> ## Content Index
> Fetch the complete content index at: https://www.hubwiz.com/blog/llms.txt
> Use this file to discover other available public pages before exploring further.

# Claude Duet：主动型 Agent 上线，不可逆的动作仍等你点头
- URL: https://www.hubwiz.com/blog/claude-duet-proactive-agent-research-preview/
- Published: 2026-10-22T18:15:45.000Z
- Updated: 2026-10-22T18:17:32.000Z
- Description: 每天早上给你一份晨报，然后安静到你真的需要它。发消息、付款、签文件、删除，一律先给你看、等你点头。
- Author: admin
- Tags: Claude Duet, AI Agent, 主动型 Agent, 安全设计

**一句话结论**：2026 年 10 月 21 日，Anthropic 开放 **Claude Duet** 的研究预览——一个**主动型（proactive）Agent**：它每天早上给你一份跨应用的晨报，白天**每几小时巡检**一次，只在真需要你的时候才发消息；你给它一个任务，它在**自己的虚拟机里、用自己的浏览器**干完，再把结果给你。而所有**不可逆**的动作——发消息、付款、签文件、删除——它都会先展示"我准备做什么"，等你批准；**证券交易和账户间转账，即使你批准也不做**。

**披露**：本文编译自 Anthropic 官方发布文《Introducing Claude Duet》（2026-10-21，5 分钟阅读）与其[产品页](https://claude.com/product/claude-duet?ref=hubwiz.com)，两份都是 Anthropic 自述。本文**未做独立实测**（且该产品目前仅限美国 Pro/Max 用户、需排队）。文中把 research preview 统一译作"研究预览"。

---

## 一、它是什么：从"你问它答"变成"它来找你"

发布文对定位写得很直白：Duet 是让 Claude **以主动型 Agent 的方式工作**的新应用——**它带着"需要你注意的事"来找你**，完成你交代的任务，**你走开时它继续干**，在**替你行动之前先跟你确认**。

目标用户也很明确：**事务多到自己都数不清的专业人士和小企业主**（不是工程师）。

形态与可用性：

| 项    | 内容                                              |
| ---- | ----------------------------------------------- |
| 形态   | **独立 App**（iOS / Android）+ claude.ai            |
| 模型   | 围绕 **Claude Opus 5.5** 设计                       |
| 可用范围 | **美国**的 **Pro / Max** 订阅者，**研究预览**，需加入 waitlist |
| 计费   | 与 Claude 其余功能**共用同一套用量上限**（后台巡检也计入）             |
| 连接能力 | **6,000+ 连接器与插件**（Claude Marketplace）           |

注意最后一条：它是**独立应用，和主 Claude App 分开**（发布文明确说，两边的协同方式还在观察期）。

## 二、它一天在干什么

发布文给了三条"判断力"设定，值得逐条看，因为这就是这类产品的产品定义：

1. **每天早上给你一份短晨报**：把已连接应用里最重要的事项汇总给你。
2. **白天只在该说话的时候说话**：它持续盯着这些应用，但**只在某件事需要你时才发消息**。
3. **任务不分大小**：从"帮我约个会"这种行政琐事，到"用几十个工具搭一个仪表盘"、做财务或销售预测、做原型、甚至搭 Web 应用。

产品页上那份"晨报"样例把口味写得很清楚（招聘、合同红线、门店开业许可、A 轮路演、客户发错货……），每一条都是**一句话现状 + 一个需要你决定或点头的点**，而不是流水账。

而且它**不是实时**的——发布文原话：Duet **每几小时**检查一次已连接的账户，因为"不停检查会更快烧光你套餐的额度"。你还可以告诉它**你想听什么、多久听一次**。

## 三、安全：五件事，一条比一条具体

这一节是全文信息密度最高的部分，也是判断这类产品能不能用的关键：

1. **跟着既有框架走**：Duet 沿用 Anthropic 的"可信 Agent 框架"（Claude Code、Claude in Chrome 也用同一套）。
2. **凭据它看不到**：处理凭据的方式沿用 **Claude Managed Agents** 的设计——**它从不直接看到你的密码或登录令牌**。
3. **动作先过分类器**：真正的动作由 **auto mode 分类器**批准，这也是保护 Claude 与 Claude Code 不越权的那套机制。
4. **防提示注入**：对隐藏指令与提示注入的防御来自其**浏览器使用（browser-use）研究**，模型与防护层也覆盖更广的场景。
5. **对抗测试与专门分类器**：红队 + **外部公司渗透测试** \+ 公开漏洞赏金；另外上线了一套**新的专用分类器 + 安全系统提示词**，检查每条消息、防止敏感信息外泄——**最严格一级的信息（信用卡号、政府身份证件）直接拒绝发送**；健康、个人财务这类信息，**只有你明确指示**它发时才放行。

