Claude Duet for Teams: O que os administradores realmente conseguem controlar

A primeira pergunta que uma equipe de TI faz sobre um novo aplicativo de agente é se ele pode ser instalado em um laptop gerenciado. Para o Claude Duet, o agente proativo da Anthropic criado em torno do Claude Opus 5.5, a resposta em 21 de outubro de 2026 é que a empresa não publicou nada sobre o assunto. Não há documentação do Intune, nem perfil de MDM, nem guia de implantação em dispositivos gerenciados, e nenhuma declaração sobre gerenciamento de dispositivos móveis na página de anúncio ou na página do produto. Isso é uma lacuna no registro, e não um defeito conhecido — mas pertence à primeira linha de qualquer nota interna escrita neste mês, antes que alguém presuma que o aplicativo pode ser implantado por ser distribuído como um binário nativo.

O que as páginas descrevem é um conjunto de controlos que estão dentro do produto, e não acima dele: na forma como as credenciais são tratadas, nos classificadores que condicionam as ações e na lista de coisas que permanecem fora dos limites mesmo quando um utilizador clica em aprovar. Esses controlos são reais e estão documentados. Também são por utilizador e não por tenant, que é a distinção que determina se uma equipa de segurança pode dar aprovação a um lançamento para equipas ou apenas a um piloto individual.

O que é publicado, e o que simplesmente não está lá

A história da disponibilidade é curta. O Duet é uma prévia de pesquisa, apenas nos Estados Unidos, incluído nos planos Pro e Max, usando os mesmos limites de uso que o restante do Claude. Ele funciona como um aplicativo independente no iOS e no Android e no claude.ai. A Anthropic não publicou uma data para disponibilidade no Team ou Enterprise, e não publicou uma API específica do Duet — é um aplicativo para consumidores, não um produto de plataforma.

Além disso, está ausente de ambas as páginas um conjunto de elementos que um comprador empresarial normalmente procuraria. Não existe uma consola de administração do Duet. Não existe um interruptor ao nível da organização para ativar ou desativar o Duet para um inquilino. Não há qualquer declaração sobre início de sessão único SAML ou aprovisionamento SCIM para a aplicação. Não há exportação de registos de auditoria, nem um plano de retenção específico do Duet, nem documentação sobre implementação em dispositivos geridos através do Microsoft Intune ou de qualquer outro MDM. Nada disto significa que os controlos não existam internamente; significa que um administrador não os pode invocar e que não é possível responder a um questionário de aquisição com base neles.

Para equipes que já padronizaram o uso de dispositivos gerenciados, este é o obstáculo prático, e vale a pena dizer isso claramente em vez de contornar: até o momento, não há uma forma publicada de implantar, configurar ou apagar remotamente o Claude Duet por meio do gerenciamento de dispositivos. Uma equipe que precisa disso antes da adoção está à espera de uma documentação que ainda não existe, e não de uma feature flag que alguém esqueceu de mencionar.

O design da credencial é a alegação publicada mais forte.

O parágrafo mais útil da página do Duet para um leitor de TI é o que trata de senhas. A Anthropic afirma que o tratamento de credenciais do Claude Duet "segue o design que usamos para o Claude Managed Agents, de modo que ele nunca vê diretamente suas senhas ou tokens de login". Lido por um administrador, isso é uma declaração sobre raio de impacto: o aplicativo não é um armazenamento de credenciais, portanto o comprometimento do aplicativo não entrega um conjunto de segredos reutilizáveis que depois teriam de ser rotacionados em todos os serviços conectados.

O mesmo design aparece nos pagamentos. As compras passam pela carteira digital Link, da Stripe, em que o Duet confirma o item, o Link pede ao usuário que aprove o gasto e o pagamento é feito por meio de um cartão virtual, de modo que o número do cartão real não é compartilhado. O Shop Pay, do Shopify, é compatível com o mesmo padrão, e a Anthropic diz que o login em sites com credenciais salvas no 1Password está por vir. O padrão é consistente — o app pede que uma carteira ou um gerenciador de senhas aja, em vez de guardar o segredo ele mesmo.

Uma consequência que vale a pena sinalizar ao financeiro, e não à TI: a aprovação de gastos nesse fluxo pertence à carteira do indivíduo, não a uma política organizacional. O limite do cartão é uma configuração do Link. Não é uma configuração do Duet, e nada na página sugere que um administrador possa ver ou limitar o que a sessão do Duet de um usuário gasta.

