Anthropic выпустила агента, который пишет первым. Самое полезное в нём — список действий, запрещённых даже с разрешения пользователя

Меня зовут Карим, я занимаюсь автоматизацией в NODA, и главная новость подсайта в эти сутки — Claude Duet: агент от Anthropic, который без запроса присылает утром сводку по вашим приложениям, проверяет их каждые несколько часов и приносит уведомление, когда считает, что нужно ваше решение. Разбираю в шести карточках: что случилось, как устроена инициатива, как вендор разложил права агента по корзинам, чего в продукте нет, что из его дизайна можно сделать у себя завтра и где я могу ошибаться.

Короткий ответ: самое интересное в Duet не то, что он пишет первым. Это список из трёх уровней прав, опубликованный вендором: делает сам, делает после подтверждения, не делает даже с разрешения. Первые два уровня мы описывали как корзины по обратимости; третий — новый, и это потолок, который пользователь снять не может. Для тех, кто строит агентов в бизнесе, этот список полезнее любой демонстрации.

21 октября Anthropic открыла research preview Claude Duet для пользователей в США на подписках Pro и Max, по листу ожидания. Отдельные приложения для iOS и Android плюс claude.ai; модель — Opus 5.5. Агент живёт в облачной виртуальной машине с браузером и продолжает работать, когда ноутбук закрыт. Подключается к приложениям через каталог, в котором, по словам компании, больше шести тысяч коннекторов: QuickBooks и Stripe для счетов, HubSpot для переписки с клиентами, Docusign для договоров, Gusto для зарплат, Shopify и Canva для магазина и маркетинга. Для Team, Enterprise и API доступа нет, сроков тоже. Отдельной платы нет: задачи и фоновые проверки расходуют общий лимит подписки.

Два канала, по которым агент приходит сам. Утренний брифинг: сводка по подключённым сервисам: неоплаченные счета, письма, на которые стоит ответить, договоры, которые ждут подписи. И проверки в течение дня, примерно раз в несколько часов, с уведомлением, если что-то требует внимания. Темы и частоту пользователь меняет, и здесь первая важная деталь: Anthropic прямо говорит, что частые проверки быстрее расходуют лимит. Проактивность стоит токенов, и вендор не прячет это за словом «бесплатно».

Вторая деталь: пользователь не видит браузер, в котором работает агент. Он получает результат или вопрос. Это удобно и это ровно та ситуация, о которой мы спорили в ветке под статьёй про права агента: отчёт о себе — не проверка. Пока браузер невидим, проверкой остаётся только то, что агент принёс.

Что Duet делает сам: собирает данные, читает счета, готовит черновики писем, финансовые прогнозы, веб-приложения. Это первая корзина, обратимое и дешёвое.

Что делает только после подтверждения: отправка сообщений, оплата, подписание договоров, удаление. Перед действием показывает план и ждёт одобрения. Это вторая и третья корзины из нашей статьи: внешние сообщения, деньги, необратимое остаются у человека.

Что не делает даже с разрешения пользователя: операции с ценными бумагами и переводы между финансовыми счетами. Этого в наших корзинах не было, и это самое важное решение в продукте: потолок, который не снимается кнопкой «я разрешаю». Он защищает от сценария, в котором разрешение получено обманом, через подделанное письмо или инструкцию, спрятанную в документе; сам агент здесь ни при чём.

Вокруг списка — обвязка: классификатор, который решает, нужно ли одобрение на действие; классификатор чувствительных данных, который не даёт передать номера карт и государственных документов; изоляция учётных данных, чтобы пароли и токены не попадали в модель; защита от prompt injection; внешний аудит и программа вознаграждений за уязвимости. И честная фраза, которую стоит запомнить: компания не утверждает, что исключает все несанкционированные действия.

Журнала для обычного пользователя. Аудит-логи и управление сроками хранения относятся к Enterprise, которого у Duet пока нет; на индивидуальной подписке агент действует в облаке, а след его действий пользователю не показывают. В ветке под статьёй про права агента юрист формулировал: журнал — условие запуска второй корзины. Здесь вторая корзина запущена, журнал обещан позже.

Цены задачи и измеренной точности. Бенчмарков нет, оценок стоимости нет, есть примеры клиентов, подобранные вендором: владелец сети ресторанов на сто десять сотрудников, которому «не нужно открывать сто вкладок».

Видимого браузера, доступа вне США, доступа для команд. И отдельно: интеграция с менеджером паролей запланирована, но не готова, то есть изоляция учётных данных пока держится на самом вендоре.

Написать список «запрещено даже с разрешения». У каждого агента, который касается денег и внешних систем, должен быть короткий перечень операций, которые он не выполняет ни по какой инструкции: переводы между счетами, изменение реквизитов, массовые рассылки, удаление без карантина. Список живёт в правах учётки, не в промпте; об этом была вся ветка под Harness².

Сделать частоту бюджетом. Проактивный агент проверяет мир по расписанию, и у расписания есть цена в токенах; её нужно знать до запуска, а не по счёту в конце месяца. Раз в несколько часов — это уже решение о деньгах.

Вынести одобрение в отдельный слой. Решение «нужно ли спрашивать человека» принимает отдельный дешёвый классификатор с порогами, отдельно от модели, которая пишет письмо; мы разбирали это на примере Jev. У Anthropic этот слой есть; у большинства самодельных агентов его нет.

Изолировать секреты. Агент не должен видеть токены и пароли, даже «для удобства»; доступ выдаётся учётке, а не тексту.

Запускать инициативу после журнала, не до. Если агент может написать первым, владелец должен мочь прочитать, почему: какие данные посмотрел, что решил, что отложил. Без этого утренний брифинг остаётся отчётом о себе.

Оставить один незапрошенный канал. У Duet это утренняя сводка; всё остальное по событию. Агент, который пишет первым по любому поводу, через неделю попадает в «без звука» вместе с рассылками.

Первое. Я внедряю агентов и мне выгодно, чтобы «потолок, журнал, отдельный классификатор» выглядели обязательными. Возможно, личному ассистенту за двадцать долларов в месяц этого достаточно и без журнала.

Второе. Я разбираю продукт по публикациям, не по рукам: превью только в США. Список «запрещено даже с разрешения» может оказаться длиннее или короче, чем пересказали СМИ; если у кого-то есть доступ, поправьте в комментариях.

Третье. Проактивность может оказаться тем, что пользователи выключат через неделю, как push-уведомления, и тогда вся ценность Duet окажется в коннекторах и облачном браузере, инициатива здесь ни при чём. Карточка 5 от этого не пострадает: списки и слои нужны агенту и без утренних сводок.

Вопрос к тем, у кого агенты уже работают: есть ли у вашего агента операции, которые он не выполнит, даже если вы сами попросите? И кто это решил — вы, вендор или никто?