Claude Duet：主动 Agent 的分水岭不是模型，是「什么时候等你点头」

Claude Duet：主动 Agent 的分水岭不是模型，是「什么时候等你点头」

这份公告里最值得读的一句，不是「主动」，是括号里的那句「每几小时才看一次，因为不停看会更快烧完你的额度」。

2026 年 10 月 21 日，Anthropic 开放 Claude Duet 的研究预览，等位制申请，先给美国 Pro 与 Max 订阅者。形态是独立 App（iOS、Android）加 claude.ai 网页，底座是 Claude Opus 5.5，能力清单里最扎眼的是「6000 多个连接器与插件」和「一台自带浏览器的虚拟机」。它不再等你提问，每天早上推一份简报，白天盯着你连上的那些应用，只在有事需要你处理时发消息；发消息、付款、签文件、删东西这四类动作之前，它会停下来等你点确认。

最容易读错的地方是「主动」这个卖点。真正决定这个产品好不好用的，是另外三个参数：多久检查一次、什么动作必须停下、什么动作连你自己批准了也不算。前者决定它有多新鲜，后两者决定你敢把多重的活交出去。营销文案里的「24 小时」和「6000 个连接器」都是表层，这套参数组合才是产品本身。

我把官方公告从头到尾读了一遍，顺手把同一周的另外三条线索核了一下：Meta 在 Q3 财报会上给 Muse 报的数字、Grok Bot 十天内出的两次事故、OpenAI Dots 的定位。四家在同一周把「一直开着的 AI」摆上货架，但它们对「信任」这道题给出了四种互不兼容的答案。下面按技术细节拆。

本文提纲

  1. 四家四条路：谁把 AI 变成了「同事」
  2. Duet 真正的新东西：一台不需要你开机的虚拟机
  3. 「每几小时检查一次」：一个被括号吃掉的工程决定
  4. 6000 个连接器之后，难点从「能不能连」变成「连上之后谁负责」
  5. 审批点：Agent 产品真正的交互设计
  6. 四家的信任模型：策略、硬件、身份、能力
  7. Opus 5.5 的判断题：judgment 是唯一不可测的那部分
  8. 该怀疑的地方
  9. 如果要做一个自己的「持续干活」Agent，能抄的三件事

一、四家四条路：谁把 AI 变成了「同事」

把这四家的时间线摊开看，会发现它们不是在同一周撞车，而是在同一周各自补上了缺的那一块。

Grok Bot 走的是身份路线。十月十日它拿到了一个专属邮箱地址——不是「你让 AI 帮你发邮件」，而是 AI 有了自己的联络点，别人可以直接写信给它。十月七日到八日，马斯克说 Grok Bot 不再只认自家模型，会按任务择优调用 Claude、Midjourney、Suno。这句话的分量比看上去大：它承认了「一直开着的那层壳」和「底下那个脑子」可以解耦。

OpenAI 的 Dots 走的是算力路线。全天候运行，由 GPT-6 Astra 驱动，配一台独立的云端电脑。产品叙事是「你可以选择少干活，也可以选择多干活」——把选择权交给用户，把执行权交给模型。

Meta 的 Muse 走的是消费路线，而且已经跑出了数字：上线四十天，美国下载量破千万（历史上只有另外十一款 App 做到过这个速度），扎克伯格在 Q3 财报会上说超过一千万人设置了 Muse，其中约四分之一每天在用。最让他意外的是钱的方向——在用过购物功能的活跃用户里，超过四分之一完成了购买，平均客单价超过 200 美元。他还引了 Plaid 的一句话，说 Plaid 在他们这个连接器上看到的活跃度，超过任何其它服务。

Anthropic 的 Duet 走的是审批路线。同样是独立 App、同样是云端虚拟机、同样是全天候，但它把最多篇幅花在「什么时候它不干活」上：四类动作必须批准，两类动作连批准了也不做，还专门加了一个分类器来拦截敏感信息外流。

四条路的共同点是硬件形态：每家都给了 Agent 一台不属于你的电脑，和一个属于你的身份（邮箱、账号、钱包）。分水岭不在模型分数，在于它用谁的身份行动、你能不能在它行动前看见。这是理解这一代产品的主线。

