Long read breaks down Claude Duet's three-layer architecture

剑的 AI 实验室 @swordBluesyOriginally posted 2026.10.23

Open original on X

工程師如何用好 Claude Duet？ 先把結論放在前面：Claude Duet 不是一個更聰明的聊天框，它是 Anthropic 第一次把「主動型 Agent」做成獨立產品——十月二十一號開放研究預覽，獨立 App，自帶一台雲端電腦，你不開口它也幹活。但工程師用它之前，先要看懂一件事：它的能力不在模型本身，而在模型外面那套架構。這篇把官方公告和官方親自點名的三篇工程原文全部編譯出來，看懂架構，你就知道該把什麼活交給它、什麼活絕不能交。 一、它到底是個什麼東西 按官方公告的原話編譯：Claude Duet 是一個讓 Claude 以「主動型 Agent」方式工作的新 App。它會主動把需要你處理的事推到你面前；完成你交辦的任務；你離開之後它繼續工作；以你的名義採取行動之前，先徵得你同意。目標用戶是手頭事情多到記不過來的專業人士和小企業主。 它的日常節奏是這樣的：每天早上，它把你連接的各個應用掃一遍，發一份晨間簡報，只列最重要的事；白天每隔幾小時自查一次你的帳號，有事才發消息，沒事不打擾——官方特意說明，不搞不間斷檢查，是因為那樣會把你的訂閱額度燒得快得多。你也可以直接交辦任務，小到排會議，大到跨幾十個工具搭數據看板、做財務和銷售預測、做原型、建網站。 官方說，它好用在「判斷力」：底層模型是 Claude Opus 5.5，專門調教成能分清什麼事需要你、什麼事可以等、什麼事先問你。 二、工程師必須看懂的三層架構 第一層，執行架構：大腦和手分開。 公告明說，Duet 處理憑證的方式，沿用 Claude Managed Agents 的設計——它永遠不會直接看到你的密碼和登錄令牌。這套設計出自官方工程文《Scaling Managed Agents》：把 Agent 拆成三個互相獨立的部件——會話（session，只追加的事件日誌）、執行框架（harness，負責調用模型、把工具調用分發出去）、沙箱（sandbox，真正跑代碼、改文件的執行環境）。大腦和手解耦之後，沙箱只是一次性的「牲口」不是「寵物」：容器死了，框架把失敗當成一次工具調用錯誤處理，換個新容器接著跑；框架自己崩了，新框架憑會話編號就能把事件日誌撈回來、從斷點續上。憑證走兩條路：要么綁在資源上（比如 Git 倉庫的令牌在沙箱初始化時就配進遠程地址，Agent 全程不碰令牌本身），要么鎖在沙箱外的保險庫裡，Claude 調外部工具時經過一個專用代理，由代理去保險庫取憑證完成調用——模型和框架都不知道憑證長什麼樣。效果數字也很工程：解耦之後，首個響應的延遲中位數降了約 60%，p95 降了 90% 以上。 第二層，審批架構：一個分類器替你把關。 公告說，Duet 的每個動作都要過「自動模式分類器」，和保護 Claude Code 的是同一套，原文出自工程文《How we built Claude Code auto mode》。這套東西是為了解決「審批疲勞」：真人審批，93% 都是一路點同意，點多了等於沒審；全部放行又太危險，官方內部事故日誌裡記著刪遠程分支、把工程師的 GitHub 令牌上傳到計算集群、對生產數據庫跑遷移——全是模型「太熱心」幹出來的。所以他們做了兩層防禦：輸入層有一個提示注入探針，先掃描所有工具返回的內容（文件、網頁、命令輸出），發現藏著劫持指令的，先給 Agent 打警告；輸出層有一個行為分類器，在每個動作執行前判斷該不該攔，分兩段跑——先是極快的一票過濾，攔下了才用思維鏈細查。