Anthropicは10月23日、10月21日に発表した先回り型AIエージェントアプリ「Claude Duet」（現在は米国でリサーチプレビュー中）について、安全性・プライバシー・セキュリティ設計の詳細をまとめた記事を公開した。記事は、個人情報・共有情報を慎重に扱うこと、行動の最終判断を利用者に残すこと、認証情報そのものをエージェントに触れさせないことの3原則を掲げ、Claude本体やClaude Code、Claude Managed Agentsで既に備えている保護機構の上にDuetを構築したと説明している。
メッセージ送信や支払い、削除といった影響の大きい操作の前には、宛先や内容（送信先全員を含む）を提示したうえで利用者の承認を求める。この承認要否の判定は、Claude Codeの自動実行モードで使われる判定機構を転用した、モデル本体とは別に動く自動チェックが担っており、Webページなどに埋め込まれた悪意ある指示の影響を受けにくい設計になっているという。証券取引や口座間の資金移動、他人のアカウントへのアクセスなどは、利用者が承認しても実行できないよう最初から禁止されており、支払いや送金、注文削除、アカウント作成などは「次回から確認しない」という設定もできない。認証情報については、パスワードはClaudeアプリ内のフォームに入力し、クラウド上のブラウザ専用マシン上でのみ有効な使い捨ての鍵で暗号化されるため、モデル自身がパスワードを見たり再利用したりすることはない。ログイン用トークンもエージェントの実行環境には渡さず、プレースホルダーとして保持し、外部のプロキシがリクエスト時にのみ実際の値を差し込む仕組みだという。ブラウザ操作は専用のクラウド仮想マシン上で行われ、エージェントは「開く」「クリックする」「入力する」といった決められた命令のみを実行できる。
支払いには決済代行サービス「Link by Stripe」が発行する、利用金額と支払先を限定した使い捨てのバーチャルカードが使われ、実際のカード番号自体はDuetにも支払先にも共有されない。また、送信しようとするメッセージやアップロードされたファイルの内容を監視する専用の分類器が、ログイン情報・カード番号全体・銀行口座番号・政府発行ID番号などを「常に共有しない」区分、健康情報や財務情報など他の機微な情報を「利用者の明示的な同意が必要」な区分に分けてチェックしている。ブロックされた場合、エージェントは該当部分を取り除いた文面を作成し、改めて利用者の承認を求めることができる。Anthropicはこの分類器について、機微な内容を見逃したり、逆に問題のない内容を誤って止めたりすることが起こり得ると認めている。
安全性の検証としては、通常のタスク・プロンプトインジェクションを含むタスク・過剰な権限行使を誘う状況という3パターンでの内部評価に加え、実際の利用データを使った継続的なチェック、社内レッドチームによる試験、そしてソースコードへのアクセス権を与えた外部のペネトレーションテスト専門業者による検証が行われたとしている。クラウドブラウザやログインフォームを対象とした追加の外部検証は、記事公開時点で実施中だったという。Duetはまた、Anthropicが運営するHackerOne上のバグ報奨金プログラムの対象にも含まれている。一方で、会話履歴やメモリはアカウントを削除するまで保持されると説明されているものの、これらのデータがモデルの学習に利用されるかどうかについては記事内で言及がなく、未確認のまま残っている。まだリサーチプレビュー段階でクラウドブラウザ周りの外部検証も進行中である点を踏まえると、支払いや送金など影響の大きい操作を禁止事項として明確に線引きしている設計自体は評価できる一方、データの学習利用方針や保持期間が明示されていない点は、特に機密性の高い業務での利用を検討する読者にとって確認すべき未解決事項だとAIGNALは見る。