二、Duet 真正的新东西：一台不需要你开机的虚拟机

过去两年我们见过的「Agent」，绝大多数寄生在会话里。你打开窗口，它干活，你关掉，它停下。哪怕能跑几十轮工具调用，生命周期也绑在你的注意力上。

Duet 的虚拟机把这个绑定拆了：它有自己的浏览器，公告原话是「不需要你的笔记本或手机开着」。你用一条短消息描述任务，它自己判断该用哪些应用、按什么顺序走，完成后通知你，或者在你需要复核时通知你。

这一个改动同时改了三件事，而且三件都不是纯好事：

执行时长从分钟级变成跨天级。你可以周五下午丢一个任务，周一早上看结果。这是真正的异步。

状态从「依赖你的设备」变成「依赖 Anthropic 的机房」。好处是稳定，代价是——它现在是一台你不拥有、也看不见的机器，里面存着你的邮箱、财务数据和客户名单。

失败模式变了。会话里的 Agent 失败了你看得见，因为它就在你眼前卡住。后台 Agent 失败了，你只能等它通知你，而它可能认为自己成功了。

最后这点被公告自己承认了一半：「它目前还不能给你看它的浏览器」。这是一句很轻的话，但它是这个产品最大的透明度缺口。有虚拟机、有浏览器、有 6000 个连接器，却没有一个「录屏回放」。你能看到结果，看不到过程。而审计一个 Agent，靠的恰恰是过程。

对比一下：Dots 也给云端电脑，Muse 也有 Secure VM，而且 Meta 说下一步是 Confidential VM——连 Meta 自己都看不到你的内容。三家都做了 VM，但只有 Meta 在往硬件隔离的方向走，Anthropic 在往「策略 + 分类器」的方向走。这个岔路口后面还会再提。

三、「每几小时检查一次」：一个被括号吃掉的工程决定

公告第四节有一句几乎会被所有转载漏掉的话：

它会每隔几小时检查你连上的账号，因为不停检查会更快用光你套餐的额度。

这句话的信息量比整个「主动」章节都大。

「每隔几小时」意味着一天四到六次轮询，不是实时。而这句话给出的理由是成本，不是技术限制。Anthropic 完全做得到每分钟扫一次你的 Gmail 和 Slack——他们只是不想为这件事买单。

这就把问题从工程题变成了商业题。四家的定价结构决定了它们各自的「主动频率」：

产品 收钱的方式 主动性的成本归属 结果
Claude Duet 打包进已有的 Pro / Max 订阅 Anthropic 自己吃 必须节流，写死在「每几小时」
Meta Muse 购物抽佣（Plaid 连接、25% 转化、200 美元客单价） 交易额覆盖推理成本 可以常开，越活跃越赚钱
Grok Bot 订阅 + 事故兜底（马斯克说 SpaceX 会赔付买错的东西和被盗刷的卡） 母公司资产负债表 敢放开，但风险外部化
OpenAI Dots 能力叙事，把选择权给用户 用户自己权衡 未披露

这张表解释了为什么 Duet 要写那句坦白：当主动性是一项纯成本时，产品经理唯一能做的就是给它定一个频率上限。 Muse 不需要这句坦白，因为它的主动性直接连着抽佣——用户越频繁地让它买东西，Meta 越赚钱。同一个功能，一个是要花钱的，一个是能赚钱的，产品形态必然长得不一样。

更要命的是这个频率和它自己的卖点冲突。公告里最漂亮的例子是房产经纪 Jess：Duet 某天没被要求，就发现她日历里一个看房安排被放错了日期。原文引她的话说「这正是我想让它不用我问就抓到的东西」。

问题是，这类错误是时效性最强的一类错误。看房时间放错，六小时后发现，房子已经错过了。一天四次轮询能抓到的，只是那些恰好落在轮询窗口边上的错误；真正的「事前拦截」需要的是事件驱动的即时反应，而不是定时扫描。

