，並搭配真實流量的 shadow traffic。紅隊測試是否洩漏資訊、未經核准行動或遵從惡意 prompt；建立整個系統跨 repo 與信任邊界的威脅模型；外部滲透測試公司在可存取原始碼的條件下測試，針對雲端瀏覽器與登入表單的後續測試正在進行；每個新的憑證功能上線前都在隔離環境紅隊測試。Duet 也納入 HackerOne 公開漏洞獎勵計畫。

結語

以 research preview 發布是為了了解使用者想要的防護與控制；核准頻率、登入方式、敏感資訊判斷的準確度都還在調整，使用者可直接用自然語言告訴 Duet 問題，它會替你提交回報。