智能体开始主动上班

2026 年 10 月 21 日，Anthropic 以研究预览形式开放全新应用 Claude Duet，把 Claude 定位为一个“主动智能体”：它不再等你发问，而是主动来找你、告诉你什么需要处理。

它基于 Claude Opus 5.5 构建，拥有独立的云虚拟机和浏览器，即使你的手机、电脑关机，任务也能在后台继续运行，完成后再通知你。

最关键的一条设计是：它可以自己读、查、算、起草，但在发消息、付款、签文件、删除内容之前，必须向你展示要做什么并等待批准；有些事即使你批准，它也不能做。

Claude Duet 接入超过 6000 个连接器与插件，凭证不直接可见，信用卡号、证件号等最敏感信息默认拒绝外传，并经过红队与外部渗透测试。

这不是一次普通的产品更新，而是智能体从“被动应答”走向“主动值守”的范式标志，对银行设计风控、合规与运营智能体有直接参考价值。

一、Claude Duet 是什么

1. 发布形态：2026 年 10 月 21 日开放研究预览，面向美国 Pro 和 Max 订阅用户，通过候补名单分批邀请，提供 iOS、Android 独立应用与 claude.ai 网页版。
2. 目标人群：官方称专为事务繁多、难以跟踪的专业人士和小企业主设计，核心是帮人判断“什么需要你、什么可以等、什么时候该先问你”。
3. 底层模型：以 Claude Opus 5.5 为核心，强调判断力、资源调度能力和对紧急程度的把握。
4. 竞争信号：这是继 Meta、OpenAI、谷歌之后，头部厂商在“主动式个人智能体”赛道的又一落子，标志产品形态从聊天框转向全天候代办。
5. 仍是早期版本：研究预览阶段与其他功能共享套餐用量，可能误读会话、误判紧急程度，个人事务类能力较弱。

二、范式转变：从“人找AI”到“AI找人”

1. 每日主动晨报：每天早晨，它会把已连接应用中最重要的事项整理成简短简报，主动推送给你，而不是等你逐个打开应用。
2. 全天持续盯守：它会每隔几小时检查一次连接账户，出现需要关注的情况才发消息，避免无意义打扰和无谓消耗。
3. 后台持续工作：借助自带虚拟机和浏览器，你交代的任务会在云端分步执行，设备关机也不影响，完成或需要你审阅时再通知。
4. 统一任务入口：文字或语音、一个持续的对话线程，既能处理一句快速回复，也能承接为期一周的长任务。
5. 主动发现问题：测试者反馈，它会主动发现日历上排错日期的看房、会议与航班冲突等用户没注意到的问题并提示。

三、它能做什么：6000 多个连接器

1. 沟通协作：查找 Gmail、Slack 中遗漏的消息并辅助回复，起草会议安排。
2. 财务与发票：在 QuickBooks、Stripe 中检查未付发票、草拟催款提醒，在 Gusto 中准备工资单。
3. 客户与营销：基于 HubSpot 的往来记录起草跟进邮件，把产品发布转为 Canva 社交活动，在 LinkedIn 发布经审批的招聘。
4. 合同与电商：通过 Docusign 发送协议签署，搭建和管理 Shopify 店铺，用 Link 虚拟卡完成采购而不暴露真实卡号。
5. 凭证与登录：未来在用户许可下，可借助 1Password 中保存的登录信息登录网站，减少直接接触密码。

四、安全设计：把“可信任”做进架构

1. 可信智能体框架：沿用与 Claude Code、Claude in Chrome 一致的可信智能体框架，安全能力跨产品复用。
2. 凭证隔离：凭证处理方式与 Claude Managed Agents 相同，智能体不直接看到用户的密码或登录令牌。
3. 动作审批分类器：动作由自动模式分类器审核，防止执行用户没有要求的步骤。
4. 防注入与隐藏指令：针对提示词注入和隐藏指令的防御来自浏览器使用研究，模型与防护层共同覆盖。
5. 对抗测试与赏金：红队和外部公司进行了渗透测试，并纳入公开漏洞赏金计划。
6. 敏感信息分级拦截：新增专用分类器和安全系统提示，对每条消息把关；信用卡号、政府证件号等最严层级信息拒绝共享，健康、个人财务等信息仅在用户明确指示时才发送。

五、人的把关：关键决策留在人手里

1. 高风险动作前确认：发送消息、付款、签署文件、删除内容之前，它会展示具体动作并等待用户批准。
2. 设置禁区清单：即使有用户批准，某些操作仍被禁止，例如交易证券、在账户之间划转资金。
3. 随时可断开：用户可以随时断开它已接入的任何应用，收回授权。
4. 默认只读与草拟：它可以自主完成阅读、起草、准备工作，但“代你行动”被严格限制在确认之后。
5. 采购双重确认：用 Link 购物时，先由它确认商品，再由 Link 请用户批准支出，形成双重把关。

