Zum Start von Claude Duet gab es eine Produktankündigung. Am 23. Oktober hat Anthropic nachgelegt und beschrieben, was unter der Haube gegen Missbrauch steht. Das ist der interessantere Text, denn Duet ist der erste Claude, der auch dann weiterarbeitet, wenn niemand hinsieht.
Was Duet nie sehen soll
Der Agent läuft auf einem Rechner in der Cloud, nutzt die mit Claude verbundenen Apps, liest das Postfach, schreibt Antworten vor, bucht Dinge und fährt Routinen. Passwörter, Browser-Cookies, Anmelde-Token und andere Zugangsdaten bekommt er dabei nie zu sehen. Anthropic trennt die Anmeldung vom Agenten, genauso wie bei Claude Managed Agents.
Für Einkäufe heißt das konkret: Duet zahlt mit einer Einmalkarte aus einer Wallet wie Link von Stripe, begrenzt auf diesen Händler und diesen Betrag. Du siehst Artikel und Summe und bestätigst in der Link-App. Die echte Kartennummer kennt weder der Agent noch der Shop.
Zwei Stufen für private Informationen
Vor jeder Nachricht, die Duet verschickt, läuft ein eigener Sicherheitsklassifikator, getrennt vom Hauptmodell. Er prüft, ob darin Sensibles steckt, und sortiert in zwei Stufen.
Stufe eins heißt „niemals teilen“: Zugangsdaten, vollständige Karten- und Kontonummern, Ausweisnummern. Die gibt Duet an niemanden weiter, auch nicht, wenn du es verlangst. Stufe zwei heißt „braucht Zustimmung“: Gesundheit, Finanzen und Ähnliches gehen nur raus, wenn du zugestimmt hast. Deine eigene Bitte zählt als Zustimmung, der Satz „schick meinem Zahnarzt eine Nachricht wegen der Zahnschmerzen“ braucht also keine zweite Freigabe.
Das Beispiel, das Anthropic wählt, trifft den Punkt: Wer den wöchentlichen Rückblick ans Team schickt, will darin nicht das Gespräch über die eigene Leistungsbeurteilung finden.
Die Prüfung sitzt außerhalb des Modells
Bevor Duet etwas Heikles tut, zeigt es Aktion, Ziel und Inhalt samt aller Empfänger und wartet. Parallel läuft eine automatische Prüfung, die auf dem Auto-Mode-Klassifikator aus Claude Code aufbaut und für Duet erweitert wurde. Sie beurteilt, ob die Aktion zu deiner Absicht passt, und sie läuft bewusst außerhalb des arbeitenden Modells. Anweisungen, die jemand in eine Webseite geschrieben hat, erreichen sie damit nicht.
Manches bleibt auch mit Zustimmung gesperrt: Wertpapiergeschäfte, Geld zwischen Konten verschieben, fremde Konten öffnen. Für andere Schritte gibt es kein „frag mich nicht mehr“, egal wie oft du schon zugestimmt hast, etwa Bezahlen, eine Bestellung löschen oder ein Konto anlegen. Für Routinen, die laufen, während du weg bist, gelten dieselben Grenzen.
Das eigentliche Problem heißt Freigabemüdigkeit
Anthropic schreibt den Satz selbst in den Text: Zu viele Rückfragen bringen Leute dazu, durchzutippen. Damit ist die Kalibrierung, wie oft Duet fragt, keine Komfortfrage, sondern die Sicherheitsfrage. Jede Freigabe, die niemand mehr liest, ist ein Schutz weniger, und man sieht ihr das nicht an. Anthropic sagt zu, daran weiter zu drehen. Ob es stimmt, merkt man erst, wenn man sich bei der dritten Rückfrage am Tag selbst beim Wegklicken erwischt.