所以主动 Agent 的 SLA 不是延迟，是新鲜度——它发现事情的那一刻，离事情发生的那一刻有多远。这个指标四家都没公布，而它比任何 benchmark 都更能预测你实际会不会用它。

四、6000 个连接器之后，难点从「能不能连」变成「连上之后谁负责」

「6000 多个连接器与插件」是个漂亮数字，但它是 Claude Marketplace 的存量，不是 Duet 的能力。

有意思的是公告自己列的例子。我把它们数了一遍：Gmail、Slack、Intuit QuickBooks、Stripe、Gusto、LinkedIn、Docusign、HubSpot、Canva、Shopify，再加上付款侧的 Link、Shop Pay 和即将支持的 1Password——十三个。十三除以六千，是百分之零点二。

这不是批评，反而是产品成熟的标志。真正撑起价值的永远是头部十个应用，剩下五千九百多个是长尾，作用是让「我用的那个工具也支持」这句话成立。任何做集成平台的人都懂这个分布。

但长尾有另一面：每一个连接器都是一条 prompt injection 的入口。 六千个第三方接口意味着六千个可以被别人写入内容的地方——一封邮件、一个 Slack 消息、一个 CRM 备注、一个商品描述。Agent 读进来的是数据，而在语言模型里，数据和指令没有天然边界。

Anthropic 的防线是四层，公告列得很清楚：

  • 框架层：沿用他们的 trustworthy agents 框架，和 Claude Code、Claude in Chrome 是同一套。
  • 凭据层：按 Claude Managed Agents 的设计处理，Agent 从不直接看到你的密码或登录令牌。
  • 动作层：由 auto mode classifier 把关，和 Claude / Claude Code 用的是同一个分类器。
  • 内容层：新增一个专门的分类器加安全系统提示词，逐条检查消息，防止敏感信息外泄。信用卡号、政府证件号这一档直接拒；健康和个⼈财务这类信息只有在你明确指示发送时才放行。

第四层值得单独说因为这在这个行业里是新的。以前的 Agent 安全讨论集中在「别让它干坏事」，Duet 要解决的是对称的问题：别让它把不该说的说出去。 一个读你邮件、替你发消息的 Agent，每时每刻都在决定「这条信息该去哪儿」。这个决策的频率比「要不要执行一个危险动作」高两个数量级，靠人工审批根本挡不住，只能用分类器。

所以 6000 这个数字的真实含义，不是「能力有 6000 种」，而是「有 6000 个信任决策被预先替你做了」。你做的那次「授权连接」，本质是把未来所有的判断权打包交了出去。

五、审批点：Agent 产品真正的交互设计

公告第三节有一句话，我认为是整个产品的设计核心：

在它发消息、付款、签文件或删除任何东西之前，它会展示它将要做什么，并等你批准。

下面紧跟一句更硬的：

有几件事即使你批准了也不行，比如交易证券或在账户之间转移资金。

把这两句放在一起读，能反推出他们的判据。这个判据不是「危险程度」，而是可撤销性：

  • 发错消息 → 可以澄清、可以道歉，社会成本可修复。
  • 付错款 → 可以退款、可以拒付，资金可回收。
  • 签错文件 → 有法律效力，但仍可协商解除。
  • 删错东西 → 有备份就能救，没有就完了（所以归到需要批准那一档）。
  • 交易证券 → 成交即定局，价格已经变了，谁都补不回来。
  • 账户间转账 → 一旦出门，中间经过的每一跳都可能不可逆。

这套判据不是软件工程的语言，是金融合规的语言。它把「不可逆操作清单」这个概念从券商和支付公司搬进了消费级 Agent。

于是权限变成了三层，而不是行业惯用的「human in the loop」一句口号：

  1. 硬禁止：不管你怎么说都不做（证券交易、账户间转账）。
  2. 需批准：展示完整动作，等你点（发消息、付款、签文件、删除）。
  3. 需明示：默认不做，除非你明确指示（发送健康、个人财务类信息）。

