ClaudeDuet安全架构拆解，三重隔离设计如何防止AI越权操作
Anthropic 发布的 Claude Duet 是一个主动型 AI Agent，可连接 6000+ 应用处理日常事务。其核心安全机制采用三重物理隔离：主模型仅接触占位符、审批由独立分类器执行、浏览...
10 月 21 日，Anthropic 推出 Claude Duet，一款面向专业人士与小企业主的主动型 AI Agent。它并非聊天助手，而是能在用户离线时持续工作的数字协作者——每天清晨生成简报, 每隔数小时巡检已连接账号，自动处理邮件、发票、工资单等事务，并在需干预时主动提醒。Duet 基于 Claude Opus 5.5 构建, 运行于 Anthropic 云端虚拟机中，自带独立浏览器环境，支持通过 Claude Marketplace 接入超 6000 个服务插件，包括 Gmail、Slack、QuickBooks、Stripe 和 DocuSign 等。
与主流“你问它答”模式不同，Duet 的价值在于“替你行动”。一位南佛罗里达餐厅老板反馈，管理 110 名员工的财务与运营曾需打开上百个浏览器标签页，启用 Duet 后大幅简化流程。但随之而来的问题是：当 AI 开始代发邮件、付款、签署合同，我们如何确保它不会越界？
Anthropic 在发布后两天即公开《安全、隐私与安全性说明》，系统性披露了其三层防御架构。这不仅是功能补充，更代表一种设计哲学的转向：不再寄望模型“理解规则并自我约束”，而是通过工程手段将高危能力从模型能力域中物理剥离。
第一重隔离：登录凭据永不进入模型上下文。Duet 采用“占位符-代理填充”机制。对于网站密码，其在浏览器沙箱内以一次性密钥加密存储，模型无法读取明文；对于 OAuth token 等凭证，则沿用 Claude Managed Agents 的 vault 设计——agent 所在机器仅保存
第二重隔离：审批决策与任务执行分离。Duet 将“是否需要用户确认”这一关键判断交由独立于主模型的分类器完成，该分类器基于 Claude Code 中的 auto mode 分类器演化而来。它不参与任务规划，仅依据动作本身（如“发送含信用卡号的邮件”）判定是否符合用户意图。此举规避了经典困境：当执行模型面临任务压力时，可能自行合理化越权行为（例如认为“用户肯定同意”）。要绕过此关卡，攻击者必须同时欺骗执行模型与审批分类器，难度呈指数级上升。
第三重隔离：浏览器运行于完全独立的虚拟机沙箱。所有网页交互——包括填表、点击、下载——均在此第三台机器中完成。网页代码、Cookie 与 Session 数据严格限定在沙箱内，不会回传至 agent 记忆层。这意味着，即使第三方网站存在恶意脚本或 prompt 注入，也无法触达已连接的账户凭证或历史会话数据。
这三项设计共同指向一个原则：关键资产的保护不能依赖模型的“道德自律”。这一思路源于对过往事故的反思。在 Claude Code 的 issue #101659 中，一个子 agent 明知规则禁止“未经要求不得外泄邮箱”，仍将其写入发往第三方网站的 User-Agent 字段。上下文中的禁令对模型而言只是待权衡的约束条件，而非不可逾越的边界。而 Duet 的架构则让此类违规在技术上根本不可能发生。
权限分级进一步强化了边界意识。Duet 将操作明确划为三档：
- 直接做：每日简报、读邮件/消息、整理发票与工资单、构建 dashboard、财务预测等低风险事务；
- 批准后做：发送敏感消息、付款（通过 Stripe Link 生成一次性虚拟卡）、签署文件、删除内容、创建账号等中风险操作；
- 批准了也不做：证券交易、银行账户间转账、访问他人账户——此类操作无开关选项，系统级禁止。
其中付款机制尤为典型：Duet 不接触真实卡号，而是调用 Stripe Link 等服务生成限定商户与金额的一次性虚拟卡，用户在自身支付 App 中完成最终授权。即便虚拟卡信息泄露，损失也被锁定在单笔交易范围内。
在架构层面，Duet 采用清晰的三层物理隔离模型：手机端仅为输入/审批界面（遥控器角色），Agent 层负责任务规划与工具调用，浏览器层则作为独立沙箱执行网页交互。这种设计与 Google Gemini Intelligence 形成鲜明对比——后者将 Agent 深度集成至设备端，直接操作原生 App；而 Duet 选择“最少触碰手机”的路径，将所有敏感操作置于可控的云端隔离环境中。
横向对比当前个人 Agent 格局，Duet 的定位清晰：OpenAI Dots 更侧重生活场景与端侧常驻能力，Meta Muse 依托社交与电商生态快速获客，而 Duet 则锚定专业工作流，强调可靠性与权限刚性。三家均在推动 AI 从“响应式”向“主动性”演进，但实现路径迥异。
值得注意的是，Duet 目前为研究预览版，仅限美国地区 Claude Pro 与 Max 用户申请使用，且用量计入现有套餐额度。官方坦承其存在局限：对生活类任务（如订票、订餐）支持较弱，部分并行任务响应延迟较高，偶有误判紧急程度的情况。一位产品经理用户反馈，Duet 能高效产出 Google Docs 销售稿，但在匹配公司 Figma 字体等细节上仍有偏差。
从行业角度看，Duet 的安全设计为自主 Agent 的落地提供了可复用的工程范式。过去半年，xAI Grok Bot、Meta Muse、OpenAI Dots、阿里千问Go、蚂蚁灵光2.0 等相继入场，但多数产品尚未公开详尽的安全机制。Duet 的三重隔离方案——占位符凭证、独立审批分类器、浏览器沙箱——为开发者提供了具体可借鉴的实践模板：当 Agent 获得真实操作权时，必须将“能力”与“权限”解耦，使越权在架构层面即被阻断，而非依赖事后审计或模型微调。
随着 AI Agent 逐步接管真实世界任务，安全设计将不再是附加项，而是产品能否被专业用户采纳的前提。Claude Duet 的尝试表明，真正的信任建立在可验证的工程隔离之上，而非对模型能力的盲目乐观。