发布文说，更完整的安全设计细节"将在接下来几天内"单独发布。

## 四、人在环：哪些它自己做，哪些必须你点头

这是全篇最该划重点的一段：

- **它自己可以做**：读、起草、准备。
- **必须你批准**：**发消息、付款、签文件、删除任何东西**——它会先展示"我准备做什么"，然后等你。
- **即使你批准也不做**：**证券交易**、**账户之间的转账**。
- **你随时可以**：断开它接入的任何一个应用。

也就是说，产品把"不可逆"单独划成了一档，并且在**产品层面**（而不是提示词层面）设了两条硬禁区。

## 五、它怎么干：一台你看不见的电脑

发布文里"它怎么工作"的部分，解释了"你走开它还在干"是怎么实现的：

- **起点是你的上下文**：Duet 继承你 Claude 账号里的记忆、技能和已连接的应用，所以几乎不用配置。
- **一个持续的线程**：打字或语音都行——"回一句话"和"跑一周的项目"从同一个入口开始。
- **独立虚拟机 + 自带浏览器**：所以**不需要你的笔记本或手机开着**。你一句话描述任务，它自己决定用哪些应用、按什么步骤在后台做；完成或需要你复核时发通知。
- **决策留给你**（见上一节）。

连接器方面，发布文列了这些具体场景：

| 场景                          | 用到的应用                            |
| --------------------------- | -------------------------------- |
| 找出漏掉的 Gmail / Slack 消息并帮你回复 | Gmail、Slack                      |
| 查未付发票、起草催款                  | Intuit QuickBooks、Stripe         |
| 准备并跑工资单（工时、奖金、报销填好）         | Gusto                            |
| 起草招聘帖，你改完批准后发布              | LinkedIn                         |
| 准备协议并发去审阅/签署                | Docusign                         |
| 用联系人与交易历史起草跟进邮件             | HubSpot                          |
| 把产品发布变成一套社交素材               | Canva                            |
| 搭建、设计、管理店铺                  | Shopify（更丰富的可视化编辑器"即将上线"，上线前可预览） |

**买东西**这条单独说：Duet 用 **Link（Stripe 的数字钱包）** 下单，先跟你确认商品，再由 **Link 请你批准这笔支出**，然后用**虚拟卡**付款——你的真实卡号不会被交出去。也可以用 **Shop Pay** 结账；"即将支持"用 **1Password** 里保存的登录信息登录网站。

## 六、它自己承认的短板

发布文没有把话说满，这一节反而最有用：

- **会看错线程、也会误判紧急程度**（早期版本）。
- **围绕"工作"设计**：订票之类的**个人琐事相对弱**。
- **还不能给你看它的浏览器**——也就是说，你无法实时围观它在上什么网站、点了什么。
- **它是独立应用**，和主 Claude App 暂时分开，二者如何协同"取决于早期用户的反馈"。
- **后台巡检计入用量**；像搭财务模型、做一份 deck 这类大任务，需要更多模型回合与后台工作。

## 七、早期用户在拿它干什么

发布文点名了几位内部使用者，用法挺能说明"主动型"到底改变了什么：

- **Boris Cherny（Claude Code 团队负责人）**：散步时**口述**脑子里的待办清单给它，而不是留到回桌边再干。
- **Chelsea Larsson（模型与产品行为设计负责人）**：去陪孩子之前把手头清单交给它，回来收一份**晚间报告**。
- **Karan Ahuja（Duet 团队负责人）**：用它约用户访谈、一起做原型，**甚至提交代码**——"团队用它造这个产品"。
- 三位小企业主：有人每天早上收晨报，某天它**主动**指出日历上一场看房记错了日子；有人用它做账、客服、营销，把发票按门店过了一遍；还有人开会前它自动准备了简报，并发现**这场电话正好排在她航班之前**，主动提议改期。

## 八、编译者按：三个值得记住的设计选择

1. **"主动"不等于"实时"**。每几小时巡检一次，是**成本与判断力之间的折中**，也顺带定义了产品节奏：它更像"一个按时交班的同事"，而不是"盯着你看的监控"。
2. **隔离给到了 VM + 浏览器的粒度，可观测性却没给**。它跑在独立虚拟机、自带浏览器，但"不能给你看浏览器"——所以信任只能建立在**批准闸门 + 事后通知**上，而不是"围观它操作"。这是主动型 Agent 的共性取舍。
3. **硬禁区写在产品层**。证券交易、账户间转账即使批准也不做——这类红线如果只写在提示词里，等于没有；写在产品里，才是可被审计的边界。

