Claude Duetの安全設計 — 送信・支払い・削除の前に止まる承認の仕組み
Claude Duetは送信・支払い・削除の前に承認カードを出し、モデルの外で別チェックを走らせます。承認しても通らない操作や、「次回から聞かない」が効かない操作の境目を順に見ます。
Claude Duetは、メッセージを送る・支払う・削除するといった結果の重い操作の前で必ず止まるように作られたエージェントです。止まるときは、操作の内容、宛先、中身(受信者は全員)をカードで見せ、承認を待ちます。
カードを出すだけでは終わりません。モデルとは別の場所で自動チェックが走り、承認してもなお通らない操作と、何度承認しても「次回から聞かない」にできない操作も決まっています。Anthropicが2026年10月23日に公開した安全設計の解説と、サポート記事から、この境目を順に見ます。
Claude Duetは何の前で止まるのか
Claude Duetはクラウド上の専用コンピューターで動くエージェントです。接続したアプリを使い、アプリを閉じたあとも動き続けます。受信箱を読み、返信を下書きし、予約を取り、席を外している間にルーティンを回せます。
留守のあいだに動くからこそ、いつ止まって許可を求めるかが安全の中心になります。Claude Duetが承認を求めるのは、たとえば次のような操作の前です。
- 機微な内容を含む可能性があるメッセージの送信
- 何かの支払い
- 何かの削除
流れの中で見落としやすいのは3段目です。カードが出るのと同時に、モデルの外のチェックが走っています。
承認カードが出てから実行されるまで
- 1
操作の直前で止まる
送信・支払い・削除など、結果の重い操作に差しかかると、実行せずにカードを作ります。
- 2
操作・宛先・内容を見せる
何をするか、どこへ向けてか、中身は何かを、受信者を含めて表示します。
- 3
別チェックが並行して走る
操作がユーザーの意図に合っているかを、モデルの外にある自動チェックが評価します。
- 4
承認して初めて実行する
承認がない限り実行されません。すぐ返せなければ、残りの作業を進めて承認を後ろへ回します。
承認カードの外側で何が走っているのか
承認カードと並んで、操作ごとに別の自動チェックが動きます。このチェックは、Claude Codeのauto modeで使われている分類器を土台に、Claude Duet向けに拡張したものです。見ているのは、その操作が「ユーザーの意図に合っているか」です。
重要なのは、チェックがモデルの外で動く点です。作業をしているモデルは、Webページやメールの本文を読みます。そこに「この宛先へ送れ」といった指示が仕込まれていても、チェックはモデルの外にあるので、読み込んだ指示では結果を動かせません。
解説の図もこの構造を示しています。承認カードと別チェックはどちらもモデルの外に置かれており、エージェントが読んだものでは、カードに答えを返せません。
auto modeの設計を詳しく知りたい場合は、Claude Code auto modeの中身が、分類器と入力側のプローブを組み合わせる二層防御を扱っています。Duetはその分類器の考え方を、送信や支払いに広げたものです。
承認しても通らない操作と、毎回聞かれる操作
操作は、承認の扱いで3つに分かれます。
| 区分 | 該当する操作 | 承認との関係 |
|---|---|---|
| 禁止 | 該当する操作証券の売買、口座間の送金などの銀行操作、他人のアカウントへのアクセス | 承認との関係承認しても実行されない |
| 毎回確認 | 該当する操作お金の支払い・送金、注文の削除、アカウントの作成 | 承認との関係「次回から聞かない」にしても聞かれる |
| 通常の承認 | 該当する操作上記以外で承認が必要な操作 | 承認との関係承認すると実行される |
「次回から聞かない」が使えない操作が、利用者の実感に最も響く部分です。ふつうの許可ダイアログは、何度か承認すると「以降は聞かない」を選べます。Duetでは、支払い・注文の削除・アカウント作成には、何度承認していてもこの省略が効きません。
留守中に動くルーティンにも、同じ安全策が適用されます。「定期実行だから緩い」という抜け道はありません。
承認が増えすぎると、何が起きるか