这三层的顺序也有讲究：越往上，模型的自由度越低，人的介入越强制。而在三层之下还有一层没写进公告但处处可见的东西——读、起草、准备这些动作完全不需要批准。这是整套设计的巧妙之处：把「无副作用的工作」和「有副作用的动作」切开，前者放开让 Agent 跑，后者全部设卡。

这也是为什么它能给出「帮你把 Gusto 的工资单填好」这种例子——填是准备，提交才是动作。分工清楚，才敢让它碰工资。

我的判断是：审批点的设计才是这个赛道的护城河，不是模型能力。 因为它决定了你愿意把多重的活交出去。一个只能读不能写的 Agent，和一个能在你点头后替你签合同的 Agent，商业价值差一个数量级。而这中间的每一道卡，都是在拿产品体验换信任额度——卡太多没人用，卡太少出事一次就没人敢用。

六、四家的信任模型：策略、硬件、身份、能力

过去十天里，这四家里有三家出了公开的安全事件，值得摆在一起看。

Grok Bot：十月十六日有报道说 Cursor 在调查 Grok Bot 内部测试数据可能涉及机密信息；同日马斯克表态，SpaceX 会为 Grok Bot 买错的东西和被泄露的卡兜底；十月十九日，Techdirt 的标题是「Grok Bot 在公开 Slack 频道里泄露了一位科技公司 CEO 的银行数据」。兜底这件事本身就是个信号——它意味着这家公司已经预设了「Agent 会花错钱」是常态，并把赔付做进了商业模型。

Meta Muse：十月二十日，Ars Technica 报道 Muse 的对话分享功能会暴露用户的个人与商业机密；Meta 随后暂停了分享功能。同一周，扎克伯格在财报会上强调用户「信任 Muse 的安全设置」，并预告 Confidential VM，说连 Meta 自己都看不到用户内容。

Anthropic Duet：公告里安全部分列了红队、外部公司渗透测试、HackerOne 公开漏洞赏金。没有事故——因为它还没大规模上线，还在等位名单里。

这四家的答案可以归成四类：

  • 策略型（Anthropic）：靠分类器、系统提示词、审批流、凭据托管。可解释、可迭代、可审计，但本质上是一组概率判断，会被绕过。
  • 硬件型（Meta）：靠 Secure VM 往 Confidential VM 走，用隔离而不是判断来保证。这条路更接近 Hacker News 上那条评论说的「这些玩意儿真的应该跑在 TEE 里」。代价是性能、成本和工程复杂度。
  • 身份型（Grok Bot）：给 Agent 一个独立邮箱、一个独立账号，把它的行为和你的行为分开；出事了由母公司赔付。这是最像「雇了个员工」的思路，也是最依赖母公司财力的思路。
  • 能力型（Dots）：把选择权交给用户，把执行权交给模型，安全叙事放在后面。

我不认为哪种是唯一正确答案。但有一个观察值得记住：这四家里唯一没有公开事故的，恰好是唯一没有大规模用户的。 样本量小不等于安全。等 Duet 从等位名单走进几百万台手机，它的分类器要面对的是真实世界的对抗输入，而不是红队设计的测试集。

七、Opus 5.5 的判断题：judgment 是唯一不可测的那部分

公告里有一句话，把所有技术细节都绕回到了一个软的地方：

让 Claude Duet 真正有用的，是它的判断力。

判断力被拆成了三个具体问题：什么需要你、什么可以等、什么时候先问你。这三个问题构成了产品的全部智能，也构成了产品的全部风险。

因为这三个问题没有 benchmark。

模型层有 MMLU、GPQA、SWE-bench，好坏可以排名。但「这条 Slack 消息该不该现在打扰用户」没有标准答案——同一个消息，对一个正在赶交付的人和一个正在等客户回复的人，重要性完全相反。这是一个需要用户私有上下文才能评判的任务，而人类自己都经常判错。

Anthropic 的处理方式是诚实的：公告写「我们在继续测试它关于何时给你发消息的判断，会根据测试者的反馈持续调整」，并且给用户一个手动出口——你可以告诉它你想听什么、多久听一次。翻译过来就是：这套判断还没调好，先给你一个旋钮。

