Claude Duet 空降：三大厂的「私人管家」在 71 天内全部落位
2026 年 10 月 21 日，Anthropic 开放了 Claude Duet 的研究预览。没有发布会直播，没有 benchmark 榜单，只有一个候补名单页面和一句话：Claude 会主动来找你。
这句话听起来平淡，但它标志着一件事的完成——从 8 月 11 日 xAI 的 Grok Bot 进入测试算起，71 天内，Meta、OpenAI、Anthropic 三家大厂全部把「始终在线的私人 Agent」推到了用户面前。
| 日期 | 产品 | 厂商 | 底层模型 | 状态 |
|---|---|---|---|---|
| 2026-08-11 | Grok Bot | xAI | 未公开 | 已开放（含免费版） |
| 2026-09-08 | Muse | Meta | 未公开 | 美国 18+ 用户，iOS / Android / Web / WhatsApp |
| 2026-09-29 | Dots | OpenAI | GPT-6 Astra | 预览 |
| 2026-10-21 | Claude Duet | Anthropic | Claude Opus 5.5 | 美国 Pro / Max 候补 |
四款产品的形态高度一致：云端独立虚拟机、用户关机后继续干活、从「你问我答」变成「我盯着，有事找你」。差别不在功能清单，在权限写在哪、事故谁兜底。
Duet 到底在做什么
先把它和「聊天框里加个自动化」区分开。
Claude Duet 是一个独立 App（iOS、Android、claude.ai 都有），背后是 Claude Opus 5.5，以及一台带自己浏览器的云端虚拟机。你把任务丢进去，它可以不开你的电脑、不用你的手机，自己在后台跑。
具体行为有三条主线：
第一，早上给你一份简报。 每天早晨，它会把所有已连接应用里最需要你注意的事项整理成一份短简报。不是信息流，是决策清单。
第二，白天按小时级巡检。 Anthropic 写得很直白：它每隔几小时检查一次你连接的应用，因为「不停检查会更快烧光你套餐的额度」。这句话值得记下来——所谓「24 小时在线」，在工程上是采样频率的取舍，不是真的一秒不停。
第三，完成任务后通知你。 你用一段短消息描述目标，它自己判断该用哪些应用、按什么顺序做，做完或者需要你确认时再弹通知。
连接器是现成的：Claude Marketplace 里 6,000+ 连接器和插件。官方举例覆盖了 Gmail 漏读邮件、Slack 消息、QuickBooks / Stripe 的未付发票催款、Gusto 的工资单、LinkedIn 招聘帖、Docusign 合同签署、HubSpot 跟进邮件、Canva 营销物料、Shopify 店铺搭建。
对小企业主来说，这份清单的密度很实在——它不是「帮你写文案」，是「帮你把一笔应收款催回来」。
权限红线：四类要审批，两类永不执行
这是整篇公告里最值得逐字读的部分。
Claude Duet 自己可以读、可以起草、可以准备。但下面四类动作，它必须先把「我要做什么」摆给你看，等你点头：
- 发送消息
- 付款
- 签署文件
- 删除任何东西
更关键的是下一句：有些事即使你批准了，它也不做。
- 买卖证券
- 账户间转账
这两条不是「默认关闭、可在设置里打开」，是产品层面的硬边界。区别很大：前者是策略，后者是设计。
为什么这个区别重要？因为过去两年，Agent 的安全边界基本靠提示词和策略层维持——一句「不要执行危险操作」，遇上模型对指令的重新解释就会漏。Duet 把红线拆成了两类，一类交给人（审批），一类直接不给工具（能力缺失）。能被提示词绕过的限制，不叫限制。
顺带说一个细节：它买东西走的是 Stripe 的 Link 数字钱包和 Shopify 的 Shop Pay。流程是「Duet 跟你确认商品 → Link 让你批准这笔支出 → 用虚拟卡付款」。真实卡号不经过模型。
隐私措施：四层，逐层可查
Anthropic 这次把安全设计的来源写得比较具体，四条都能对应到已有工程实践：