Dois classificadores e uma lista de coisas que ele não fará

O Duet vem com sua própria camada de segurança, descrita na página com mais detalhes do que a maioria dos posts de lançamento consegue. Um classificador dedicado e um prompt de sistema de segurança verificam cada mensagem e protegem contra vazamentos de informações sensíveis. A intenção do design é rejeitar solicitações para compartilhar "o nível mais restrito de informações, incluindo números de cartão de crédito e documentos de identificação governamentais". Outros materiais sensíveis, como informações de saúde ou finanças pessoais, só passam quando o usuário instruiu explicitamente o Duet a enviá-los.

As ações são controladas separadamente. A Anthropic diz que as ações são aprovadas pelo classificador do seu modo automático, "a mesma salvaguarda que protege o Claude e o Claude Code de executar ações que você não solicitou". Além disso, há uma etapa de aprovação humana: antes que o Duet envie uma mensagem, faça um pagamento, assine um documento ou exclua qualquer coisa, ele mostra o que está prestes a fazer e aguarda.

Então há a parte que mais importa em uma análise de política — as ações recusadas independentemente do consentimento. A Anthropic cita duas: negociar títulos e mover dinheiro entre contas. Essas ações são proibidas mesmo com aprovação. Os usuários também podem desconectar qualquer app ao qual o Duet tenha acesso, o que é a coisa mais próxima de um interruptor de bloqueio por conexão que a página descreve.

A garantia por detrás de tudo isto é apresentada a um nível com que uma equipa de segurança consegue trabalhar, mas não auditar: equipas de red team dentro da Anthropic e uma empresa externa fizeram testes de penetração ao Duet, as defesas contra injeção de prompts baseiam-se na investigação da empresa sobre utilização de navegadores, e o produto está abrangido pelo programa público de bug bounty. É uma postura razoável para uma pré-visualização de investigação. Não é um relatório, e não foi publicado nenhum relatório.

Os controles de nível de organização que existem pertencem ao Cowork

A Anthropic vende sim administração para um produto de agente, e isso está documentado com alguma profundidade — só na página do Cowork, não na do Duet. Seria fácil transpor esses controles para o Duet, e isso estaria errado, então aqui está a separação.

Para o Cowork, os administradores podem desativar o produto para sua organização nas Configurações de Administrador e gerenciar o acesso entre equipes com controles de acesso baseados em função. Nos planos Teams e Enterprise, os administradores definem o acesso por equipe, gerenciam limites de gastos e controlam as permissões de ferramentas por departamento, com streaming de atividades para um SIEM via OpenTelemetry. O Enterprise adiciona controles de administrador, análises de uso, uma Analytics API e observabilidade OpenTelemetry, e a página observa que os administradores do Enterprise podem configurar permissões para atender aos seus requisitos de segurança. O Cowork também expõe configurações de permissões para que o agente mostre seu plano e aguarde antes de qualquer ação significativa, e a exclusão sempre exige aprovação.

Essa é uma história completa de tenant: um switch, um modelo de função, um controle de gastos, um limite de permissão departamental e um caminho de telemetria. É exatamente a lista de verificação que um revisor empresarial levaria ao Duet. Nada disso é declarado para o Duet. A inferência razoável é que a mesma maquinaria administrativa acabará se estendendo ao produto mais novo, já que ambos são agentes da mesma empresa nos mesmos planos de conta — mas isso é uma inferência, e nenhuma página diz isso. Um administrador que esteja escrevendo uma avaliação de controles deve registrar os controles do Cowork como do Cowork, e registrar os controles organizacionais do Duet como não publicados.

O faturamento é a segunda pergunta que o setor de compras faz

O Duet está incluído no Pro e no Max para a prévia, com os mesmos limites de uso que o restante do Claude. A página de produto da Anthropic lista o Pro a US$ 17 por mês com cobrança anual (US$ 200 adiantados) ou US$ 20 cobrados mensalmente, o Max 5x a US$ 100 por mês, o Max 20x a US$ 200 por mês, e o Team a US$ 20 por assento por mês para 2 a 150 pessoas. O que ela não diz é que o Duet está disponível no Team. A página é explícita que a prévia é para Pro e Max, nos EUA.

