Claude Duet 的主动 Agent 工作流：定期检查、连接器与动作审批
Anthropic在2026年10月21日发布Claude Duet，一款基于Claude Opus 5.5构建的独立产品，可通过iOS、Android和claude.ai使用。当前开放的是研究预览，首批面向美国Pro、Max用户，通过候补名单提供体验。对开发者和Agent构建者来说，更值得拆解的不是"AI会主动找人"这个口号，而是它公开展示了"持续任务---连接器---提醒---动作审批"这条产品工作流。
一、官方已披露的工作流：不是实时监控，而是定时检查、主动提醒、审批执行
根据Anthropic公告，Duet会在早晨汇总已连接应用中的重要事项，白天持续关注这些应用，并在它认为有事需要用户处理时发送消息。用户也可以交办任务，让它在人离开后继续工作，完成或需要审核时通知。
这里的"持续"需要严格限定：Anthropic明确表示Duet每隔几小时检查连接账户，不是不间断扫描，也不能理解为实时监控。用户可以设定关注事项和通知频率。
连接器层面，Duet可使用Claude Marketplace中超过6000个连接器和插件，并沿用用户Claude账户中的memory、skills和已连接应用上下文。它运行在自己的虚拟机和浏览器中，因此用户的手机或电脑无需保持开机。但Anthropic表示，目前用户还不能查看它的浏览器。
动作审批是这个工作流中最需要开发者关注的部分。公告区分了两种层级：Duet可以自行读取、起草和准备工作；发送消息、付款、签署文件或删除内容之前，会展示准备执行的动作并等待批准。证券交易和账户间转账则属于即使获批也不能执行的事项。用户也可以断开已连接的应用。
Anthropic公布的体验故事包括：一位房地产经纪人称Duet提醒她日历上的看房日期可能填错；一位品牌策略顾问称Duet为客户电话准备简报，并注意到电话安排在她的航班前。这些故事来自Anthropic，不是独立测试，也不能推断普遍效果。
二、授权边界：读写准备与高危动作之间有明确分界
"主动"并不等于可以不经确认地替用户行动。官方披露的边界可以概括为：能读、能起草、能准备；发送、付款、签署、删除必须审批；证券交易和账户间转账即使获批也不能执行。
Anthropic还介绍了凭证处理、动作审批和提示注入防护，并称已进行红队测试及外部渗透测试，且纳入公开漏洞赏金计划。官方也提醒，早期版本可能误读线程、判断紧急程度失准；个人事务处理目前不如工作场景成熟，而且用户暂时看不到它的浏览器。
这里不能推断产品没有风险。公告没有给出红队测试的范围和结果，也没有披露完整操作记录。对Agent构建者来说，授权边界是否清晰，不能只看厂商列出的"需要批准"列表，还要看完整动作路径中是否存在未说明的灰色地带。
三、可观测性与成本：浏览器不可见，后台任务共享额度
可观测性是目前Duet研究预览的一个明显限制。虽然它运行在自己的虚拟机中，用户设备不必保持开机，但浏览器暂不可见。开发者无法从现有公告获得后台具体执行轨迹、每一步决策理由或可回放记录。官方没有披露完整操作记录，异常情况下如何接管也缺乏细节。
成本方面，Anthropic明确公示：Duet的后台检查和较大型任务与Claude的其他功能共享套餐额度；更复杂的任务需要更多模型调用和后台工作。这意味着定时检查不是无成本运行。对用户来说，可能的风险是后台任务在不知情情况下消耗额度；对开发者来说，构建类似Agent时要把轮询频率、单次任务复杂度和配额上限设计成可预测的参数，而不是把成本当作隐藏变量。
四、能力/边界对照表
| 维度 | 官方已披露 | 边界/限制 |
|---|---|---|
| 可用性 | iOS、Android、claude.ai；美国Pro/Max候补研究预览 | 非全面上线；其他地区未公布 |
| 连接器 | Marketplace超6000个连接器/插件；沿用memory、skills和已连接应用上下文 | 不同连接器实际效果未承诺一致 |
| 检查频率 | 每隔几小时检查连接账户；用户可设定关注事项和通知频率 | 不是实时监控 |
| 自主范围 | 可自行读取、起草、准备工作 | 发送消息、付款、签署、删除需批准 |
| 禁止操作 | 证券交易、账户间转账即使获批也不执行 | 其他高风险动作未列明 |
| 运行环境 | 在自己的虚拟机和浏览器中运行；用户设备不必开机 | 浏览器暂不可见 |
| 可观测性 | 公告未给出完整操作记录 | 早期判断可能出错，异常接管细节不足 |
| 成本 | 后台检查和较大任务与Claude其他功能共享套餐额度 | 复杂任务消耗更多；可能出现额度消耗 |
| 安全措施 | 凭证处理、动作审批、提示注入防护；红队、外部渗透测试、漏洞赏金 | 未给出测试范围与结果，不能推断无风险 |
五、给Agent构建者的评估清单：通用工程设计视角，不是Duet实测
以下是评估主动型Agent的通用清单。Duet只公开回答了其中一部分，不能把这套清单当作Duet已经实现的能力。
- 值守范围是否明确：连接哪些应用、读取哪些字段、是否排除私人内容，默认权限是否足够收敛？
- 轮询频率与成本是否可调：是几小时一次还是实时？用户能否调整频率？是否能把后台任务消耗限制在可预测范围内？
- 通知触发规则是否可解释：什么级别变化会推送，什么级别静默汇总？误报和漏报分别如何处理？
- 动作审批矩阵是否完整：读、写、发送、付款、签署、删除分别需要什么确认？是否存在模糊的"可自主操作"地带？
- 禁止操作列表是否明确：除了证券交易、账户间转账，还有哪些动作即使获批也不能执行？
- 可观测性是否足够：后台做过什么、每一次检查的输入输出、决策理由能否回放？
- 接管与撤销是否方便：出现误判时，能否一键暂停、撤销授权、纠正已生成内容？
- 失败模式是否有反馈路径：误读、漏报、紧急程度判断错误，用户如何反馈并让它下次收敛？
这8条不是对Duet的独立验证，而是Agent构建者在设计主动型系统时需要回答的工程问题。官方公告能确认Duet已经公开了检查频率、审批边界、部分禁止操作和断开应用入口；但完整操作记录、异常接管、成本告警和误判纠正机制，公告没有给出足够细节，仍需后续观察。这份清单中的问题仍需在实际产品中逐项验证，不能因为 Duet 展示了一部分能力，就假定其他环节也已具备。
六、结论：工作流方向明确，可靠性尚未证明
Claude Duet的研究预览说明，Anthropic正在把"主动关注连接应用、在用户离开时继续处理受托任务"作为一种实际产品开放体验。它把Agent从"问答工具"推向"定时检查---主动提醒---人工审批"的受托值守形态。但这一步目前只发生在美国Pro/Max候补用户的研究预览中，不代表全面上线，也不代表广泛用户、不同任务或长期使用中的可靠性。
对开发者而言，Duet当前版本最值得参考的是它明确划分了"可自行读取/起草/准备"与"需审批执行/禁止执行"的边界，并公开了轮询频率和共享额度的成本规则。最需要继续观察的是可观测性与失败接管：当浏览器暂不可见、完整操作记录尚未披露时，用户仍需知道后台做过什么，以及出了错如何接管。在重要事务上，用户仍需亲自核对。