凭证隔离。 沿用 Claude Managed Agents 的设计，Duet 不直接接触你的密码和登录 token。它拿的是「被授权的操作能力」，不是「你的钥匙」。
敏感信息分类器。 这是一个新增的专用分类器加安全系统提示词，逐条检查消息，防泄露。规则分档：信用卡号、政府身份证件属于最高敏感级，直接拒绝外发；健康、个人财务这类信息，只有你明确指示时才允许发出。
提示注入防御。 来自 Anthropic 的 browser-use 研究，模型和护栏两层都覆盖。一个会读邮件、会发消息、还会开浏览器的 Agent，天然是提示注入的高价值目标——恶意网页里的一句隐藏指令，可能就变成一封发给你客户的邮件。
外部验证。 红队测试 + 外部公司渗透测试，并且纳入公开漏洞奖励计划（HackerOne）。
这四层里，第三层是这类产品真正的软肋。前两层是架构，第四层是流程，只有第三层是持续的对抗——没有终点。
四款产品放在一起看，差在哪
功能层面大家都在收敛，差异集中在三个位置。
| 维度 | Claude Duet | OpenAI Dots | Meta Muse | Grok Bot |
|---|---|---|---|---|
| 后台权限默认值 | 读 / 起草自主，写操作审批 | 探测默认只读，写操作前通知 | 可代购、可取消订阅 | 三级：感知 / 预览 / 接管 |
| 明确的能力禁区 | 证券交易、账户转账 | 未见公开硬边界 | 未见公开硬边界 | 未见公开硬边界 |
| 巡检频率 | 每几小时 | 持续循环 Goal→Plan→Act→Learn | 每小时更新用户档案 | 按计划 / 事件触发 Routine |
| 集成规模 | 6,000+ 连接器 | 4,000+ 应用插件 | 未公开 | X 平台原生 + Cursor |
| 显著争议 | 暂无 | 暂无 | 被指读取私信、档案更新频率 | 暂无 |
表格里最扎眼的一行是「明确的能力禁区」。只有一家把「永远不做」写进了产品说明。 这不是说其他三家的安全做得差，而是说：当 Agent 开始动钱，你需要知道它的边界是「策略配置」还是「物理上没有这个动作」。
另一个值得注意的对比是巡检频率。Muse 每小时更新一次用户及其联系人的行为档案，是四者里频率最高的；Duet 明确说「几小时一次，因为更频繁会烧额度」。前者把「更懂你」当卖点，后者把「成本约束」摊开讲。两种取向，用户自己选。
早上那份简报，才是产品本体
功能清单里最不起眼的是「每天早晨一份短简报」，但它其实是这类产品的核心设计。
原因在注意力经济：一个始终在线的 Agent，最大的成本不是 API 账单，是它把多少注意力还给你。做得差的形态是消息流——每件事都通知，用户三天就关掉通知，产品退化成另一个待办清单。做得好的形态是分层：晨报承载「需要你知道但不急」的事，即时通知只承载「现在必须你决定」的事。
Anthropic 在公告里给了三个内部用例，都是同一套逻辑：
- Claude Code 负责人 Boris Cherny 散步时对着 Duet 念脑子里的待办清单，而不是攒到回工位再记
- 模型与产品行为设计负责人 Chelsea Larsson 下班前把待办丢给它，晚上拿一份报告
- Duet 团队负责人 Karan Ahuja 用它约用户访谈、做原型、甚至提交代码
早期用户里的例子更具体：一位房产经纪的日历上有一场看房记错了日期，Duet 没被要求就指了出来；一位经营 110 人餐厅的老板用它做账、客服、营销，一家店一家店地过发票；一位品牌顾问的客户电话排在航班前，Duet 从日历里看出来，主动提议改期。
这三类事情的共同点是：它们都不是「用户提问后才有答案」的问题。 记错日期、发票未付、会议撞航班——用户不知道要问什么，所以传统对话式 AI 永远碰不到。
这就是「主动」两个字的实际含义：不是模型更聪明，是它有了在没有人提问时启动一次检查的资格。
竞争焦点已经换了
把 71 天的四次发布连起来看，能看到一条清晰的迁移：
