Anthropic detalla cómo Claude Duet aleja las credenciales del modelo y cuándo tiene que pedir permiso

Anthropic anunció Claude Duet el 21 de octubre como research preview: un agente en su propia app, construido sobre Claude Opus 5.5, que corre en una máquina en la nube, revisa cada pocas horas las apps que conectás, te manda un resumen a la mañana y sigue trabajando aunque cierres la app. El acceso es por lista de espera y arranca con suscriptores Pro y Max de Estados Unidos. En el lanzamiento, Anthropic dijo que compartiría más detalles de seguridad "en los próximos días", según informó Engadget.

Esos detalles llegaron hoy. En Claude Duet Safety, Privacy, and Security, Anthropic plantea tres principios: la información de tus apps conectadas se maneja con discreción, vos mantenés el control de lo que hace Duet, y Duet nunca ve tus contraseñas, cookies del navegador, tokens de sesión ni otras credenciales. Las protecciones se apilan en tres capas: el entrenamiento de seguridad del propio modelo, salvaguardas que ya usan Claude Code y Claude Managed Agents, y controles nuevos pensados para un agente que actúa sobre tus cuentas.

Qué tiene que preguntarte Duet antes de actuar

Antes de mandar un mensaje potencialmente sensible, pagar algo o borrar cualquier cosa, Duet te muestra la acción, el destino y el contenido completo, con todos los destinatarios, y espera tu aprobación. En paralelo, un chequeo automático separado evalúa si la acción coincide con lo que realmente pediste. Anthropic dice que ese chequeo se basa en el clasificador del modo auto de Claude Code, extendido para Duet, y que corre fuera del modelo: instrucciones escondidas en una página web no pueden convencerlo de cambiar su veredicto.

• Prohibido aunque lo apruebes: operar con valores, acciones bancarias como mover plata entre cuentas y entrar a la cuenta de otra persona.
• Sin "no me vuelvas a preguntar": pagar o enviar dinero, borrar un pedido y crear una cuenta siempre requieren una aprobación nueva.
• Las rutinas siguen las mismas reglas: lo que corre mientras no estás pasa por las mismas salvaguardas.

Anthropic también reconoce el costo: demasiados pedidos de aprobación generan fatiga, así que dice que está calibrando cada cuánto pregunta Duet y que lo va a seguir ajustando.

Pagos y datos sensibles

Las compras se hacen con una tarjeta de un solo uso de una billetera como Link de Stripe, limitada a un comercio y un monto. Aprobás el producto y el total en la app de la billetera, y ni Duet ni el comercio ven el número real de tu tarjeta.

Un clasificador aparte revisa cada mensaje saliente en dos niveles. Nunca compartir incluye credenciales de acceso, números completos de tarjeta y de cuenta bancaria, y números de documento; Duet tiene instrucciones de no compartirlos aunque se lo pidas. Requiere consentimiento cubre otros datos privados, como salud o finanzas; tu propio pedido cuenta como consentimiento, así que un mensaje a tu dentista por un dolor de muela no dispara una aprobación extra. Si un mensaje queda bloqueado, Duet puede reescribirlo sin la parte sensible y mostrarte la nueva versión. Anthropic admite que el clasificador a veces va a dejar pasar cosas y a veces va a marcar texto inofensivo, y por eso funciona junto con las aprobaciones, no en lugar de ellas.

Cómo quedan las credenciales fuera del alcance del modelo

Es la parte más técnica del post y la más útil si estás evaluando conectar cuentas reales:

• Contraseñas: las escribís en un formulario de la app de Claude que las cifra con una clave de un solo uso que solo existe en la máquina del navegador en la nube. El modelo nunca ve el texto plano. Anthropic planea sumar inicio de sesión con 1Password.
• Antiphishing: el formulario de acceso solo aparece dentro de la app, durante un inicio de sesión que vos empezaste. Anthropic dice que nunca llega por link, SMS ni email.
• Tokens de sesión: nunca entran a la máquina del agente. Ahí hay un marcador, y un proxy externo inserta el valor real en cada pedido.
• El navegador corre en su propia máquina virtual. El agente solo puede mandarle comandos fijos como abrir, hacer clic y escribir, y ningún comando puede leer cookies. El texto de las páginas y las descargas sí vuelven al agente, así que siguen aplicando las defensas contra prompt injection, y los archivos que sube pasan el mismo control de datos sensibles que los mensajes.
• Identificación: el navegador de Duet manda un User-Agent propio y Anthropic publica las IP desde las que navega. Según la empresa, antes del lanzamiento contactó a varios sitios grandes y algunos decidieron bloquear a Duet.

Pruebas, y lo que todavía no está terminado

Anthropic dice que su equipo de Safeguards corrió evaluaciones armadas con tareas tipo rutina en tres variantes (inocentes, con instrucciones inyectadas y tentando al agente a excederse), junto con tráfico en sombra de uso real. Equipos de red team buscaron fugas de datos, acciones sin aprobación y respuestas a prompts maliciosos. Una firma externa hizo un pentest de Duet con acceso al código fuente, y una segunda etapa sobre el navegador en la nube y el formulario de acceso todavía está en curso. Duet entra en el programa público de bug bounty de Anthropic en HackerOne.

Todo esto es Anthropic describiendo su propio sistema: el post no incluye resultados de auditorías de terceros y el pentest en curso todavía no informó. La empresa menciona como áreas en cambio la frecuencia de aprobaciones, el flujo de inicio de sesión y la precisión de los controles de sensibilidad. También podés borrar el historial de Duet o resetear su memoria; desconectar una app corta el acceso nuevo, aunque lo que Duet ya aprendió queda hasta que resetees la memoria. Duet además usa la memoria de tu cuenta normal de Claude.

Por qué importa para quienes usan Promptea

Los agentes personales de Meta, OpenAI y ahora Anthropic piden lo mismo: acceso permanente a tu mail, tu calendario y tus cuentas. La pregunta útil ya no es si el agente es capaz, sino qué tiene estructuralmente impedido hacer. La respuesta de Anthropic se apoya en mecanismos fuera del modelo (un clasificador de intención separado, un navegador aislado, tokens inyectados por un proxy, tarjetas de un solo uso) en vez de confiar en que el modelo simplemente se porte bien. Vale la pena comparar ese diseño con cualquier agente que pienses conectar, y es un patrón que pueden copiar quienes arman sus propios agentes.