一、核心思路：凭据与模型隔离

Claude Duet 不会看到密码、浏览器 Cookie 或已连接应用的登录令牌，也不能把它们保存进记忆。这些凭据只经过模型无法访问的独立机器，管理智能体行为的审批和安全检查也在那里运行——也就是说，模型本身不持有秘密。

二、密码是怎么处理的

当网站要求输入密码时，用户在 Claude 应用内表单中输入，表单用一次性密钥加密密码，该密钥只存在于安全云浏览器机器上、只用于这一次；加密后的密码原封不动传给浏览器由它输入，模型无法看到、保存或复用。Anthropic 还计划支持通过 1Password 登录：凭据直接发给浏览器，不经过模型。

三、钓鱼风险变了形状

因为 Duet 不持有凭据，无法被隐藏指令诱导泄露它并不拥有的秘密；但登录表单仍可能被仿冒。Anthropic 明确：Duet 的登录表单只出现在应用内、且仅在用户主动发起登录时出现——如果一个看似 Duet 的页面、短信或邮件要求输密码，那不是合法流程。

四、浏览器也隔离

Duet 的浏览器运行在独立云端虚拟机，与模型/智能体所在的云计算机隔离。智能体只能用固定命令驱动浏览器（「打开此页」「点击此处」「输入此内容」），网站代码和 Cookie 留在浏览器机器上，不会进入 Duet 内存，智能体命令也无法从浏览器读取 Cookie。

但智能体必须读取页面文本和下载内容才能工作，这些内容会返回给它，带来提示注入风险；Anthropic 说明浏览器上传文件会接受与消息相同的敏感信息检查。

五、测试机制与使用建议

发布前每项新凭据功能都在隔离环境接受红队测试，并纳入公开漏洞赏金计划（HackerOne）。给普通用户的提醒：智能体的安全不只取决于模型本身，还取决于审批、浏览器、凭据、分类器、日志和人工复核等系统边界。使用有外部操作能力的智能体时，先连接低敏感度应用，逐项检查权限，并确认删除、付款、发送消息等动作的审批机制。