Claude Duet for Teams: Co administratorzy mogą faktycznie kontrolować

Pierwsze pytanie, jakie zespół IT zadaje w sprawie nowej aplikacji agentowej, dotyczy tego, czy można ją zainstalować na laptopie zarządzanym. W przypadku Claude Duet, proaktywnego agenta Anthropic zbudowanego wokół Claude Opus 5.5, odpowiedź na dzień 21 października 2026 r. brzmi: firma nie opublikowała na ten temat niczego. Nie ma dokumentacji Intune, profilu MDM, przewodnika wdrażania na urządzeniach zarządzanych ani żadnego oświadczenia o zarządzaniu urządzeniami mobilnymi — ani na stronie z ogłoszeniem, ani na stronie produktu. To luka w dokumentacji, a nie znana wada — ale powinna znaleźć się w pierwszym wierszu każdej notatki wewnętrznej pisanej w tym miesiącu, zanim ktokolwiek założy, że aplikację można wdrożyć, ponieważ jest dostarczana jako natywny plik binarny.

To, co strony rzeczywiście opisują, to zestaw mechanizmów kontrolnych wbudowanych w produkt, a nie stojących ponad nim: w sposobie obsługi poświadczeń, w klasyfikatorach warunkujących działania oraz w liście elementów, które pozostają niedozwolone, nawet gdy użytkownik kliknie Zatwierdź. Te mechanizmy kontrolne są rzeczywiste i udokumentowane. Są też przypisane do użytkownika, a nie do dzierżawy, co jest różnicą decydującą o tym, czy zespół ds. bezpieczeństwa może zatwierdzić wdrożenie dla całego zespołu, czy tylko pilotaż dla pojedynczego użytkownika.

Co jest publikowane, a czego po prostu nie ma

Kwestia dostępności jest krótka. Duet to podgląd badawczy, tylko w Stanach Zjednoczonych, wliczony w plany Pro i Max, z takimi samymi limitami użycia jak w pozostałej części Claude'a. Działa jako samodzielna aplikacja na iOS i Androidzie oraz na claude.ai. Anthropic nie podało daty dostępności dla planów Team i Enterprise ani nie opublikowało API dedykowanego dla Duet — to aplikacja konsumencka, a nie produkt platformowy.

Poza tym na obu stronach brakuje zestawu rzeczy, których nabywca korporacyjny zwykle by szukał. Nie ma konsoli administracyjnej Duet. Nie ma przełącznika na poziomie organizacji, który włączałby lub wyłączał Duet dla dzierżawy. Nie ma żadnego oświadczenia o logowaniu jednokrotnym SAML ani aprowizacji SCIM dla aplikacji. Nie ma eksportu dziennika audytu, nie ma harmonogramu retencji specyficznego dla Duet ani dokumentacji wdrażania na urządzeniach zarządzanych przez Microsoft Intune lub dowolny inny MDM. To nie oznacza, że mechanizmy kontrolne nie istnieją wewnętrznie; oznacza to, że administrator nie może się na nie powołać, a kwestionariusza zakupowego nie można na ich podstawie wypełnić.

Dla zespołów, które zdążyły już przyjąć standard urządzeń zarządzanych, jest to praktyczna przeszkoda — i warto powiedzieć to wprost, zamiast szukać obejść: w momencie pisania nie ma żadnego opublikowanego sposobu wdrażania, konfigurowania ani zdalnego czyszczenia Claude Duet za pośrednictwem zarządzania urządzeniami. Zespół, który potrzebuje tego przed wdrożeniem, czeka na dokumentację, której jeszcze nie ma, a nie na flagę funkcji, o której ktoś zapomniał wspomnieć.

Design poświadczeń jest najsilniejszą opublikowaną tezą.

Najbardziej przydatny akapit na stronie Duet dla czytelnika z działu IT dotyczy haseł. Anthropic twierdzi, że obsługa danych uwierzytelniających przez Claude Duet „jest zgodna z projektem, którego używamy dla Claude Managed Agents, więc nigdy nie widzi bezpośrednio Twoich haseł ani tokenów logowania”. W oczach administratora to stwierdzenie o zasięgu skutków: aplikacja nie jest magazynem danych uwierzytelniających, więc jej przejęcie nie oddaje zestawu wielokrotnego użytku sekretów, które następnie trzeba by rotować we wszystkich podłączonych usługach.

