Claude Duet for Teams: cosa possono effettivamente controllare gli amministratori

La prima domanda che un team IT si pone su una nuova app agente è se possa essere installata su un laptop gestito. Per Claude Duet, l'agente proattivo di Anthropic basato su Claude Opus 5.5, al 21 ottobre 2026 la risposta è che l'azienda non ha pubblicato nulla in merito. Non esiste documentazione Intune, né un profilo MDM, né una guida alla distribuzione su dispositivi gestiti, e non c'è alcuna dichiarazione sulla gestione dei dispositivi mobili né nella pagina dell'annuncio né in quella del prodotto. Si tratta di una lacuna nella documentazione, non di un difetto noto — ma va messa in prima riga in qualsiasi nota interna scritta questo mese, prima che qualcuno presuma che l'app sia distribuibile perché viene fornita come binario nativo.

Ciò che le pagine descrivono è un insieme di controlli che risiedono all’interno del prodotto anziché al di sopra di esso: nel modo in cui vengono gestite le credenziali, nei classificatori che filtrano le azioni e nell’elenco delle cose che restano vietate anche quando un utente fa clic su Approva. Tali controlli sono reali e documentati. Sono inoltre per utente anziché per tenant, ed è questa la distinzione che decide se un team di sicurezza può approvare una distribuzione per il team o solo un progetto pilota individuale.

Ciò che viene pubblicato, e ciò che semplicemente non c'è

La storia della disponibilità è breve. Duet è un'anteprima di ricerca, solo Stati Uniti, inclusa nei piani Pro e Max, con gli stessi limiti di utilizzo del resto di Claude. Funziona come app autonoma su iOS e Android e su claude.ai. Anthropic non ha pubblicato una data per la disponibilità in Team o Enterprise, né ha pubblicato un'API specifica per Duet — è un'app consumer, non un prodotto di piattaforma.

Oltre a ciò, entrambe le pagine non riportano una serie di elementi che un acquirente aziendale cercherebbe normalmente. Non esiste una console di amministrazione Duet. Non esiste un interruttore a livello di organizzazione per attivare o disattivare Duet per un tenant. Non viene menzionato il single sign-on SAML né il provisioning SCIM per l'app. Non esiste alcuna esportazione dei log di controllo, nessuna politica di conservazione specifica per Duet e nessuna documentazione sulla distribuzione su dispositivi gestiti tramite Microsoft Intune o qualsiasi altro MDM. Niente di tutto ciò significa che i controlli non esistano internamente; significa che un amministratore non può citarli e che non è possibile rispondere a un questionario di procurement sulla base di essi.

Per i team che hanno già standardizzato l'uso di dispositivi gestiti, questo è l'ostacolo pratico, e vale la pena dirlo chiaramente invece di aggirarlo: al momento in cui scriviamo, non esiste un modo documentato per distribuire, configurare o cancellare da remoto Claude Duet tramite la gestione dei dispositivi. Un team che ne ha bisogno prima dell'adozione sta aspettando una documentazione che non esiste ancora, non un feature flag che qualcuno ha dimenticato di menzionare.

Il design delle credenziali è l'affermazione pubblicata più forte

Il paragrafo più utile della pagina di Duet per un lettore IT riguarda le password. Anthropic afferma che la gestione delle credenziali di Claude Duet "segue il design che usiamo per Claude Managed Agents, quindi non vede mai direttamente le tue password o i tuoi token di accesso". Letto da un amministratore, è un'affermazione sul raggio d'impatto: l'app non è un archivio di credenziali, quindi una compromissione dell'app non consegna un insieme di segreti riutilizzabili che devono poi essere ruotati su ogni servizio connesso.

Lo stesso design si ritrova nei pagamenti. Gli acquisti passano attraverso Link, il portafoglio digitale di Stripe, dove Duet conferma l'articolo, Link chiede all'utente di approvare la spesa e il pagamento avviene tramite una carta virtuale, così il numero della carta reale non viene condiviso. Shop Pay di Shopify è supportato con lo stesso schema, e Anthropic afferma che l'accesso ai siti con credenziali salvate in 1Password è in arrivo. Lo schema è coerente: l'app chiede a un portafoglio o a un gestore di password di agire, invece di custodire il segreto stesso.

Una conseguenza che vale la pena segnalare al reparto finance anziché all'IT: l'approvazione della spesa in quel flusso appartiene al portafoglio del singolo, non a una policy organizzativa. Il limite della carta è un'impostazione di Link. Non è un'impostazione di Duet, e nulla nella pagina suggerisce che un amministratore possa vedere o limitare ciò che spende la sessione Duet di un utente.

