Claude Duet не переведёт деньги даже с вашего разрешения

Anthropic 24 октября подробно описала, как защищён Claude Duet. Это агент в research preview: он работает на облачном компьютере, читает почту, пишет ответы, бронирует и продолжает выполнять рутину, когда приложение уже закрыто. Всё ключевое в этой защите вынесено за пределы рабочей модели: карточка одобрения, проверка действий, фильтр утечек и сами учётные данные. Поэтому ничто из прочитанного агентом не может само разрешить ему действие.

В посте в блоге Claude компания пишет, что её сотрудники каждый день работают с Duet на собственных аккаунтах. Принципов три. Агент осторожно обращается с вашими данными и с тем, чем делятся другие люди в подключённых приложениях. Решения остаются за вами. Пароли, cookies и токены агент не видит никогда. Опирается всё это на уже существующее: рамку для безопасных агентов, опубликованную в 2025 году, и инфраструктуру Claude Managed Agents, откуда Duet взял схему хранения секретов.

Кто нажимает «разрешить»

Прежде чем отправить потенциально чувствительное сообщение, заплатить или что-то удалить, Duet показывает само действие, адресата и содержимое со всеми получателями и ждёт ответа. Одновременно каждое действие проходит отдельную автоматическую проверку: совпадает ли оно с тем, чего вы хотели. Проверка построена на классификаторе авторежима из Claude Code и доработана под Duet. Работает она вне модели, которая выполняет задачу, чтобы спрятанная на веб-странице инструкция не могла повлиять на результат. Тот же авторежим в Claude уже пользовался коннекторами в обход настройки «Всегда спрашивать», и в Anthropic назвали это задуманным поведением. В Duet классификатор стоит рядом с карточкой одобрения и не заменяет её.

Часть действий закрыта даже с вашего согласия: торговля ценными бумагами, банковские операции вроде перевода между счетами, вход в чужой аккаунт. Для других не работает правило «не спрашивать снова», сколько бы раз вы их ни одобряли: оплата и отправка денег, удаление заказа, создание аккаунта. Те же ограничения распространяются на рутины, которые идут без вас.

По словам Anthropic, на то, как часто Duet просит одобрения, ушло много времени. Когда запросов слишком много, люди начинают прокликивать карточки, толком не вчитываясь. Калибровку обещают менять и дальше.

Покупки Duet оплачивает одноразовой картой из кошелька вроде Link от Stripe, выпущенной под один магазин и одну сумму. Товар и итоговую сумму вы видите и подтверждаете в приложении Link, а настоящего номера карты не получают ни агент, ни магазин. Помимо Link, как сообщает TechCrunch, Duet умеет платить через Shop Pay от Shopify.

Что можно вложить в письмо

Каждое сообщение, которое Duet собирается отправить, проверяет ещё один новый классификатор, тоже отдельный от основной модели. Пример Anthropic: еженедельная сводка для команды должна содержать только то, к чему у команды и так есть доступ, и ничего из разговоров о вашем performance review. Данные классификатор делит на два уровня.

• «Никогда не передавать»: данные для входа, полные номера карт и банковских счетов, номера государственных документов. Их Duet не отправит никому, даже по вашей просьбе.
• «Нужно согласие»: прочие личные сведения, например о здоровье или финансах. Ваша собственная просьба считается согласием, так что письмо стоматологу о зубной боли обычно не потребует отдельного подтверждения.

Если отправку заблокировали по любой из этих причин, агент может переписать сообщение без чувствительных данных и принести вам на одобрение. Anthropic прямо признаёт, что фильтр будет иногда пропускать лишнее, а иногда цеплять безобидное, поэтому он работает в паре с карточками одобрения. Такую же оговорку компания сделала на запуске: Duet, как она предупреждала в изложении CNBC, «может неправильно понять переписку или ошибиться с тем, что срочно».

Пароль, токен и браузер

Пароль вы вводите в форму внутри приложения Claude. Форма шифрует его одноразовым ключом, который существует только на защищённой облачной машине с браузером и только для этого входа. Зашифрованный пароль уходит в браузер нераскрытым, и уже браузер вводит его на сайте. Модель пароль не видит и не может ни сохранить, ни повторить его. Скоро появится вход через 1Password: Duet запросит учётные данные, вы подтвердите запрос в 1Password, и данные попадут в браузер, минуя модель.

С фишингом выходит двояко. Выманить пароль у агента не получится, потому что пароля у него нет, и скрытая инструкция не заставит его выдать секрет, которого он не знает. Зато мишенью становится сама форма входа: всё, что просит пароль, можно подделать. Поэтому форма Duet появляется только в приложении и только при входе, который начали вы. Ссылкой, SMS, письмом или на любом сайте, кроме claude.ai, она не приходит. Если что-то похожее на Duet просит пароль в другом месте, это подделка.

С токенами подключённых сервисов работает та же схема, что в Claude Managed Agents. На машину, где агент выполняет работу, настоящий токен не попадает: там лежит заглушка, а прокси за пределами этой машины подставляет реальное значение в момент запроса.

Браузер запущен в собственной облачной виртуальной машине, отдельно и от модели, и от облачных компьютеров, на которых работает агент. Управляет им агент через фиксированный набор команд: открыть страницу, кликнуть, ввести текст. Код сайта и cookies остаются на браузерной машине, и ни одна команда не умеет вытащить cookies наружу. Обратно приходят текст страницы и загрузки, без них агент просто не сделал бы работу. Именно через этот канал идут промпт-инъекции (вредные инструкции, спрятанные в контенте страницы), поэтому на него и рассчитаны остальные проверки вместе с защитой из исследований Anthropic по работе агентов с браузером. Файлы, которые агент загружает через браузер, проходят ту же проверку на чувствительные данные, что и сообщения.

Сайтам Duet представляется агентом: его браузер отправляет отдельный заголовок User-Agent, а Anthropic публикует IP-адреса, с которых он заходит. До запуска компания предложила нескольким крупным сайтам закрыть Duet доступ, и часть из них этим воспользовалась.

Что остаётся в памяти

Все задачи видны в списке, у каждой своя страница, и агента можно поправить прямо по ходу работы. Историю разговоров и память Duet хранит, чтобы переносить контекст между задачами, пока вы их не удалите или не сбросите. Удаление аккаунта стирает всё. Подключённые приложения у Duet общие с Claude: выключили приложение в одном месте, и оно выключится в обоих. Но отключение закрывает только новый доступ. То, что Duet уже узнал из приложения, остаётся в памяти до сброса, который делается в настройках. Кроме того, Duet читает память аккаунта Claude, так что подробности из ваших прошлых чатов ему тоже видны.

Как Duet ломали

Команда Safeguards собрала оценки из задач, похожих на рутины, и каждую задачу сделала в трёх вариантах: безобидном, с внедрёнными инструкциями и с соблазном сделать больше, чем просили. Эти оценки идут параллельно с теневым трафиком реального использования. Red team проверяли, не сольёт ли Duet данные, не сделает ли что-то без одобрения и не послушается ли вредного промпта. Модель угроз построили для всей системы, со всеми репозиториями и границами доверия, которые она затрагивает. Каждую новую функцию для работы с учётными данными перед выпуском атакуют на изолированном стенде. Duet также входит в публичную программу bug bounty Anthropic на HackerOne.

Внешняя компания уже провела пентест с доступом к исходному коду. Второй этап, посвящённый облачному браузеру и форме входа, идёт прямо сейчас.