確認を増やすほど安全になるとは限りません。Anthropicは、承認の頻度の調整に時間をかけたと書いています。承認を求められすぎると、利用者は内容を読まずにタップするようになるからです。承認疲れが実害になる、という判断です。
この点は、Claude Code側の知見ともつながります。Claude Codeでは許可プロンプトの大半が承認されており、auto modeはそこから出発しました。Duetが「全部聞く」でなく、操作の重さで聞き方を変えるのは同じ発想です。頻度の調整は今後も続くとされています。
支払いは一回限りのカードと金額で区切られる
購入では、Claude Duetは本物のカード番号を持ちません。LinkやShop Payのようなウォレットから発行される、その店とその金額に限定された一回限りのカードで支払います。実カード番号は、Claude Duetにも店にも渡りません。
Linkでの流れは次のとおりです。
- 「オフィスのプリンターのインクを再注文して」のように頼む
- Claude Duetが商品を見つけ、承認を求める
- LinkのモバイルアプリかWebで、支出リクエスト(Spend Request)を承認する
- 承認された店と金額に絞ったカードで支払われる
ここで大事なのは、承認の場所がClaude Duetの外のLinkアプリにあることです。Link側で金額を承認するまで、Claude DuetはLinkで支払えません。会話の中の「OK」では支払いが成立しない構造です。
Claude Duetが見られるのは、カードの種類、カードや口座番号の下4桁、ニックネーム、有効期限、保存済みの配送先です。カード番号や銀行口座番号の全桁は渡されません。
いくつか知っておきたい制約もあります。
- Linkで定期払いはできません
- 承認のあとに、店が決済を断ったりブロックしたりすることがあります
- 購入が失敗しても、選んだ支払い手段に一時的に保留として表示されることがあります
- サイトによってはClaude Duetの支払いをブロックし、自分で購入を完了する必要が出ます
LinkとShop Payは今のところClaude Duetの中だけで使え、コネクタのディレクトリには出てきません。接続はClaude Duetのアバターから行います。Stripeコネクタ(Stripeアカウントを操作する)とは別物で、片方だけでも使えます。
機密情報は「絶対に出さない」と「同意があれば出す」に分かれる
メールを読んでメッセージを送るエージェントは、どの情報をどこへ出してよいかを常に判断します。週次の報告を頼まれたら、チーム全員が既に見られる内容だけを書き、人事評価の面談のような私的な内容は書かないのが当然です。
そのために、メインのモデルとは別に動く新しい分類器が、送信直前のメッセージを調べます。見るのは、機微な情報が含まれていないかどうかです。情報は2段階に分けられています。
機密情報の2段階
出さない
サインイン用の認証情報、カードや銀行口座の全桁番号、政府発行のID番号が当てはまります。誰に対してもです。ユーザー本人が頼んだ場合でも共有しない扱いです。
同意があれば出す
健康や家計のようなその他の私的情報です。ユーザー自身の依頼が同意として数えられます。歯医者への「歯が痛い」という連絡なら、追加の承認は通常要りません。
どちらかの理由でブロックされると、Claude Duetは機微な情報を除いたメッセージに書き直し、承認用に見せることがあります。つまり、送信が止まるだけでなく、機微な情報を除いた文面が承認カードに戻ってくることがあります。
ブラウザ経由でアップロードするファイルにも、メッセージと同じ機密情報チェックがかかります。
分類器は完璧ではありません。研究プレビューの段階では、見逃しや、無害なメッセージの誤検知が起きるとされています。だからこそ、最終的な歯止めは承認の仕組みに置かれています。
パスワードやトークンはモデルに渡らない
承認カードや分類器は「何をするか」を止める仕組みです。もう一つの柱は、モデルが秘密そのものを持たない設計です。
- パスワード: サイトにログインが要るとき、ユーザーはClaudeアプリ内のフォームに入力します。フォームは、クラウドのブラウザーマシンだけが持つ使い捨ての鍵で暗号化し、中身を開かないままブラウザーに渡します。モデルは見ることも、保存することも、繰り返すこともできません
