Anthropic、リサーチプレビュー中のClaude Duetの安全・プライバシー・セキュリティ設計を公開

Claude Duetはクラウド上のコンピューターで作業するエージェントで、接続済みのアプリやサービスを使い、アプリを閉じた後も動き続ける。受信箱の確認、返信の下書き、予約、不在中のルーティン実行ができる。設計は、情報を慎重に扱うこと、ユーザーが操作を管理できること、認証情報を見せないことの三原則に基づく。

承認の仕組みでは、機密性のあり得るメッセージの送信、支払い、削除の前に、操作内容、宛先、全受信者を含む内容が提示され、ユーザーの承認を待つ。Claude Codeのauto mode分類器を拡張した別の自動チェックが、操作がユーザーの意図に合うかを評価する。このチェックはモデルの外側で動くため、ページに埋め込まれた指示の影響を受けない。証券取引、口座間の送金、他人のアカウントへのアクセスは承認があっても禁止で、支払いや注文削除、アカウント作成は「今後は確認しない」設定の対象外である。購入にはLink from Stripeのようなウォレットの使い捨てカードを使い、実際のカード番号は共有されない。

情報の扱いでは、メインモデルとは別の分類器が送信前の各メッセージを検査する。ログイン情報、カード・口座の全番号、政府発行ID番号は「共有しない」層で、ユーザーが頼んでも共有しない。健康や金融などは「同意が必要」な層で、ユーザー自身の依頼は同意とみなされる。ブロックされた場合は機微情報を除いて書き直し、承認を求めることがある。

認証情報とブラウザーはモデルから分離される。パスワードはClaudeアプリ内のフォームで入力され、クラウドのブラウザーマシンだけにある単回使用の鍵で暗号化されるため、モデルは見ることも保存することもできない。サインイントークンはClaude Managed Agentsの設計に従い、エージェントの作業マシンにはプレースホルダーだけを置き、外部のプロキシがリクエスト時に実値を差し込む。ブラウザーは専用の仮想マシンで動き、固定コマンドだけで操作される。サイトのコードやCookieはブラウザーマシンに留まる。独自のUser-Agentヘッダーを送り、閲覧元のIPアドレスも公開している。

テストでは、通常版、指示を注入した版、依頼以上の行動を誘う版の三種類の評価を作り、実利用のシャドートラフィックと併用した。レッドチームや外部のペネトレーションテスト会社による検証も行われ、クラウドブラウザーとサインインフォームの追加検証が進行中である。Claude DuetはAnthropicのバグバウンティの対象で、HackerOneから報告できる。承認の頻度、サインイン方法、機微情報チェックの精度は今後も調整される。