To samo rozwiązanie pojawia się w płatnościach. Zakupy przebiegają przez cyfrowy portfel Link firmy Stripe, gdzie Duet potwierdza przedmiot, Link prosi użytkownika o zatwierdzenie wydatku, a płatność jest realizowana za pomocą wirtualnej karty, dzięki czemu prawdziwy numer karty nie jest udostępniany. Shop Pay firmy Shopify jest obsługiwany według tego samego wzorca, a Anthropic zapowiada, że logowanie do stron za pomocą danych logowania zapisanych w 1Password jest w drodze. Wzorzec jest spójny — aplikacja prosi portfel lub menedżera haseł o działanie, zamiast sama przechowywać sekret.

Jedna konsekwencja warta zgłoszenia raczej finansom niż działowi IT: zatwierdzenie wydatku w tym przepływie należy do portfela danej osoby, a nie do polityki organizacyjnej. Limit karty to ustawienie Link. Nie jest to ustawienie Duet i nic na stronie nie sugeruje, że administrator może zobaczyć lub ograniczyć to, co wydaje sesja Duet użytkownika.

Dwa klasyfikatory i lista rzeczy, których nie zrobi

Duet jest dostarczany z własną warstwą bezpieczeństwa, opisaną na stronie szczegółowiej, niż w większości postów premierowych. Dedykowany klasyfikator i prompt systemowy bezpieczeństwa sprawdzają każdą wiadomość i chronią przed wyciekiem informacji wrażliwych. Zamierzeniem projektowym jest odrzucanie próśb o udostępnienie „najściślejszego poziomu informacji, w tym numerów kart kredytowych i dokumentów tożsamości wydawanych przez rząd”. Inne wrażliwe materiały, takie jak informacje o zdrowiu lub finanse osobiste, są przepuszczane tylko wtedy, gdy użytkownik wyraźnie polecił Duetowi je wysłać.

Działania są kontrolowane osobno. Anthropic twierdzi, że działania są zatwierdzane przez jego klasyfikator trybu automatycznego, „ten sam mechanizm zabezpieczający, który chroni Claude'a i Claude Code przed podejmowaniem kroków, o które nie prosiłeś”. Do tego dochodzi kontrola człowieka: zanim Duet wyśle wiadomość, dokona płatności, podpisze dokument lub cokolwiek usunie, pokazuje, co zamierza zrobić, i czeka.

Potem jest część, która ma największe znaczenie w przeglądzie polityki — działania, których odmawia się niezależnie od zgody. Anthropic wymienia dwa: handel papierami wartościowymi i przenoszenie pieniędzy między kontami. Są one niedozwolone nawet po zatwierdzeniu. Użytkownicy mogą także odłączyć dowolną aplikację, do której Duet ma dostęp, co jest najbliższym odpowiednikiem wyłącznika bezpieczeństwa dla pojedynczego połączenia, jaki opisuje strona.

Zapewnienia stojące za tym wszystkim są sformułowane na poziomie, z którym zespół bezpieczeństwa może pracować, ale którego nie może audytować: zespoły red team wewnątrz Anthropic i zewnętrzna firma przeprowadziły testy penetracyjne Duet, zabezpieczenia przed wstrzykiwaniem promptów opierają się na badaniach firmy nad korzystaniem z przeglądarki, a produkt jest objęty publicznym programem bug bounty. To rozsądne podejście w przypadku podglądu badawczego. To nie jest raport i żaden raport nie został opublikowany.

Istniejące mechanizmy kontroli na poziomie organizacji należą do Cowork.

Anthropic rzeczywiście oferuje administrację dla produktu agentowego i jest ona dość szczegółowo udokumentowana — tyle że na stronie Cowork, a nie Duet. Łatwo byłoby przenieść te mechanizmy kontroli na Duet, ale byłoby to błędne, więc oto rozdzielenie.