第一阶段的竞争问的是：你的模型多强？ 榜单、上下文长度、代码通过率。
现在问的是两个新问题：
- 用户不在场的时候，它能不能把事办成？
- 办砸了，责任落在谁头上？
第一个问题决定了产品有没有用。第二个问题决定了产品能不能卖进企业。
这也解释了为什么这一轮发布里，安全细节的篇幅明显超过了能力描述。Anthropic 那篇公告里，「Safety and discretion are built in」这一节的密度，比「它能干什么」还高。OpenAI 的 Dots 把「appropriate autonomy（适当自主）」当成核心概念在讲。这不是公关话术，是采购流程逼出来的：企业客户第一个问的永远是「它会不会自己发邮件出去」。
一个更硬的信号：Duet 把「删除」也放进审批清单。删除是不可逆操作里最常见、也最容易被 Agent 当成清理步骤顺手做掉的一项。把它列为必须审批，等于承认——Agent 的失误成本，已经从「答错一句话」变成了「少了一个文件、多了一笔付款」。
短板也要说清楚
官方公告里自己列了几条，值得原样记住：
- 看不到它的浏览器。 它有自己的浏览器，但目前不给你看它在你面前操作。这削弱了信任建立的过程——你只能看结果，看不到过程。
- 个人事务偏弱。 产品围绕工作场景设计，订票这类个人差事做得不够好。
- 额度共享。 预览期 Duet 与 Claude 共用套餐额度，而后台巡检、建模、做 PPT 这类任务消耗的模型轮次远高于普通对话。换句话说，「让它一直盯着」是有账单的。
- 只有美国。 仅限美国 Pro / Max 用户，候补制。
- 早期版本会误判。 官方原话：可能误读一段对话线程，也可能判断错什么算紧急。
最后一条其实是最重要的产品信息。一个会主动打断你的 Agent，最大的风险不是做错事，是在不需要你的时候打扰你，在需要你的时候沉默。这两件事都没法靠 benchmark 测出来，只能靠真实用户磨。
一个务实的评估清单
不管最后买不买，这类产品都该按同一套标准试。五个问题，按重要性排：
| 问题 | 为什么问 | 怎么验 |
|---|---|---|
| 不可逆动作的清单有多长？ | 只列「付款」不列「删除」的产品，边界是拍脑袋定的 | 直接问客服要完整清单 |
| 审批是按次还是按类？ | 按类授权（「以后这类都行」）等于把边界交还给模型 | 看有没有「始终允许」选项 |
| 它能不能改自己的配置？ | 能改配置就能改权限 | 问它的写权限范围 |
| 后台巡检算不算额度？ | 决定「一直在线」的真实成本 | 看套餐说明 |
| 出事故谁披露、多久披露？ | 决定你能不能信任它的沉默 | 看厂商的安全公告页 |
第三条最少人问，也最容易被忽略。一个能写文件、能开浏览器、能装插件的 Agent，如果它的配置目录也在自己的可写范围内，「审批清单」就只是一份建议。
这就是为什么 Duet 把「证券交易」和「账户转账」直接做成不可执行，而不是做成需要审批。审批是可以被 Agent 说服的，能力缺失不能。
对读者意味着什么
如果你在选工具： 先问自己一个问题——你要的是「效率」还是「责任边界」？要效率，看连接器数量和自动化深度；要边界，看它敢不敢写「永不执行」。目前只有 Duet 把这句话写在了明面上。
如果你在做产品： 这一轮的门槛已经不在模型侧了。四款产品的底层模型各不相同，但形态几乎一样。真正拉开差距的是三件事：权限模型怎么设计、事故怎么披露、成本怎么让用户预期得到。这三件事都不需要训模型。
如果你在做企业采购评估： 把「审批清单」和「能力禁区」当成硬性打分项，不要接受「可在设置中配置」这种回答。配置意味着可以被改，也意味着可以被绕过。
如果你只是用户： 记住一句话就行——始终在线的 Agent，卖的不是智能，是你不在场的那几个小时。这几个小时值多少钱，取决于它办成的事有多不可逆。
发布日期：2026-10-23信息来源：Anthropic 官方发布页（Introducing Claude Duet，2026-10-21）、七牛云《24 小时在线 Agent 四强横评》、Meta Muse 公开发布信息