Due classificatori e un elenco di cose che non farà

Duet è dotato di un proprio livello di sicurezza, descritto nella pagina con maggiori dettagli rispetto a quanto riescano a fare la maggior parte dei post di lancio. Un classificatore dedicato e un prompt di sistema di sicurezza controllano ogni messaggio e proteggono da fughe di informazioni sensibili. L'intento progettuale è rifiutare le richieste di condividere «il livello più rigoroso di informazioni, inclusi numeri di carta di credito e documenti di identità governativi». Altro materiale sensibile, come informazioni sanitarie o finanze personali, viene lasciato passare solo quando l'utente ha esplicitamente indicato a Duet di inviarlo.

Le azioni sono soggette a controlli separati. Anthropic afferma che le azioni vengono approvate dal classificatore della sua modalità automatica, «la stessa salvaguardia che protegge Claude e Claude Code dal compiere azioni che non hai richiesto». Al di sopra di ciò c'è un controllo umano: prima che Duet invii un messaggio, effettui un pagamento, firmi un documento o elimini qualsiasi cosa, mostra ciò che sta per fare e attende.

Poi c’è la parte che conta di più in una revisione delle politiche — le azioni che vengono rifiutate a prescindere dal consenso. Anthropic ne indica due: negoziare titoli e spostare denaro tra conti. Queste sono vietate anche con l’approvazione. Gli utenti possono anche disconnettere qualsiasi app a cui Duet ha accesso, che è la cosa più vicina a un interruttore di emergenza per singola connessione descritta dalla pagina.

Le garanzie alla base di tutto questo sono dichiarate a un livello con cui un team di sicurezza può lavorare, ma che non può sottoporre ad audit: i red team interni ad Anthropic e un'azienda esterna hanno eseguito test di penetrazione su Duet, le difese contro il prompt injection si basano sulla ricerca dell'azienda sull'uso del browser e il prodotto è coperto dal programma pubblico di bug bounty. È una posizione ragionevole per un'anteprima di ricerca. Non è un rapporto, e nessun rapporto è stato pubblicato.

I controlli a livello di organizzazione esistenti appartengono a Cowork

Anthropic vende davvero l'amministrazione per un prodotto basato su agenti, ed è documentata in modo piuttosto approfondito — solo nella pagina Cowork, non in quella Duet. Sarebbe facile estendere quei controlli a Duet, ma sarebbe sbagliato, quindi ecco la distinzione.

Per Cowork, gli amministratori possono disattivare il prodotto per la propria organizzazione nelle Impostazioni amministratore e gestire l'accesso tra i team con controlli di accesso basati sui ruoli. Nei piani Teams ed Enterprise, gli amministratori impostano l'accesso per team, gestiscono i limiti di spesa e controllano le autorizzazioni degli strumenti per reparto, con il flusso delle attività verso un SIEM tramite OpenTelemetry. Enterprise aggiunge controlli amministratore, analisi sull'utilizzo, un'API Analytics e osservabilità OpenTelemetry, e la pagina specifica che gli amministratori Enterprise possono configurare le autorizzazioni in base ai propri requisiti di sicurezza. Cowork espone inoltre impostazioni delle autorizzazioni affinché l'agente mostri il proprio piano e attenda prima di qualsiasi operazione significativa, e l'eliminazione richiede sempre approvazione.

Questa è una storia completa di tenant: un interruttore, un modello di ruoli, un controllo della spesa, un confine di autorizzazione dipartimentale e un percorso di telemetria. È esattamente la checklist che un revisore aziendale porterebbe a Duet. Niente di tutto ciò è dichiarato per Duet. L'inferenza ragionevole è che la stessa macchina amministrativa si estenderà eventualmente al prodotto più recente, poiché entrambi sono agenti della stessa azienda sugli stessi piani di account — ma questa è un'inferenza, e nessuna pagina lo afferma. Un amministratore che redige una valutazione dei controlli dovrebbe registrare i controlli di Cowork come di Cowork, e registrare i controlli organizzativi di Duet come non pubblicati.

La fatturazione è la seconda domanda che si pone il procurement.

Duet è incluso in Pro e Max per l'anteprima, con gli stessi limiti di utilizzo del resto di Claude. La pagina di prodotto di Anthropic indica Pro a 17 $ al mese con fatturazione annuale (200 $ in anticipo) o 20 $ fatturati mensilmente, Max 5x a 100 $ al mese, Max 20x a 200 $ al mese e Team a 20 $ per posto al mese per 2-150 persone. Ciò che non dice è che Duet è disponibile su Team. La pagina specifica chiaramente che l'anteprima è per Pro e Max, negli Stati Uniti.

