收件箱成了那条提示

Claude Duet 会在你开口之前就开始干活，而仅这一个改动，就把授权问题从「这是你要求的吗？」挪成了「是谁把这个放进你收件箱的？」Anthropic 在四个会写的动作上放了审慎的批准——发送、支付、签署、删除——并且加固了智能体使用的那个浏览器。而这一整个品类里没有任何产品会去复核的，是触发、是阅读、是「某件事配得上占用你的早晨」这个判断——而主动型智能体真正的行为恰恰住在那里。

速览

2026 年 10 月 21 日以研究预览开放，需排队等候，先从美国的 Pro 与 Max 订阅者开始。表中的一切均出自 Anthropic 自己的公告；撰稿时还不存在独立测试，而 Free、Team 与 Enterprise 套餐不在本次预览之内。

行为	Duet 做什么	谁来复核
启动一次运行	每隔几个小时检查已连接的账号	没有人——这就是产品本身
阅读	自行阅读并把活儿准备好	没有人；长期常驻的应用许可已经覆盖
打扰你	每天早上一份简短摘要，加上有事需要注意时的消息	事前没有人
写操作	发送消息、支付、签署文件、删除任何东西	你，并会向你出示该动作（据 Anthropic）
通过 Link 购买	先确认商品，再确认金额	你，两次
证券交易、在账户之间转钱	被挡住	谁也批准不了

只有一道人工检查点，而它被放在最后。它上游的一切都跑在一张没人逐次授权过的时间表上。

Duet 跑在一台带有自己浏览器的虚拟机上，于是用户的笔记本不必一直醒着。Anthropic 表示：它针对隐藏指令与提示注入的防御来自自家的浏览器使用研究；智能体从不直接看到密码或登录令牌；有一个自动模式分类器负责批准动作；还有一个敏感信息分类器会拒绝分享最严格那一档数据（如信用卡号与政府身份证号）的请求。红队与一家外部公司对它做过渗透测试，而它在一个公开漏洞赏金计划的范围内。那些被明说的限制值得读得和功能一样仔细：它可能读错一个会话、或把紧急程度判偏；像订票这类个人跑腿事项更弱；而它还不能让你看到它的浏览器。

这次发布做对了什么——而且比这个品类通常能做到的更多

这里有三个决定好于默认做法，而下面的论证并不是在反对它们。

硬挡住的就是真的挡住。证券交易与在账户之间转钱即使有用户批准也仍然禁止。那是与确认弹窗完全不同的一类控制：它说存在这样一类动作，其出错的代价超过任何便利，所以多少同意都解不开它。多数智能体产品根本没有这样一类，而这种缺失通常被说成是灵活性。影响面讲的正是「为什么要画这条线」背后的推理。

凭据留在智能体的上下文之外。「不直接看到密码或登录令牌」是那个设计——它让一次被注入的运行带走的只是某一个任务的产出，而不是可复用的访问权限；这正是凭据生命周期所围绕的区分，也是一次事故与一次失陷之间的差别。

浏览器被放在了一个能上仪表的地方。把智能体的浏览器放在托管虚拟机上、而不是放进用户自己的浏览器配置里，就把智能体挡在了用户已登录的每个站点的会话 cookie 之外。那正是业界在智能体搬进实时浏览器配置时眼看着发生的那种失败，而选择不重复它是一个决定，不是一次偶然。

所以这是一个审慎的产品。本文余下部分讲的是整个品类还没有画出来的一条边界，而在批准弹窗那里再怎么审慎，也替它画不出来。

删掉那条提示删掉了三样东西，而只有一样被替换了

触发是被有意重新设计的。作用域与授权之所以变了，是因为触发变了。

在一个被动型智能体里，用户的那条消息一次干三件事。它是触发：它说现在。它是作用域：它说这一件，不是你整个邮箱。它还是授权：有一个人有意提出了要求，而这正是后续动作归属于他的原因。三者是融在一起到达的——这就是从来没人需要分别设计它们的原因。