- サインイン用トークン: 接続アプリの認証情報は、エージェントが作業するマシンに入りません。そこには代わりのプレースホルダーが置かれ、リクエストが送られる瞬間にマシンの外のプロキシが本物の値を入れます
- ブラウザー: ブラウザーは専用の仮想マシンで動き、モデルや作業用のコンピューターとは別です。エージェントは「このページを開く」「ここをクリック」「これを入力」といった決まったコマンドでしか操作できません。サイトのコードとCookieはブラウザーマシンの中に残り、Cookieを読み出すコマンドもありません
ただし、ページのテキストとダウンロードは、仕事のために読む必要があるのでエージェントに返ります。ここから注入が入ることがあるので、別チェックとブラウザー利用向けの注入対策が併用されます。
ログイン用フォームそのものが標的にされることにも注意が必要です。フォームが出るのは、ユーザーが頼んだログインの最中の、Claudeアプリの中だけです。リンク、ショートメッセージ、メール、claude.ai以外のサイトで、Claude Duetを名乗ってパスワードを求められたら、正規のものではありません。
カードを読む着眼点と、利用前の限界
安全の仕組みがあっても、使う側の判断が要る場面があります。
承認カードを読むときの着眼点
受信者の欄
宛先は全員が表示されます。意図しない人が混ざっていないかは、カードの受信者で確かめられます。
金額と店
支払いでは、品目と合計金額が示されます。Link側のSpend Requestでも金額を確認します。
書き直された本文
機微情報で止まった場合、情報を除いた文面が戻ります。何が抜けたかも、元の依頼と見比べると分かります。
利用条件は、Pro・Maxプランの米国アカウントで、ウェイトリストの招待が来た人です。TeamとEnterpriseでは使えません。研究プレビューのため、承認の頻度、ログインの方法、機密情報チェックの精度は今後も変わる可能性があると書かれています。
知っておきたい限界もあります。
- ブラウザーでのClaude Duetの作業を見ることも、途中で引き継ぐこともできません
- アプリの接続を切ると、その時点から新しいアクセスは止まります。ただし、既に学んだ内容はメモリーをリセットするまで残ります
- メモリーにはClaudeアカウントの記憶も使われ、以前のチャットで覚えた内容が見えます
- アカウントを削除すると、Claude Duetが保存した内容はすべて消えます
メモリーの扱いは、チームのデータ削除の境目を整理したTeam/Enterpriseの送信データの削除と合わせて読むと違いが見えます。
Claude CodeやCoworkの承認と、どこが違うのか
承認の設計は、AnthropicのほかのプロダクトにもあるのでDuetだけの話ではありません。Coworkは、ファイルを完全に削除する前に、どの承認モードでも必ず確認します(詳しくはCowork削除承認)。権限をRead/Writeの軸で見る考え方はCowork権限モデルにまとめられています。
Duetが違うのは、承認を外せない範囲が、削除に加えて支払い・送金・アカウント作成まで広い点と、承認の置き場所がモデルの外にある点です。Coworkには、操作ごとの安全確認つきで自動承認するモードと、承認をすべて省くモードがあり、後者では操作が何もチェックされません(メール送信を任せる設定はCoworkメール自動化を参照)。Duetは留守中の動作が前提のため、支払いなど一部には利用者が外せない固定の線を先に引いています。
この固定の線は、設計の賭けでもあります。承認の頻度を絞りすぎれば、疲れた利用者がカードを素通りさせます。逆に固定の線を広げすぎれば、Duetを使う意味が薄れます。どちらに倒れるかは、分類器の誤検知率と承認の頻度が、実利用でどう落ち着くかで決まります。
まとめ
Duetの安全は、承認カードだけに預けられていません。カード、モデルの外の別チェックと分類器、秘密をモデルに渡さない設計の三つが重なっています。
留守中に任せる範囲を決めるなら、「次回から聞かない」が効かない操作(支払い・注文の削除・アカウント作成)と、承認しても通らない操作(証券売買・口座間送金・他人のアカウント)の二つのリストが基準になります。前者に触れる仕事はカードが出る前提で、後者に触れる仕事はDuetに任せない前提でルーティンを組むことになります。