O detalhe de uso é mais consequente do que o preço de tabela. As verificações em segundo plano do Duet contam para os mesmos limites que todo o resto, e tarefas maiores "exigem mais turnos do modelo e trabalho em segundo plano". Um agente que verifica contas conectadas a cada poucas horas está, por concepção, gastando continuamente. Para um indivíduo, isso é um limite do plano. Para uma equipe, é um problema de orçamento sem resposta administrativa publicada — não há SKU do Duet por assento, nem tarifa empresarial publicada, nem console no qual um gestor possa ver o que o agente de um subordinado consumiu. O próprio alerta da Anthropic na página do Cowork, de que o trabalho agêntico consome limites mais rápido que o chat, aplica-se com mais força a um produto cuja premissa inteira é trabalhar enquanto você está ausente.

O que um piloto pode analisar sem esperar por uma decisão de aquisição

Há uma divisão clara que vale a pena nomear, porque resolve a maior parte do impasse acima. O Claude Duet é a superfície fechada de um fornecedor: um app, em dois planos para consumidores, em um único país, atrás de uma fila. O modelo em torno do qual ele foi construído não é. O Claude Opus 5.5 está acessível hoje por meio de uma API, o que significa que uma equipe que quer evidências de como o modelo se comporta no próprio trabalho pode obtê-las sem uma decisão de MDM, um upgrade de plano ou uma revisão de segurança de um app que não tem documentação de administração.

A OrcaRouter oferece o Claude Opus 5.5 a US$ 4,00 por milhão de tokens de entrada e US$ 20,00 por milhão de tokens de saída, com janela de contexto de 1 milhão de tokens e leituras de cache a US$ 0,20 por milhão. Não há acréscimo sobre o preço de tabela do provedor, então uma mudança de preço do fornecedor chega até nós no mesmo dia, e uma chave compatível com OpenAI acessa mais de 200 modelos com failover automático entre provedores. Para um piloto, o formato prático é pouco glamouroso: uma chave de API, um cliente existente e uma semana de tarefas reais, o que é uma forma muito mais barata de descobrir se um agente construído com esse modelo é útil para sua equipe do que esperar em uma lista de espera para saber.

Para ser preciso sobre o limite, já que é o tipo de coisa que costuma ser mal interpretada: o OrcaRouter não hospeda Claude Duet, Claude Cowork, Claude Code ou Claude Security. Esses são produtos da Anthropic. O que está disponível aqui é o modelo, que é uma coisa diferente do aplicativo que o envolve — e, para um piloto, muitas vezes é a única parte que você precisava testar.

O que um revisor de segurança deve ler, em ordem

Quatro documentos sustentam o argumento, e todos os quatro são da própria empresa. O trustworthy-agents framework é a camada de política, e a Anthropic observa que ele também orienta o Claude Code e o Claude in Chrome, portanto é a posição geral da empresa, e não uma posição específica do Duet. O design de credenciais do Claude Managed Agents é a base técnica para a afirmação de que "nunca vê suas senhas", e lê-lo é como você decide se acredita nessa afirmação. A pesquisa sobre uso de navegador é de onde vêm as defesas contra injeção de prompt, e é o documento mais relevante para quem se preocupa com um agente lendo páginas web hostis em nome de um usuário. O programa público de bug bounty é a garantia contínua, e seu escopo mostra o que a Anthropic está disposta a que seja testado.

A Anthropic disse que "compartilhará mais detalhes sobre como o Claude Duet foi projetado para ser seguro nos próximos dias". Esse documento não existia quando isto foi escrito. Quando ele aparecer, será a primeira coisa a ler, porque é a única fonte esperada que poderia fechar a lacuna entre "os controles são descritos" e "os controles são especificados".

O que mudaria esta avaliação?

Quatro publicações fariam o Duet passar de uma ferramenta individual para algo que uma equipa pode normalizar, e nenhuma delas existe ainda. Uma interface de administração com uma opção ao nível da organização e acesso baseado em funções, correspondendo ao que o Cowork já documenta. Uma declaração sobre identidade — se a aplicação suporta início de sessão único SAML e aprovisionamento SCIM, e como é revogado o acesso de um funcionário que sai. Documentação de gestão de dispositivos, abrangendo o Intune ou qualquer outro MDM, incluindo o que um apagamento remoto realmente remove. E uma data de disponibilidade para Team ou Enterprise com um preço associado.

Até que qualquer um desses apareça, o resumo interno preciso é curto: os controles por usuário estão excepcionalmente bem documentados para uma prévia, os controles de tenant não são publicados de forma alguma, e a questão da implantação não tem resposta registrada. Uma equipe de segurança que registra isso agora não precisará voltar atrás depois, e uma equipe que deseja avaliar o modelo subjacente não precisa esperar por nada disso.