一个主动型智能体把触发换成了一张时钟表，而把另外两样留给它们自己去找替代品。作用域变成了「智能体巡视时碰到的任何东西」，也就是每一个已连接应用的并集。授权变成了一次性的长期常驻许可——在设置时、由一个当时想的是便利而不是「下周二可能会到的最糟糕那条消息」的人给出。环境权限就是它的名字，而它之所以不是吹毛求疵，是因为触发现在是别人伸手就能够到的。邮件与聊天是这样的通道：内容的作者是任何决定联系你的人。当那些内容的到达会启动一次运行时，攻击者就控制了被动型智能体从不交给他们的那个输入：智能体何时跑、以及对着什么跑。

这就是那个结构性改变，而它与注入防御做得多好无关。提示注入的缓解措施降低的是「一条敌意消息改变智能体行为」的概率；它们不会改变「谁有权决定智能体醒过来去读点什么」。而一个连上了邮件、你的文件和一个浏览器的主动型助手，在设计上就让致命三要素的三条腿同时站在同一个会话里，因为那个组合就是这个产品。

批准守在写操作上，而外泄路径是一次阅读

再看一眼那个人站在哪里。发送、支付、签署、删除：四个动作，全都是写操作，全都看得见，也全都值得设闸。现在问一句：一次被注入的运行真正需要什么？它需要读到某件敏感的东西，并把它弄出去——而「弄出去」不需要那四个中的任何一个。一个在查询串里带着数据被抓取的 URL 就是一条外泄通道，而没有任何产品会要你批准一次阅读或一次页面加载。这正是智能体的出口管控把浏览器当作最难围住的工具的原因，也是「围着写操作画出来的批准闸门」必要而不充分的原因。

第二道缺口是证据层面的，而 Anthropic 在自己的限制里点了名：Duet 还不能让你看到它的浏览器。把这一点放到批准流程旁边，问题就显形了。那道闸门给你看的是一个动作；它没给你看起因。在一个人真正会花的那两秒钟里，「发送这条回复」无法复核。「发送这条回复，起因是 09:14 到了一封来自你组织外地址的消息」可以复核——因为一次被注入的运行里，可疑的那部分从来不是那个动作：动作通常看起来很合理，而那正是这种攻击的要点。批准与确认体验论证过，一次没有背后证据的确认只是加了几步的橡皮图章；而在一个无提示的智能体上，这件事不再只是设计上的小瑕疵：用户根本没有「提出过要求」的记忆，于是他没有任何基线可用来判断。

有一个可操作的修法，而它不是更多的模型安全。请从触发类别推导出被允许的工具集，并把它挂在这次运行上：一次由发票到达启动的运行拿到财务连接器、两分钟截止时间，没有出网；一次由日历冲突启动的运行拿到日历的读与「提议写」，没有文件访问。那个刚刚读了陌生人邮件的智能体，于是不会握着与用户亲自下令的智能体同等的权限。这就是主动型与无提示智能体里的设计，连同这个问题另一半的算术——在 2% 的基础率下，一个特异度 97% 的触发器产出的假警报比真警报还多，所以打扰的质量在成为一个判断力问题之前，早就先是一个特异度问题。

你的开销现在是你收件箱的函数

在第二列里，决定这个智能体要花你多少钱的那个人，未必是你。

Anthropic 明确说明，Duet 与 Claude 的其余部分共用套餐额度，而它的后台检查会计入这份额度。预览期间它在 Pro 与 Max 上不额外收费，这让人很容易忽略；而它是第一个成本模型以一种值得点名的方式反转的消费级智能体：被动型智能体的开销是「你要求了什么」的函数，主动型的则是「来了什么」的函数。忙碌的一周比清闲的一周更贵，而交付的价值一点没变。清闲的一天仍要付那道轮询底线。而设定这个数字的入站量并不由你控制——推到尽头，这就是一个完全不需要任何提示的「钱包拒绝服务」向量，是钱包拒绝服务与成本攻击为 API 形态智能体所描述的那件事的无提示版本。