最能说明 judgment 分量的例子是品牌策略师 Mya：Duet 看到她日历上有个潜在客户的电话，提前准备了简报，还注意到这个电话正好排在她的航班之前，主动提出要不要改期。她说「我都没意识到它就在我航班前」。

这个例子里其实叠了三层推理：读出日历事件的性质（客户电话，需要准备）、跨源对齐（航班时间在另一个地方）、识别冲突并生成可执行建议（改期）。第一层是分类，第二层是检索加时序推理，第三层是规划。三层里任何一层出错，结果就是从「贴心」变成「烦人」——比如它把一个内部周会也当成客户会准备简报，或者把时区搞错说你赶不上飞机。

而误报的代价是不对称的：一次有用的提醒让你觉得它聪明，三次没用的提醒你就开始忽略它的所有通知。这就是为什么「每天一份晨间简报」这个设计是对的——它把所有低置信度的东西塞进一个固定时间的容器，而不是让它们随时弹出来抢你的注意力。

顺便说，晨报这个形态其实很老，九十年代的每日简报、RSS 摘要、站立会都是它。它在这一代 Agent 上复活，不是因为新，而是因为它同时解决了一个治理问题：晨报是你唯一能系统性审计 Agent 判断的地方。 它把「它今天认为什么重要」摊开给你看，你可以逐条校正。没有晨报的 Agent，你永远不知道它漏了什么。

所以这个赛道的终局不太可能由模型分数决定。judgment 需要的是真实交互数据——谁有更多「用户看到提醒之后做了什么」的反馈，谁就能把这三个问题调得更准。这也是 Muse 那一千万用户和四分之一日活的战略价值：它不只是营收，它是训练判断力的语料。

八、该怀疑的地方

第一，全文没有一个失败案例，也没有一个误报率。 例子全部来自自家员工和受邀的小企业主：带 Claude Code 团队的 Boris Cherny 散步时对着它梳理待办，负责模型与产品行为设计的 Chelsea Larsson 在孩子放学前把清单交出去、晚上收回报告，Duet 团队负责人 Karan Ahuja 用它排用户访谈、做原型、甚至提交代码。三个人的用法都很真实，但都是「用得好的人」。产品公告不写失败案例可以理解，但读者要自己补上这一块。

第二，官方自认的弱项全是定性描述。 原文说它「仍可能误读一段对话线程，或误判什么算紧急」，围绕工作场景设计所以「订票这类个人事务没那么强」，而且「还不能给你看它的浏览器」。四句话，零个数字。误读率多少？紧急度判错的频率？这些恰恰是用户最想知道的。

第三，「每几小时」到底是几小时，没说。 这是全文最影响体验的参数，也是唯一能直接换算成成本和新鲜度的参数。四小时和八小时是完全不同的产品，公告把它留成了空白。

第四，用量额度和主 App 共享，但没有换算表。 公告说研究预览期 Duet 与 Claude 其余部分共用套餐额度，而且「它的用量方式和一个典型对话不同」——后台检查计入额度，构建财务模型或演示文稿这类大任务需要更多模型轮次和后台工作。翻译过来：重度 Claude Code 用户会被后台轮询吃掉额度，而你不知道吃多少。这个设计必然在早期用户里产生摩擦。

第五，安全部分全是过程性描述，没有一个可验证的数字。 框架、托管凭据、分类器、注入防御、红队、外部渗透、漏洞赏金——每一项都对，但拼起来仍然是一份「我们做了这些事」的清单，而不是「我们挡住了多少」。拦截率、误报率、注入成功率，一个都没有。这在研究预览阶段可以接受，但它意味着你现在无法评估这套防线到底有多厚。

第六，6000 个连接器里，官方维护的和第三方 MCP 各占多少，没有披露。 这个比例决定了供应链风险的真实水平。一个第三方连接器可以读你的邮件、写你的 CRM、拿你的令牌——它的审计标准是什么？没人说。

第七，地区和企业版都没时间表。 美国 Pro / Max 先行，等位制。真正有钱、也真正有合规压力的企业客户（公告通篇不提）不在首发名单里。这不奇怪——一个能读全公司邮箱的 Agent，过不了任何一家大企业的安全评审。这也解释了为什么例子全是小企业主：110 人的连锁餐厅没有信息安全部门，五万人的公司有。