## 九、和站内几篇的对照

先把 Duet 和"你主动打开一个聊天窗口"的差别摆平（下表是我们根据发布文整理的对照，不是原文表格）：

| 维度    | 普通聊天 Agent | Claude Duet            |
| ----- | ---------- | ---------------------- |
| 谁先开口  | 你先问        | **它先来**（晨报 + 需要你时）     |
| 在你不在时 | 停下来        | **在自己的 VM 里继续干**       |
| 打扰策略  | 你随时看       | **每几小时巡检**，只在必要时发消息，可配 |
| 不可逆动作 | 你复制粘贴去执行   | **它展示、你批准**；两条硬禁区      |
| 失败可见性 | 你能看到每一步    | **看不到它的浏览器**，只有结果与通知   |

- **主动型 Agent 的骨架**：我们编译过的 [Grok Bot 拆解](https://www.hubwiz.com/blog/grok-bot-message-lifecycle-usage/) 讲的是"消息进队列、能被你打断、结果走同一个出口"；Duet 多了两条产品化设定——**巡检节流**和**不可逆动作的草稿审批**。
- **"发没发出去"这个问题**：[Agent 上线复盘](https://www.hubwiz.com/blog/agent-restart-replay-idempotency-retro/) 里那套"记调用、unknown 不等于 none"正是这类产品必须回答的；Duet 的答案是"不可逆动作一律先停下来问你"。
- **隔离那一层**：[Hyperlight 0.18](https://www.hubwiz.com/blog/hyperlight-018-ring-buffer-arm64-windows/) 和 NVX 是微软那一路的 microVM；Duet 官方只说"独立虚拟机"，没说具体实现——从成本与启动速度推断，microVM 系是合理候选，但**这是我们的推测，不是官方说法**。
- **失效模式**：[Agent 安全事故九起与六项控制](https://www.hubwiz.com/blog/agent-security-nine-incidents-six-controls/) 里"批准疲劳"是头号杀手——天天点"同意"的人，等于没有闸门。

## 十、边界（给国内读者的实话）

- **目前不可直接用**：仅美国 Pro/Max、需 waitlist、独立 App；连接器也以美区 SaaS 为主。
- **研究预览**：行为、能力、额度规则都会变；官方说安全细节"几天后"再发。
- **本文是编译，不是评测**：所有能力、限制、安全机制均为 Anthropic 自述，我们未做一手验证。
- **它解决的是"注意力分配"，不是"替你负责"**：硬禁区之外的动作，最终仍然是你的签字。

---

**相关阅读**：[Agent / MCP / 自动化完全指南](https://www.hubwiz.com/blog/agent-stack/) ｜ [Grok Bot 用法拆解：一条消息之后，服务端发生了什么](https://www.hubwiz.com/blog/grok-bot-message-lifecycle-usage/) ｜ [Agent 上线复盘：重启失忆、重复退款、超时当失败](https://www.hubwiz.com/blog/agent-restart-replay-idempotency-retro/) ｜ [Agent 安全事故九起与六项控制](https://www.hubwiz.com/blog/agent-security-nine-incidents-six-controls/) ｜ [1–2 毫秒起的 microVM：Hyperlight 0.18](https://www.hubwiz.com/blog/hyperlight-018-ring-buffer-arm64-windows/)

**Sources**

- Anthropic, *Introducing Claude Duet*, 2026-10-21：[https://claude.com/resources/articles/claude-duet](https://claude.com/resources/articles/claude-duet?ref=hubwiz.com)
- Claude Duet 产品页（能力、晨报样例、连接器，抓取于 2026-10-23）：[https://claude.com/product/claude-duet](https://claude.com/product/claude-duet?ref=hubwiz.com)
- 对照阅读（本站）：[Grok Bot 拆解](https://www.hubwiz.com/blog/grok-bot-message-lifecycle-usage/)、[Agent 上线复盘](https://www.hubwiz.com/blog/agent-restart-replay-idempotency-retro/)、[Hyperlight 0.18](https://www.hubwiz.com/blog/hyperlight-018-ring-buffer-arm64-windows/)

*本文由 hubwiz 编译整理，转载请注明出处。*

> **这是「Agent / MCP」专题的一部分。**完整地图见：[Agent / MCP / 自动化完全指南](https://www.hubwiz.com/blog/agent-stack/)