Claude Duet 智能體 憑證隔離：別讓 AI 看到密碼

2026 年 10 月 23 日，Anthropic 發文介紹了關於 Claude Duet 智能體 憑證隔離的技術方案。這是一個能在雲端電腦上自主運作的智能體，即便用戶關閉了應用，它也能在後台持續查閲郵箱、起草回覆、預訂行程並執行預設任務。

很多人看到這則消息的第一反應是：智能體終於能替我幹全流程雜活了。但作為企業管理者，我建議你先看它的安全防線。一家做跨境電商的企業的技術負責人曾經問過我：如果讓智能體幫運營人員在後台採買商品或回客戶郵件，到底怎麼保證它不會被黑客投毒把管理員密碼套出來，或者直接划走賬上的流動資金？

Anthropic 這篇技術説明給出了明確的解法：不要寄希望於大語言模型「自覺遵守紀律」。當智能體開始接管發消息、採購付款和刪除數據等高危操作時，安全防禦必須架設在模型之外。

為什麼絕不能把 API 憑證直接傳給 AI 智能體？

很多團隊在搭建內部自動化工具時，最常見的粗暴做法就是把數據庫密碼、第三方平台的 API Key、甚至登錄 Cookie，直接作為系統提示詞或環境變量塞進上下文。這種做法在智能體需要調用外部工具時極其脆弱。一旦智能體讀取的網頁或郵件裏藏着惡意注入指令（Prompt Injection），模型很可能會聽從外部黑客的唆使，乖乖把上下文裏的密鑰當成普通文本打印出來。

Claude Duet 的核心做法，是在大模型工具調用權限上做物理層面的剝離：模型本體永遠看不到真實的密碼、瀏覽器 Cookie 或登錄令牌。

當網站需要輸入密碼時，用戶在專屬界面內填寫，系統使用單次有效的密鑰進行加密，直接交由隔離的雲端瀏覽器容器解密輸入，整個密文不會被模型讀取，模型也無法將其存入記憶。當智能體調用已連接的企業應用時，模型所在環境拿到的只是一個佔位符（Placeholder），真實的訪問令牌由外層的代理服務在請求發出的一瞬間填入。

這意味着，即使網頁裏包含惡意提示詞試圖套取憑證，Claude Duet 也交不出來，因為它的模型上下文中根本沒有這些機密數據。

[ 用戶或外部網頁輸入 ] 
         │ (含潛在提示詞注入風險)
         ▼
┌────────────────────────────────────────────────────────┐
│  大語言模型決策環境 (Claude Duet 上下文)               │
│  - 僅持有憑證佔位符 (Placeholder)                      │
│  - 無法讀取真實 Cookie / 密碼 / 支付令牌               │
└────────────────────────────────────────────────────────┘
         │
         ▼ (僅發出抽象動作指令: "點擊/提交/發起支付申請")
┌────────────────────────────────────────────────────────┐
│  外部代理與獨立安全攔截層                              │
│  ├─ 外部意圖分類器 (獨立檢查是否偏離用戶初衷)          │
│  ├─ 敏感資訊分類器 (絕不共享 / 需同意共享兩級分流)     │
│  └─ 憑證隔離代理 (動態填充真實 API [Token](/glossary/token/) / 注入密碼)   │
└────────────────────────────────────────────────────────┘
         │
         ▼ (通過審批卡彈出確認 / 一次性虛擬卡扣款)
[ 最終高危操作執行 (第三方應用 / 銀行扣款 / 數據刪除) ]

智能體支付授權與敏感操作，怎麼做到既自動化又不失控？

讓智能體接管流程，最怕它失控扣費或誤刪核心數據。在 Claude Duet 的架構裏，Anthropic 設立了兩個核心攔截機制：外部意圖分類器與高危動作審批卡。

首先是意圖校驗。當智能體準備執行發送敏感消息、付款或刪除內容等操作時，系統會啓動一個獨立於主模型之外的自動化檢查程序（基於 Claude Code 的 auto mode 分類器擴展而來）。這個分類器不運行在執行任務的模型內部，因此外部網頁中暗藏的指令無法干擾它的判斷，它只專注評估當前動作是否符合用戶的原始意圖。

其次是支付鏈路的物理隔離。在智能體支付授權場景下，Claude Duet 並不直接綁定用戶的實體信用卡，而是接入類似 Stripe 的 Link 錢包，生成針對單筆交易、限定商戶與具體金額的一次性虛擬卡。用戶必須在審批卡中看清收費明細、目標對象和確切金額，並在自己的錢包應用中手動確認，真實的卡號既不透露給智能體，也不透露給商家。

同時，Anthropic 明確劃定了不可逾越的紅線：像證券交易、賬戶間轉賬、訪問他人賬戶等行為，即便用戶授權也一律禁止執行；而對於付款、刪單、創建新賬號等操作，系統永遠不會開啓「不再詢問」選項，必須每一次都經由人工核准。

企業 AI 工作流隔離與高危操作防護自查清單

如果你的團隊正在評估或搭建自己的內部智能體，建議拿下面這份防護清單逐項比對現有系統。安全防護不能停留在口頭約定，必須固化為系統攔截規則：

從星盒的實踐看

在企業落地實際業務時，AI智能體安全從來不是一個理論命題，而是決定系統能不能真正上線的門檻。

從星盒AI服務 500 多家企業的實測經驗來看，企業在推進自動化時最容易犯的錯誤，就是為了圖省事，把客服智能體或營銷智能體的調用權限放得過寬。我們在為客戶定製營銷智能體與部署全自動化系統時，始終堅持工作流與機密數據隔離的原則。

星盒的定位是專注企業增長的 AI 營銷服務商。在我們的新媒體內容工廠與星盒星盒！企業全能 AI 營銷智能體的架構中，員工在微信中喚起智能體協作時，智能體讀取的是經過嚴格權限梳理的企業專屬知識庫，而內部核心管理權限與外部接口分屬不同的安全邊界。

自動化必須建立在可控的邊界之內。星盒平台已部署的 300 多組實戰智能體，之所以能幫企業把單人日產出提升約 30 倍、將人力成本約降低 90%，核心前提就是讓 AI 專注在內容生成與策略診斷上，把高風險的業務確認權牢牢留在管理者手中。