W przypadku Cowork administratorzy mogą wyłączyć produkt dla swojej organizacji w Admin Settings i zarządzać dostępem w zespołach za pomocą kontroli dostępu opartych na rolach. W planach Teams i Enterprise administratorzy ustawiają dostęp według zespołu, zarządzają limitami wydatków i kontrolują uprawnienia narzędzi według działu, a aktywność jest przesyłana strumieniowo do SIEM za pośrednictwem OpenTelemetry. Enterprise dodaje kontrolę administracyjną, analitykę użycia, Analytics API i obserwowalność OpenTelemetry, a strona wskazuje, że administratorzy Enterprise mogą skonfigurować uprawnienia zgodnie z wymaganiami bezpieczeństwa. Cowork udostępnia również ustawienia uprawnień, dzięki czemu agent pokazuje swój plan i czeka przed podjęciem jakichkolwiek istotnych działań, a usunięcie zawsze wymaga zatwierdzenia.

To pełna historia dzierżawcy: przełącznik, model ról, kontrola wydatków, granica uprawnień działowych i ścieżka telemetrii. To dokładnie ta lista kontrolna, którą recenzent korporacyjny przyniósłby do Duet. Żaden z tych elementów nie jest określony dla Duet. Rozsądne domniemanie jest takie, że ta sama maszyneria administracyjna ostatecznie rozszerzy się na nowszy produkt, ponieważ oba są agentami tej samej firmy w ramach tych samych planów kont — ale to jest domniemanie i żadna strona tego nie mówi. Administrator piszący ocenę kontroli powinien odnotować kontrolki Cowork jako należące do Cowork, a kontrolki organizacyjne Duet jako nieopublikowane.

Rozliczenia to pytanie, które dział zakupów zadaje w drugiej kolejności.

Duet jest uwzględniony w planach Pro i Max w wersji zapoznawczej, z takimi samymi limitami użycia jak pozostała część Claude. Strona produktowa Anthropic podaje Pro za 17 USD miesięcznie przy rozliczeniu rocznym (200 USD z góry) lub 20 USD przy rozliczeniu miesięcznym, Max 5x za 100 USD miesięcznie, Max 20x za 200 USD miesięcznie, a Team za 20 USD za miejsce miesięcznie dla od 2 do 150 osób. Nie mówi natomiast, że Duet jest dostępny w Team. Strona wyraźnie wskazuje, że wersja zapoznawcza obejmuje Pro i Max, w USA.

Szczegóły zużycia mają większe znaczenie niż cena katalogowa. Sprawdzanie w tle w Duet liczy się do tych samych limitów co wszystko inne, a większe zadania „wymagają więcej rund modelu i pracy w tle”. Agent, który co kilka godzin sprawdza połączone konta, z założenia zużywa zasoby w sposób ciągły. Dla osoby indywidualnej to limit planu. Dla zespołu to problem budżetowy, na który nie opublikowano rozwiązania administracyjnego — brak SKU Duet rozliczanego za stanowisko, brak opublikowanej stawki enterprise i brak konsoli, w której menedżer mógłby zobaczyć, ile zużył agent podwładnego. Ostrzeżenie samego Anthropic na stronie Cowork, że praca agentowa zużywa limity szybciej niż czat, odnosi się z jeszcze większą mocą do produktu, którego cała idea polega na pracy pod nieobecność użytkownika.

Czemu pilotaż może się przyjrzeć, nie czekając na decyzję o zamówieniu

Istnieje wyraźny podział, który warto nazwać, ponieważ rozwiązuje większość powyższego impasu. Claude Duet to zamknięta powierzchnia jednego dostawcy: aplikacja, w dwóch planach konsumenckich, w jednym kraju, za kolejką. Model, wokół którego ją zbudowano, taki nie jest. Claude Opus 5.5 jest dziś dostępny przez API, co oznacza, że zespół, który chce dowodów na to, jak model zachowuje się w swojej własnej pracy, może je uzyskać bez decyzji MDM, aktualizacji planu ani przeglądu bezpieczeństwa aplikacji, która nie ma dokumentacji administracyjnej.

