Claude Duet：主动型 Agent 上线，不可逆的动作仍等你点头

一句话结论：2026 年 10 月 21 日，Anthropic 开放 Claude Duet 的研究预览——一个主动型（proactive）Agent：它每天早上给你一份跨应用的晨报，白天每几小时巡检一次，只在真需要你的时候才发消息；你给它一个任务，它在自己的虚拟机里、用自己的浏览器干完，再把结果给你。而所有不可逆的动作——发消息、付款、签文件、删除——它都会先展示"我准备做什么"，等你批准；证券交易和账户间转账，即使你批准也不做。

披露：本文编译自 Anthropic 官方发布文《Introducing Claude Duet》（2026-10-21，5 分钟阅读）与其产品页，两份都是 Anthropic 自述。本文未做独立实测（且该产品目前仅限美国 Pro/Max 用户、需排队）。文中把 research preview 统一译作"研究预览"。

一、它是什么：从"你问它答"变成"它来找你"

发布文对定位写得很直白：Duet 是让 Claude 以主动型 Agent 的方式工作的新应用——它带着"需要你注意的事"来找你，完成你交代的任务，你走开时它继续干，在替你行动之前先跟你确认。

目标用户也很明确：事务多到自己都数不清的专业人士和小企业主（不是工程师）。

形态与可用性：

注意最后一条：它是独立应用，和主 Claude App 分开（发布文明确说，两边的协同方式还在观察期）。

二、它一天在干什么

发布文给了三条"判断力"设定，值得逐条看，因为这就是这类产品的产品定义：

1. 每天早上给你一份短晨报：把已连接应用里最重要的事项汇总给你。
2. 白天只在该说话的时候说话：它持续盯着这些应用，但只在某件事需要你时才发消息。
3. 任务不分大小：从"帮我约个会"这种行政琐事，到"用几十个工具搭一个仪表盘"、做财务或销售预测、做原型、甚至搭 Web 应用。

产品页上那份"晨报"样例把口味写得很清楚（招聘、合同红线、门店开业许可、A 轮路演、客户发错货……），每一条都是一句话现状 + 一个需要你决定或点头的点，而不是流水账。

而且它不是实时的——发布文原话：Duet 每几小时检查一次已连接的账户，因为"不停检查会更快烧光你套餐的额度"。你还可以告诉它你想听什么、多久听一次。

三、安全：五件事，一条比一条具体

这一节是全文信息密度最高的部分，也是判断这类产品能不能用的关键：

1. 跟着既有框架走：Duet 沿用 Anthropic 的"可信 Agent 框架"（Claude Code、Claude in Chrome 也用同一套）。
2. 凭据它看不到：处理凭据的方式沿用 Claude Managed Agents 的设计——它从不直接看到你的密码或登录令牌。
3. 动作先过分类器：真正的动作由 auto mode 分类器批准，这也是保护 Claude 与 Claude Code 不越权的那套机制。
4. 防提示注入：对隐藏指令与提示注入的防御来自其浏览器使用（browser-use）研究，模型与防护层也覆盖更广的场景。
5. 对抗测试与专门分类器：红队 + 外部公司渗透测试 + 公开漏洞赏金；另外上线了一套新的专用分类器 + 安全系统提示词，检查每条消息、防止敏感信息外泄——最严格一级的信息（信用卡号、政府身份证件）直接拒绝发送；健康、个人财务这类信息，只有你明确指示它发时才放行。

发布文说，更完整的安全设计细节"将在接下来几天内"单独发布。

四、人在环：哪些它自己做，哪些必须你点头

这是全篇最该划重点的一段：

• 它自己可以做：读、起草、准备。
• 必须你批准：发消息、付款、签文件、删除任何东西——它会先展示"我准备做什么"，然后等你。
• 即使你批准也不做：证券交易、账户之间的转账。
• 你随时可以：断开它接入的任何一个应用。

也就是说，产品把"不可逆"单独划成了一档，并且在产品层面（而不是提示词层面）设了两条硬禁区。

五、它怎么干：一台你看不见的电脑

发布文里"它怎么工作"的部分，解释了"你走开它还在干"是怎么实现的：

• 起点是你的上下文：Duet 继承你 Claude 账号里的记忆、技能和已连接的应用，所以几乎不用配置。
• 一个持续的线程：打字或语音都行——"回一句话"和"跑一周的项目"从同一个入口开始。
• 独立虚拟机 + 自带浏览器：所以不需要你的笔记本或手机开着。你一句话描述任务，它自己决定用哪些应用、按什么步骤在后台做；完成或需要你复核时发通知。
• 决策留给你（见上一节）。