对任何在这个品类里构建的人来说，实际后果是：上限该放在触发器上而不是智能体内部——每天多少次运行、每次运行多少 token，在模型被调用之前就强制执行，正如循环中的成本控制所说。对任何采购的人来说，它意味着那个诚实的单位是「每次有用的打扰花多少钱」，而不是「每次运行花多少钱」——而在一个职责就是大部分时间保持沉默的产品上，清闲日的开销才是决定它值不值得拥有的那个数字。智能体单位经济学讲的正是为什么分母比单价更要紧。

到底该怎么办

如果你是使用者，杠杆在「你连了什么」上，因为那是唯一能摸到触发器的杠杆：

只连摘要需要的账号，然后就停。每一个连接器都同时放宽了作用域与攻击面，而边际上的那个连接器通常只是增加候选，而不是增加答案。一个握着你日历与工单的智能体，远不如一个还会读陌生人邮件的智能体那样是个有吸引力的目标。
把早间摘要当成产品，把推送消息当成风险。摘要是一个批次：你带着自己的判断力一次读六条。而 14:30 的一次打扰，带着它并没有挣到的权威感到来。如果一个产品让你选，就选摘要多些、推送少些。
读批准时读它的起因，而不是它的内容。问题从来不是「这是一封合理的待发邮件吗」——而是「什么让智能体现在就想把它发出去」。如果答案是一条你还没读过的消息，那正是该拒绝的那种情形。

如果你在造一个，有三件事现在很便宜、以后很贵：

把运行的作用域钉在它的触发上。工具集、token 预算与截止时间都从触发类别推导，而不是从一个会话级的全局模式。渐进式自主讲了为什么梯级必须住在凭据作用域里。
把起因写进批准。一行字，说清是什么点燃了这次运行、以及在什么时候。它不花钱，而它把一个橡皮图章变成一次复核。
把「被划掉」记下来。一次被划掉的打扰是一个白送上门的带标负样本，而它是唯一能让触发器保持诚实的数据。抽样看它没有吭声的那些东西是另一半，而那一半所有人都跳过了。

并且请把框架摆正。这是一个好产品，造它的人认真想过攻击面，没人该因为上面这套论证就说服自己放弃一个主动型助手。这套论证比那窄得多：批准闸门解决的是写操作的问题，而写操作的问题从来不是触发所造成的那个。在一次运行的权限能够从「是什么启动了它」推导出来之前，「智能体在发送前问过了」只意味着：智能体在某件没人授权过的事情的最后一步之前问过了。

常见问题

Claude Duet 是什么？

一个主动型智能体，Anthropic 于 2026 年 10 月 21 日以研究预览开放，需排队等候，先从美国的 Pro 与 Max 订阅者开始。它每隔几个小时检查已连接的应用，每天早上发一份简短摘要，白天在有事需要注意时给你发消息，并在发送、支付、签署或删除之前征求批准。

批准闸门能挡住提示注入吗？

它能挡住一次被注入的运行在无人看见的情况下完成那四个写动作之一。它挡不住这次运行启动、挡不住它阅读、也挡不住它加载一个 URL——而一次在查询串里带着数据的页面抓取就是一条外泄通道，它不需要那四项批准中的任何一项。

有什么是即使用户批准也仍被禁止的？

有。Anthropic 把证券交易与在账户之间转钱列为无论是否批准都禁止；另有一个敏感信息分类器，被设计为拒绝分享最严格那一档数据（如信用卡号与政府身份证号）的请求。

为什么它只是每隔几个小时检查一次？

Anthropic 给出的理由是套餐额度：那些后台检查与用户自己的工作共用同一份 Pro 或 Max 配额，所以更密的节奏会把它消耗得更快。还有一个正确性方面的理由——对同一批内容每多扫一遍，就是一次新的假警报机会。

它要花多少钱？

预览期间在 Pro 与 Max 上不额外收费，但它共用那些套餐的用量额度，而它的后台检查会计入其中。结构性的变化在于：开销跟着入站量走，而不是跟着被要求的工作量走，所以清闲的一天仍要付那道轮询底线。

构建者最该加的那一个控制是什么？

让每次运行被允许的工具集、token 预算与截止时间都从启动它的那个触发推导出来，好让一次由陌生人邮件开启的运行，碰不到一次用户下令的运行能碰的那些工具。它为批准闸门看不见的那种情形划定了损害的边界。