第八，Muse 那组数字要分清哪些是事实、哪些是叙事。 「一千万用户」是 CEO 在财报会上说的，同周 Sensor Tower 的估算与之吻合，可信度较高。「四分之一日活」「超四分之一购物用户成交、客单价 200 美元以上」也是财报口径，但 Meta 没有披露 GMV，任何「抽佣收入多少」的推算都是猜。至于 Plaid 那句「在别的服务上没见过这种活跃度」——Plaid 是按交易量收费的合作方，这句话不是独立第三方证词。

第九，Grok Bot 那两起事故我只拿到标题级信息。 Techdirt 原文返回 403，The Next Web 被 Cloudflare 拦了，具体泄露了什么、怎么泄露的、影响多少用户，我没有核实到正文。所以本文只把它当作「发生过公开事故」这一个事实来用，不引申细节。

第十，最后一层怀疑留给自己： 这篇分析的所有判断都建立在官方公告的文本上，而公告本身就是产品的一部分。它选择告诉你「每几小时检查」，是因为这句话能让「不实时」显得像设计；它选择强调「即使批准也不做」，是因为这句话比任何安全白皮书都有说服力。信任一个 Agent 的前提，是先不信任它的宣传材料。

九、如果要做一个自己的「持续干活」Agent，能抄的三件事

一、把审批点当接口设计，不要当安全补丁。 先列一张「不可逆动作清单」——在你的业务里，哪些操作一旦发生就补不回来？成交、转账、删除、对外发送。清单上的动作硬编码拒绝或强制人工确认，交给人来判，不要交给模型判。模型的判断力应该用在「该不该现在打扰你」，而不是「该不该转这笔钱」。这条分界线划清楚，产品才敢往下走。

二、用固定节奏的简报做可观测性。 晨报不是便利功能，是审计入口。每天固定一个时间点，把 Agent「认为重要的事」和「它做了什么」摊开，让用户逐条校正。这个动作同时解决三个问题：用户建立信任、你收到判断力反馈、出错时有人能发现。没有简报的后台 Agent 就是黑箱，黑箱没人敢长期用。

三、凭据不落地 + 虚拟卡。 Duet 的付款路径值得直接抄：确认商品 → 你在 Stripe 的 Link 里批准这笔支出 → 用虚拟卡支付，真实卡号从不外流；Shopify 侧走 Shop Pay 同理。这一套把「让 Agent 花钱」从「把卡交给它」变成了「给它一个有限额、可追溯、可吊销的支付通道」。同样的模式可以套在 API key、数据库写权限、内部系统操作上——不是给权限，是给一个带围栏的代理。

不能抄的也要说清楚。 6000 个连接器是十年生态积累，抄不来；Opus 5.5 那套判断力背后是模型加真实交互数据，抄不来；「每几小时检查一次」也不是设计优点，那是订阅制下成本无法回收时的妥协——如果你自己做，宁可先想清楚按什么计费，再决定轮询频率，别照抄一个别人不得不做的降级方案。

MERMAID_BLOCK_0

这张图里有三个节点值得盯住：Approval Gate 是全部信任的闸门，Refused 是它连你自己都说服不了的那一档，Poll 是那个被商业模型决定了的频率。产品的好坏，基本由这三个节点决定，而不是由底下用哪个模型决定。

参考文档与链接

如果你要雇一个能替你签合同、花钱、发邮件的 AI，你最想先看到的是它的拦截率，还是它的晨报？我更想看前者——但四家现在都只给我看后者。评论区聊聊你会把哪一类动作设成「永不授权」。

作者: itech001
来源: 公众号：AI人工智能时代(the-ai-era)
网站: https://www.theaiera.top/
关注每日最新AI新闻和技术博客，主页有更多的文章的AI 技术参考：https://www.theaiera.top

本文首发于 AI人工智能时代，转载请注明出处。

posted @ 2026-10-22 08:59  iTech  阅读(19)  评论(0)    收藏  举报