连接器方面，发布文列了这些具体场景：

买东西这条单独说：Duet 用 Link（Stripe 的数字钱包） 下单，先跟你确认商品，再由 Link 请你批准这笔支出，然后用虚拟卡付款——你的真实卡号不会被交出去。也可以用 Shop Pay 结账；"即将支持"用 1Password 里保存的登录信息登录网站。

六、它自己承认的短板

发布文没有把话说满，这一节反而最有用：

• 会看错线程、也会误判紧急程度（早期版本）。
• 围绕"工作"设计：订票之类的个人琐事相对弱。
• 还不能给你看它的浏览器——也就是说，你无法实时围观它在上什么网站、点了什么。
• 它是独立应用，和主 Claude App 暂时分开，二者如何协同"取决于早期用户的反馈"。
• 后台巡检计入用量；像搭财务模型、做一份 deck 这类大任务，需要更多模型回合与后台工作。

七、早期用户在拿它干什么

发布文点名了几位内部使用者，用法挺能说明"主动型"到底改变了什么：

• Boris Cherny（Claude Code 团队负责人）：散步时口述脑子里的待办清单给它，而不是留到回桌边再干。
• Chelsea Larsson（模型与产品行为设计负责人）：去陪孩子之前把手头清单交给它，回来收一份晚间报告。
• Karan Ahuja（Duet 团队负责人）：用它约用户访谈、一起做原型，甚至提交代码——"团队用它造这个产品"。
• 三位小企业主：有人每天早上收晨报，某天它主动指出日历上一场看房记错了日子；有人用它做账、客服、营销，把发票按门店过了一遍；还有人开会前它自动准备了简报，并发现这场电话正好排在她航班之前，主动提议改期。

八、编译者按：三个值得记住的设计选择

1. "主动"不等于"实时"。每几小时巡检一次，是成本与判断力之间的折中，也顺带定义了产品节奏：它更像"一个按时交班的同事"，而不是"盯着你看的监控"。
2. 隔离给到了 VM + 浏览器的粒度，可观测性却没给。它跑在独立虚拟机、自带浏览器，但"不能给你看浏览器"——所以信任只能建立在批准闸门 + 事后通知上，而不是"围观它操作"。这是主动型 Agent 的共性取舍。
3. 硬禁区写在产品层。证券交易、账户间转账即使批准也不做——这类红线如果只写在提示词里，等于没有；写在产品里，才是可被审计的边界。

九、和站内几篇的对照

先把 Duet 和"你主动打开一个聊天窗口"的差别摆平（下表是我们根据发布文整理的对照，不是原文表格）：

• 主动型 Agent 的骨架：我们编译过的 Grok Bot 拆解 讲的是"消息进队列、能被你打断、结果走同一个出口"；Duet 多了两条产品化设定——巡检节流和不可逆动作的草稿审批。
• "发没发出去"这个问题：Agent 上线复盘 里那套"记调用、unknown 不等于 none"正是这类产品必须回答的；Duet 的答案是"不可逆动作一律先停下来问你"。
• 隔离那一层：Hyperlight 0.18 和 NVX 是微软那一路的 microVM；Duet 官方只说"独立虚拟机"，没说具体实现——从成本与启动速度推断，microVM 系是合理候选，但这是我们的推测，不是官方说法。
• 失效模式：Agent 安全事故九起与六项控制 里"批准疲劳"是头号杀手——天天点"同意"的人，等于没有闸门。

十、边界（给国内读者的实话）

• 目前不可直接用：仅美国 Pro/Max、需 waitlist、独立 App；连接器也以美区 SaaS 为主。
• 研究预览：行为、能力、额度规则都会变；官方说安全细节"几天后"再发。
• 本文是编译，不是评测：所有能力、限制、安全机制均为 Anthropic 自述，我们未做一手验证。
• 它解决的是"注意力分配"，不是"替你负责"：硬禁区之外的动作，最终仍然是你的签字。

相关阅读：Agent / MCP / 自动化完全指南 ｜ Grok Bot 用法拆解：一条消息之后，服务端发生了什么 ｜ Agent 上线复盘：重启失忆、重复退款、超时当失败 ｜ Agent 安全事故九起与六项控制 ｜ 1–2 毫秒起的 microVM：Hyperlight 0.18

Sources

• Anthropic, Introducing Claude Duet, 2026-10-21：https://claude.com/resources/articles/claude-duet
• Claude Duet 产品页（能力、晨报样例、连接器，抓取于 2026-10-23）：https://claude.com/product/claude-duet
• 对照阅读（本站）：Grok Bot 拆解、Agent 上线复盘、Hyperlight 0.18

本文由 hubwiz 编译整理，转载请注明出处。

这是「Agent / MCP」专题的一部分。完整地图见：Agent / MCP / 自动化完全指南