2026 年 10 月 23 日，Anthropic 正式发布了关于 Claude Duet 的安全与隐私说明（Safety, Privacy, and Security）。作为一款在云端计算机上运行的智能代理（Agent），Claude Duet 目前处于研究预览（Research Preview）阶段。它能够接入用户授权给 Claude 的应用与服务，并在用户关闭客户端后持续在后台运行，执行查阅收件箱、草拟回复、预约事项以及处理例行事务。随着持续运行能力的引入，官方披露了其在数据处理、权限隔离以及记忆留存方面的具体安全边界。
两种独立检查机制：操作意图与敏感信息分类
在保障系统安全运行方面，官方设计了两套各自独立、分工明确的检查机制，避免将操作意图判断与消息敏感度过滤混为一谈：
其一是操作意图自动化检查（Intent check）：该检查独立伴随 Claude Duet 的每项操作运行。它基于 Claude Code 的自动模式（Auto mode）分类器构建并为 Claude Duet 进行了扩展。意图检查运行在执行工作的主模型外部，用于评估当前拟执行的操作是否符合用户的真实意图。由于该检查完全在主模型之外运行，即使网页中包含隐藏指令，也无法干扰意图检查的判定结果。
其二是专门针对消息内容的敏感信息安全分类器（Safety classifier）：Anthropic 构建了一个独立于主模型运行的全新分类器，负责在 Claude Duet 即将发送出任何草拟消息前，检查其是否包含潜在敏感个人信息。官方将敏感信息细分为两个不同等级：
- Never share（禁止共享）：给予最严格保护的类别，涵盖各类登录凭据、完整银行卡号与银行账户信息，以及政府签发的身分证件号码。即使是用户本人在指令中明确提出要求，Claude Duet 也被严格指令禁止向任何人分享此类信息。
- Needs consent to share（需同意共享）：涵盖健康数据或个人财务状况等其他私人信息。Claude Duet 仅在获得用户明确批准后才会共享。如果用户的主动指令本身已包含该分享意图（例如用户指示“向我的牙医发送关于牙痛情况的说明”），系统通常直接将其视为已获授权，无需额外审批。
若消息因上述任一规则被拦截，Claude Duet 能够自行改写内容，在移除敏感数据后再展示给用户审批。
凭据与云端浏览器的模型隔离边界
针对用户关心的账户安全问题，官方明确了模型与凭据之间的隔离界限。必须注意的是，不能将防护机制宽泛地表述为整套底层架构无法触碰凭据，官方指明的不可访问主体是模型本身。
根据官方说明，凭据和浏览器均与模型实现了隔离。Claude Duet 模型本身永远无法查看用户的明文密码、浏览器 Cookie 以及已连接应用的登录令牌（Sign-in tokens），也无法直接接触这些凭据。
在操作授权层面，系统实行多层控制：在 Claude Duet 执行发送潜在敏感消息、进行支付或删除任何内容之前，系统会展示操作动作、目标地址、具体内容以及全部接收者，等待用户手动批准。对于某些高风险行为（如证券交易、在不同银行账户间转账、访问他人账户），即使得到用户授权，系统也绝对禁止执行；而对于付款、转账、删除订单或创建新账户等操作，系统永远不提供“不再询问”的免审批选项，必须逐次人工确认。在用户离开期间运行的常规例程同样受到相同保护。
关键认知：断开应用并不等同于清除已学记忆
在日常使用与多应用集成管理中，用户需要明确一个关键边界：断开已连接的应用（Apps）并不等同于清除 Claude Duet 的所有记忆。
官方说明指出，接入 Claude 的应用会自动同步至 Claude Duet，用户在任一侧关闭应用连接，两侧都会同步关闭。然而，断开某款应用的连接，仅代表从那一刻起停止对该应用的新数据访问；Claude Duet 此前已经从该应用中学习或提取到的信息，仍然会完整保留在其记忆中。
如果用户希望彻底清除这些已学信息，必须在应用的设置选项中手动执行“重置记忆（Reset memory）”操作。此外，Claude Duet 也会共享并使用用户 Claude 账户原有的历史记忆；官方还说明，删除账户会清空 Claude Duet 存储的数据。
研究预览阶段的局限与安全建议
Anthropic 在说明中坦承，Claude Duet 目前仍处于研究预览阶段，这些安全防护分类器偶发会出现漏判，或是对完全无害的消息产生误报。因此，安全机制的设计逻辑是将其作为辅助，用户仍需通过任务列表保持对全局操作的掌控。
用户可以通过任务列表随时查看 Claude Duet 已经完成或正在执行的各项任务，每个任务都具备独立页面，用户能够在任务执行中途进行人工干预或引导（Steer）。官方建议用户在授权 Agent 接管工作流时，切勿盲目假设自动化系统绝对安全，应充分利用界面提供的任务审核功能。
若需跟踪官方最新技术动态，可参阅 Claude 资讯板块。了解 Claude 相关能力，可访问 Claude 页面。了解数据处理规范，请查看 隐私说明。
常见问题解答 (FAQ)
Q: Claude Duet 是如何检查操作意图与敏感消息的？ A: 系统采用了两套在模型外部独立运行的检查：操作意图检查基于 Claude Code 自动模式扩展而来，评估操作是否符合用户意图并防范隐藏恶意指令；敏感信息检查则采用全新的安全分类器，专门在消息发送前核验并拦截凭据、卡号或健康等敏感数据。
Q: Claude Duet 的 Never share 和 Needs consent 两类敏感信息有何区别？ A: Never share 包含登录凭据、完整银行卡号、银行账户及政府身份证件号码，系统被严格指令禁止向任何人分享，即使用户要求也不行；Needs consent 包含健康和财务等隐私，仅在获得用户明确授权时才可共享，用户的主动明确指令通常可直接视为已获授权。
Q: 断开应用连接后，Claude Duet 会立即遗忘之前获取的数据吗？ A: 不会。断开应用连接只会立即停止未来的新数据访问，但 Agent 之前从中学习并沉淀的信息仍会保留在记忆中。用户必须在应用设置中手动执行重置记忆，才能彻底清除这些历史积累。
Q: Claude Duet 模型能否直接读取我的网站密码或登录令牌？ A: 不能。官方明确规定凭据和浏览器与模型处于隔离状态，Claude Duet 模型本身永远无法查看用户的明文密码、浏览器 Cookie 或已连接应用的登录令牌等认证信息。
Q: 用户即使授权，有哪些操作依然被 Claude Duet 严格禁止？ A: 官方设定了绝对禁止的操作红线，包括证券股票交易、在不同账户间转账等银行业务，以及访问他人账户。即使用户主动给出审批许可，系统也不会执行这些行为。
Q: 为什么在当前版本中 Claude Duet 的安全防护不能保证绝对不漏判？ A: 由于 Claude Duet 仍处于研究预览阶段，官方明确承认其分类器和安全防护偶尔会出现漏判或对无害消息产生误报的情况。因此系统必须结合用户的人工审批机制共同防范潜在风险。