六、边界与需要冷静之处

1. 仍是研究预览：可能误读线程、误判紧急程度，也暂时无法向用户展示其浏览器界面。
2. 仅限美国与特定套餐：地域、套餐和候补机制限制了可及性，消费级产品不等同于银行生产级。
3. 新攻击面更大：持续运行、高权限、多连接器、跨应用数据流，使主动智能体一旦被攻破，影响面更广。
4. 误报与打扰风险：主动通知若校准不当，会带来“告警疲劳”，错误的主动行动甚至可能造成业务损失。
5. 成本需管理：后台检查和大型任务都计入用量、消耗更多模型轮次，需要在频率与成本之间平衡。

七、对银行的十点启示

1. 主动是智能体的下一站：银行智能体不应只等指令，而应主动盯守交易、账户、授信与流程，异常时主动预警、主动推送。
2. 场景天然契合：主动风险预警、监管报送与到期提醒、对账与报表、KYC 尽调、催收与客户经营，都是“主动值守”的高价值场景。
3. 人在关键决策点：放款、转账、签约、核销等高风险动作必须由人确认，智能体先做“读、查、算、草拟”，这与银行授权与内控原则一致。
4. 用分级权限约束动作：可按“只读、草拟、建议、执行、禁止”分层授权，不同岗位、不同风险等级匹配不同权限。
5. 建立不可为清单：即使有授权也明确禁区，例如自主大额划款、修改利率、绕开审批，形成制度性红线。
6. 凭证必须隔离：智能体接入核心系统时不直接接触密码与令牌，采用最小权限、短期凭证、金库式管理。
7. 数据分级防泄露：对证件号、卡号、账户余额等敏感信息设置分级分类器，默认不外发，跨系统流转需显式授权。
8. 把防注入当硬要求：智能体读取邮件、网页、外部文档时，必须防范提示词注入和隐藏指令，外部内容不可直接当作指令。
9. 隔离运行环境：用独立虚拟机、浏览器和沙箱承载后台任务，限制横向移动，便于审计与回滚。
10. 建立成本与轮次意识：为后台巡检设定频率、轮次上限和触发条件，避免持续运行带来的成本失控。

八、银行的落地路径建议

1. 先低风险后高风险：从只读、可回滚的内部运营、报表、尽调辅助、客服辅助起步，再逐步触及资金与授信。
2. 明确确认点与禁区：在流程设计中逐环节标注哪些可自动、哪些必须人工确认、哪些绝对禁止。
3. 权限与凭证体系先行：建设统一的智能体权限、凭证与审计底座，避免“先上线、后补安全”。
4. 数据分级与防泄露前置：按敏感程度制定流转规则，部署专用分类器与外发拦截。
5. 抗注入与隔离并重：外部输入先净化、再入模，运行环境沙箱化、最小化网络访问。
6. 校准主动与告警：通过试点校准“什么值得打扰人”，控制误报，避免告警疲劳。
7. 全链路留痕可审计：智能体的每步动作、依据、确认人和结果都要可追溯，满足监管检查。
8. 私有化与生产级加固：对企业级需求采用私有化、可审计、可回滚的部署，不直接照搬消费级预览能力。

结语

Claude Duet 的意义，不在于它现在能替人做多少事，而在于它清晰地展示了智能体的演进方向：从“你问我答”的工具，变成“主动值守、后台代办、关键时刻把人请回来”的数字同事。它给出的两条设计原则，对银行尤其重要——一是把主动权交给智能体，让风险和问题被更早发现；二是把决定权留给人，让高风险动作始终有人负责。 对银行而言，主动智能体既是提升风控前瞻性、运营效率和客户体验的机会，也带来了持续运行、高权限、多连接器的新风险。真正成熟的做法，不是追求“全自动”，而是像 Claude Duet 那样，把智能体的主动性、安全架构和人的把关三者对齐：让机器去盯守、去准备、去提醒，让人去判断、去批准、去负责。当智能体开始主动“上班”，银行要做的，是先给它划好边界、配好权限、立好规矩，再让它在可控的范围内创造价值。

（口径说明：本文所引发布时间、研究预览、Opus 5.5、独立云虚拟机与浏览器、6000+ 连接器、安全框架、凭证隔离、动作分类器、敏感信息分级、人工确认与禁区清单等，来自 Anthropic 官方文章与产品页（2026-10-21），并参考 IT之家、Unite.AI、华尔街见闻等报道；产品为研究预览、仅面向美国 Pro/Max 用户，功能与边界可能随版本调整。本文为行业与风险管理分析，不构成投资建议。）