Claude Duet 智能体 凭证隔离：别让 AI 看到密码

2026 年 10 月 23 日，Anthropic 发文介绍了关于 Claude Duet 智能体 凭证隔离的技术方案。这是一个能在云端电脑上自主运作的智能体，即便用户关闭了应用，它也能在后台持续查阅邮箱、起草回复、预订行程并执行预设任务。

很多人看到这则消息的第一反应是：智能体终于能替我干全流程杂活了。但作为企业管理者，我建议你先看它的安全防线。一家做跨境电商的企业的技术负责人曾经问过我：如果让智能体帮运营人员在后台采买商品或回客户邮件，到底怎么保证它不会被黑客投毒把管理员密码套出来，或者直接划走账上的流动资金？

Anthropic 这篇技术说明给出了明确的解法：不要寄希望于大语言模型「自觉遵守纪律」。当智能体开始接管发消息、采购付款和删除数据等高危操作时，安全防御必须架设在模型之外。

为什么绝不能把 API 凭证直接传给 AI 智能体？

很多团队在搭建内部自动化工具时，最常见的粗暴做法就是把数据库密码、第三方平台的 API Key、甚至登录 Cookie，直接作为系统提示词或环境变量塞进上下文。这种做法在智能体需要调用外部工具时极其脆弱。一旦智能体读取的网页或邮件里藏着恶意注入指令（Prompt Injection），模型很可能会听从外部黑客的唆使，乖乖把上下文里的密钥当成普通文本打印出来。

Claude Duet 的核心做法，是在大模型工具调用权限上做物理层面的剥离：模型本体永远看不到真实的密码、浏览器 Cookie 或登录令牌。

当网站需要输入密码时，用户在专属界面内填写，系统使用单次有效的密钥进行加密，直接交由隔离的云端浏览器容器解密输入，整个密文不会被模型读取，模型也无法将其存入记忆。当智能体调用已连接的企业应用时，模型所在环境拿到的只是一个占位符（Placeholder），真实的访问令牌由外层的代理服务在请求发出的一瞬间填入。

这意味着，即使网页里包含恶意提示词试图套取凭证，Claude Duet 也交不出来，因为它的模型上下文中根本没有这些机密数据。

[ 用户或外部网页输入 ] 
         │ (含潜在提示词注入风险)
         ▼
┌────────────────────────────────────────────────────────┐
│  大语言模型决策环境 (Claude Duet 上下文)               │
│  - 仅持有凭证占位符 (Placeholder)                      │
│  - 无法读取真实 Cookie / 密码 / 支付令牌               │
└────────────────────────────────────────────────────────┘
         │
         ▼ (仅发出抽象动作指令: "点击/提交/发起支付申请")
┌────────────────────────────────────────────────────────┐
│  外部代理与独立安全拦截层                              │
│  ├─ 外部意图分类器 (独立检查是否偏离用户初衷)          │
│  ├─ 敏感信息分类器 (绝不共享 / 需同意共享两级分流)     │
│  └─ 凭证隔离代理 (动态填充真实 API [Token](/glossary/token/) / 注入密码)   │
└────────────────────────────────────────────────────────┘
         │
         ▼ (通过审批卡弹出确认 / 一次性虚拟卡扣款)
[ 最终高危操作执行 (第三方应用 / 银行扣款 / 数据删除) ]

智能体支付授权与敏感操作，怎么做到既自动化又不失控？

让智能体接管流程，最怕它失控扣费或误删核心数据。在 Claude Duet 的架构里，Anthropic 设立了两个核心拦截机制：外部意图分类器与高危动作审批卡。

首先是意图校验。当智能体准备执行发送敏感消息、付款或删除内容等操作时，系统会启动一个独立于主模型之外的自动化检查程序（基于 Claude Code 的 auto mode 分类器扩展而来）。这个分类器不运行在执行任务的模型内部，因此外部网页中暗藏的指令无法干扰它的判断，它只专注评估当前动作是否符合用户的原始意图。

其次是支付链路的物理隔离。在智能体支付授权场景下，Claude Duet 并不直接绑定用户的实体信用卡，而是接入类似 Stripe 的 Link 钱包，生成针对单笔交易、限定商户与具体金额的一次性虚拟卡。用户必须在审批卡中看清收费明细、目标对象和确切金额，并在自己的钱包应用中手动确认，真实的卡号既不透露给智能体，也不透露给商家。

同时，Anthropic 明确划定了不可逾越的红线：像证券交易、账户间转账、访问他人账户等行为，即便用户授权也一律禁止执行；而对于付款、删单、创建新账号等操作，系统永远不会开启「不再询问」选项，必须每一次都经由人工核准。

企业 AI 工作流隔离与高危操作防护自查清单

如果你的团队正在评估或搭建自己的内部智能体，建议拿下面这份防护清单逐项比对现有系统。安全防护不能停留在口头约定，必须固化为系统拦截规则：

从星盒的实践看

在企业落地实际业务时，AI智能体安全从来不是一个理论命题，而是决定系统能不能真正上线的门槛。

从星盒AI服务 500 多家企业的实测经验来看，企业在推进自动化时最容易犯的错误，就是为了图省事，把客服智能体或营销智能体的调用权限放得过宽。我们在为客户定制营销智能体与部署全自动化系统时，始终坚持工作流与机密数据隔离的原则。

星盒的定位是专注企业增长的 AI 营销服务商。在我们的新媒体内容工厂与星盒星盒！企业全能 AI 营销智能体的架构中，员工在微信中唤起智能体协作时，智能体读取的是经过严格权限梳理的企业专属知识库，而内部核心管理权限与外部接口分属不同的安全边界。

自动化必须建立在可控的边界之内。星盒平台已部署的 300 多组实战智能体，之所以能帮企业把单人日产出提升约 30 倍、将人力成本约降低 90%，核心前提就是让 AI 专注在内容生成与策略诊断上，把高风险的业务确认权牢牢留在管理者手中。