權限分三級：只讀類工具在白名單裡直接放行；項目目錄內的文件修改不驚動分類器；剩下真正有殺傷力的——命令執行、外部調用、項目外文件操作——全部過分類器。默認攔截規則二十多條，分四類：毀壞或外泄、削弱安全防線、跨越信任邊界、繞過審核或影響他人。最重要的，官方把效果數據如實公布了：誤攔率從 8.5% 壓到 0.4%；但在真實「過度熱心」動作的測試集上，漏攔率是 17%——他們明說，這個數字就是誠實數字，分類器多數時候能認出危險，錯在判斷「用戶這句話算不算授權了這麼大範圍的動作」。對應到 Duet 身上，就是那道你熟悉的關：發送消息、付款、簽署文件、刪除東西之前，它必須把要做的事攤開給你、等你批准；而買賣證券、帳戶間轉帳，連批都不批，直接禁區。 第三層，信任與注入防禦。 Duet 的信任設計遵循官方研究《Trustworthy agents in practice》的框架，憑證和審批之外，還專門配了一個新的敏感信息分類器加安全提示：每條經手的消息都查，信用卡號、政府證件這類最高等級信息，一律拒絕外發；健康、個人財務這類，只有你明確交代過才放行。它防提示注入的底子來自官方的瀏覽器使用研究：那套防禦把注入攻擊的成功率從 10.8% 壓到 1.4%。另外，Duet 上線前過了紅隊對抗測試和外部公司滲透測試，並納入公開漏洞賞金計劃。 三、工程師的使用姿勢 編譯完架構，落到用法就四條： 交辦要寫清三件事：做什麼、邊界在哪、交付什麼。它的上下文來自你的主帳號——記憶、技能、連接過的應用全部繼承，設置成本極低；在同一個對話線程裡打字或語音交辦，短回覆和一週長的項目都從同一個入口進。 連接器當工具鏈用：官方市場有 6000 多個連接器和插件。公告給的例子很實在：撈 Gmail 和 Slack 的漏回消息並起草回覆、查 QuickBooks 和 Stripe 的未付發票並寫催款、在 Gusto 裡備發薪數據、起草職位發布經你批准後發 LinkedIn、走 Docusign 備協議送簽、用 HubSpot 的客戶歷史起草跟進郵件、在 Canva 裡把產品發布做成社交 campaign、管 Shopify 店鋪。採購走 Stripe 的 Link 錢包：它先跟你確認商品，Link 讓你批金額，再用虛擬卡付款，你的真卡號不外泄。 額度按後台任務的口徑管：預覽期 Duet 和主帳號共用訂閱額度，但燒法完全不同——後台自查也計費，大任務（財務模型、整套演示文稿）要跑很多輪模型和後台工作。Pro 額度本來就緊，建議大活集中交辦、自查頻率別拉滿。 審批別點成肌肉記憶：分類器漏攔率 17% 是官方自己寫的。真正值錢的用法是：讀、起草、準備這類只讀和草稿動作放它跑；發送、付款、簽署、刪除這四道關，自己認真看完再點。隨時可以斷開任何一個應用的授權。 S1哥觀點 工程師看 Duet，別先看它能幹多少活，先看 Anthropic 交出的這三個數字：沙箱和大腦解耦、憑證永不進模型視野，這是大廠把 Agent 當操作系統在設計，不是套殼；誤攔 0.4% 說明日常用不會煩死你；漏攔 17% 說明它自己也承認——最後一道關還是你。這套東西真正可怕的地方不在單點能力，而在它把「信任」做成了一套可審計的工程：權限分級、規則公開、連失敗率都印在文檔裡。問題留給評論區吵：一個漏攔率 17% 的看門人，你敢把付款和簽署放給它跑嗎？我的答案是：草稿全放，落筆永遠自己點——這不是不信任它，是這套架構本來就是這麼設計給你的。 原文連結：https://claude.com/resources/articles/claude-duet 原文：@claudeai（由 S1哥 編譯；架構部分編譯自 Anthropic 工程博客《Scaling Managed Agents》《How we built Claude Code auto mode》與研究《Trustworthy agents in practice》，均為公告原文引用出處）