OrcaRouter oferuje Claude Opus 5.5 w cenie 4,00 USD za milion tokenów wejściowych i 20,00 USD za milion tokenów wyjściowych, z oknem kontekstu wynoszącym 1 mln tokenów i odczytem z pamięci podręcznej po 0,20 USD za milion. Nie ma marży na cenę katalogową dostawcy, więc zmiana ceny przez dostawcę przekłada się na naszą cenę tego samego dnia, a jeden klucz zgodny z OpenAI daje dostęp do ponad 200 modeli z automatycznym przełączaniem awaryjnym między dostawcami. Jeśli chodzi o pilotaż, praktyczna forma jest niezbyt efektowna: klucz API, istniejący klient i tydzień rzeczywistych zadań — to znacznie tańszy sposób, by dowiedzieć się, czy agent zbudowany na tym modelu jest przydatny dla Twojego zespołu, niż czekanie na listę oczekujących, aby się przekonać.

Mówiąc precyzyjnie o granicy, bo to rzecz, którą łatwo opacznie zrozumieć: OrcaRouter nie hostuje Claude Duet, Claude Cowork, Claude Code ani Claude Security. To produkty Anthropic. Tym, co jest tutaj dostępne, jest model — coś innego niż aplikacja, która go otacza — a w ramach pilotażu często to jedyna część, którą trzeba było przetestować.

Co recenzent ds. bezpieczeństwa powinien przeczytać, w kolejności

Cztery dokumenty stanowią podstawę tej argumentacji i wszystkie cztery pochodzą od samej firmy. Warstwą polityk jest framework trustworthy-agents, a Anthropic zauważa, że wyznacza on również zasady dla Claude Code i Claude in Chrome, więc odzwierciedla ogólne stanowisko firmy, a nie stanowisko dotyczące wyłącznie Duet. Projekt poświadczeń w Claude Managed Agents to techniczna podstawa twierdzenia, że „nigdy nie widzi twoich haseł”, a jego lektura pozwala zdecydować, czy w to twierdzenie wierzysz. Badania nad browser-use są źródłem zabezpieczeń przed prompt injection i to najbardziej istotny dokument dla każdego, kto martwi się, że agent czyta w imieniu użytkownika wrogie strony internetowe. Publiczny program bug bounty stanowi stały element zapewniania bezpieczeństwa, a jego zakres pokazuje, co Anthropic jest gotowe poddać testom.

Anthropic oświadczył, że „w nadchodzących dniach udostępni więcej szczegółów na temat tego, jak Claude Duet został zaprojektowany pod kątem bezpieczeństwa”. Ten dokument nie istniał w momencie pisania tego tekstu. Gdy się pojawi, będzie pierwszą rzeczą do przeczytania, ponieważ jest jedynym oczekiwanym źródłem, które mogłoby zasypać lukę między „kontrole są opisane” a „kontrole są wyspecyfikowane”.

Co zmieniłoby tę ocenę?

Cztery publikacje przeniosłyby Duet z narzędzia indywidualnego do czegoś, na czym zespół może się ustandaryzować, i żadna z nich jeszcze nie istnieje. Powierzchnia administracyjna z przełącznikiem na poziomie organizacji i dostępem opartym na rolach, zgodna z tym, co Cowork już dokumentuje. Oświadczenie dotyczące tożsamości — czy aplikacja obsługuje jednokrotne logowanie SAML i provisioning SCIM oraz w jaki sposób odbierany jest dostęp odchodzącemu pracownikowi. Dokumentacja zarządzania urządzeniami, obejmująca Intune lub dowolny inny MDM, w tym co faktycznie usuwa zdalne czyszczenie. Oraz data dostępności Team lub Enterprise wraz z podaną ceną.

Dopóki nie pojawi się którakolwiek z tych rzeczy, rzetelne wewnętrzne podsumowanie jest krótkie: mechanizmy kontroli na poziomie użytkownika są jak na wersję zapoznawczą wyjątkowo dobrze udokumentowane, mechanizmy kontroli na poziomie dzierżawcy nie są publikowane wcale, a kwestia wdrożenia nie ma oficjalnej odpowiedzi. Zespół ds. bezpieczeństwa, który zapisze to teraz, nie będzie musiał się z tego później wycofywać, a zespół, który chce ocenić model bazowy, nie musi czekać na żadną z tych rzeczy.