Il dettaglio sull'utilizzo è più rilevante del prezzo di listino. I controlli in background di Duet rientrano negli stessi limiti di tutto il resto, e le attività più grandi «richiedono più turni del modello e lavoro in background». Un agente che controlla gli account collegati ogni poche ore, per progettazione, spende in modo continuo. Per un individuo si tratta di un limite del piano. Per un team è un problema di budgeting senza alcuna risposta amministrativa pubblicata: non esiste uno SKU Duet per seat, nessuna tariffa enterprise pubblicata e nessuna console in cui un manager possa vedere quanto ha consumato l'agente di un collaboratore diretto. L'avvertimento di Anthropic stesso nella pagina di Cowork, secondo cui il lavoro agentico consuma i limiti più velocemente della chat, vale con maggiore forza per un prodotto la cui intera premessa è lavorare mentre sei via.

Cosa può valutare un progetto pilota senza attendere una decisione di approvvigionamento

C'è una separazione netta che vale la pena nominare, perché risolve gran parte dell'impasse di cui sopra. Claude Duet è la superficie chiusa di un solo fornitore: un'app, su due piani consumer, in un solo paese, dietro una coda. Il modello su cui è stata costruita non lo è. Claude Opus 5.5 oggi è raggiungibile tramite un'API, il che significa che un team che vuole prove di come il modello si comporta sul proprio lavoro può ottenerle senza una decisione MDM, un upgrade del piano o una revisione di sicurezza di un'app che non ha documentazione per gli amministratori.

OrcaRouter offre Claude Opus 5.5 a 4,00 $ per milione di token di input e 20,00 $ per milione di token di output, con una finestra di contesto da 1M di token e letture dalla cache a 0,20 $ per milione. Non c'è alcun ricarico sul prezzo di listino del provider, quindi una variazione di prezzo del fornitore si riflette dalla nostra parte lo stesso giorno, e una sola chiave compatibile OpenAI dà accesso a oltre 200 modelli con failover automatico tra provider. Per un progetto pilota la forma concreta è tutt'altro che glamour: una chiave API, un client già esistente e una settimana di attività reali, un modo molto più economico per scoprire se un agente costruito su questo modello è utile al tuo team rispetto ad aspettare in una lista d'attesa per scoprirlo.

Per essere precisi sul confine, dato che è il tipo di cosa che viene fraintesa: OrcaRouter non ospita Claude Duet, Claude Cowork, Claude Code o Claude Security. Quelli sono prodotti Anthropic. Quello che è disponibile qui è il modello, che è una cosa diversa dall'app che lo avvolge — e per un progetto pilota, spesso l'unica parte che ti serviva testare.

Cosa dovrebbe leggere un revisore della sicurezza, in ordine

Quattro documenti sostengono l'argomentazione, e tutti e quattro sono di prima parte. Il framework trustworthy-agents è il livello di policy, e Anthropic osserva che guida anche Claude Code e Claude in Chrome, quindi è la posizione generale dell'azienda anziché una specifica di Duet. Il design delle credenziali di Claude Managed Agents è la base tecnica dell'affermazione "non vede mai le tue password", e leggerlo è il modo in cui decidi se credere a tale affermazione. La ricerca su browser-use è l'origine delle difese contro l'iniezione di prompt, ed è il documento più rilevante per chiunque tema che un agente legga pagine web ostili per conto di un utente. Il programma pubblico di bug bounty è la garanzia continua, e il suo ambito ti dice cosa Anthropic è disposta a far testare.

Anthropic ha dichiarato che «condividerà maggiori dettagli su come Claude Duet è progettato per la sicurezza nei prossimi giorni». Quel documento non esisteva quando questo è stato scritto. Quando apparirà, sarà la prima cosa da leggere, perché è l'unica fonte prevista che potrebbe colmare il divario tra «i controlli sono descritti» e «i controlli sono specificati».

Cosa cambierebbe questa valutazione?

Quattro pubblicazioni farebbero passare Duet da uno strumento individuale a qualcosa su cui un team può standardizzarsi, e nessuna di esse esiste ancora. Un'interfaccia di amministrazione con un interruttore a livello di organizzazione e accesso basato sui ruoli, in linea con quanto Cowork già documenta. Una dichiarazione sull'identità — se l'app supporta il single sign-on SAML e il provisioning SCIM, e come viene revocato l'accesso di un dipendente che se ne va. Documentazione sulla gestione dei dispositivi, che copra Intune o qualsiasi altro MDM, incluso ciò che una cancellazione remota rimuove effettivamente. E una data di disponibilità per Team o Enterprise con un prezzo associato.

Finché non compare nessuno di questi elementi, l'accurato riepilogo interno è breve: i controlli per utente sono documentati in modo insolitamente accurato per una preview, i controlli a livello di tenant non sono pubblicati affatto e alla domanda sul deployment non c'è alcuna risposta ufficiale. Un team di sicurezza che lo mette per iscritto ora non dovrà ritrattarlo in seguito, e un team che vuole valutare il modello sottostante non deve attendere nulla di tutto ciò.