Claude Duet cho Teams: Những gì quản trị viên thực sự có thể kiểm soát

Câu hỏi đầu tiên mà một đội CNTT đặt ra về một ứng dụng agent mới là liệu nó có thể chạy trên laptop được quản lý hay không. Với Claude Duet, agent chủ động của Anthropic được xây dựng xoay quanh Claude Opus 5.5, tính đến ngày 21 tháng 10 năm 2026, câu trả lời là công ty chưa công bố bất cứ thông tin nào về vấn đề này. Không có tài liệu Intune, không có cấu hình MDM, không có hướng dẫn triển khai trên thiết bị được quản lý và không có tuyên bố nào về quản lý thiết bị di động trên trang công bố hay trang sản phẩm. Đó là một khoảng trống trong hồ sơ thông tin chứ không phải một lỗi đã biết — nhưng nó thuộc về dòng đầu tiên của bất kỳ ghi chú nội bộ nào viết trong tháng này, trước khi bất kỳ ai cho rằng ứng dụng có thể triển khai được vì nó được phân phối dưới dạng tệp nhị phân gốc.

Những gì các trang thực sự mô tả là một tập hợp các biện pháp kiểm soát nằm bên trong sản phẩm chứ không phải bên trên sản phẩm: ở cách xử lý thông tin xác thực, ở các bộ phân loại kiểm soát hành động, và ở danh sách những thứ vẫn bị cấm ngay cả khi người dùng bấm phê duyệt. Những biện pháp kiểm soát đó là có thật và đã được ghi lại trong tài liệu. Chúng cũng được áp dụng theo từng người dùng chứ không phải theo từng tenant, và đây chính là điểm khác biệt quyết định việc một nhóm bảo mật có thể phê duyệt triển khai cho cả nhóm hay chỉ cho một thử nghiệm cá nhân.

Những gì được công bố, và những gì đơn giản là không hề có ở đó

Câu chuyện về tính khả dụng thì ngắn gọn. Duet là bản xem trước nghiên cứu, chỉ dành cho Hoa Kỳ, được bao gồm trong các gói Pro và Max, sử dụng cùng giới hạn mức dùng như phần còn lại của Claude. Nó chạy dưới dạng ứng dụng độc lập trên iOS và Android và trên claude.ai. Anthropic chưa công bố ngày khả dụng cho Team hoặc Enterprise, và chưa công bố API riêng cho Duet — đây là ứng dụng dành cho người tiêu dùng, không phải sản phẩm nền tảng.

Ngoài ra, một loạt nội dung mà người mua doanh nghiệp thường tìm kiếm đều vắng mặt trên cả hai trang. Không có bảng điều khiển quản trị Duet. Không có công tắc cấp tổ chức để bật hoặc tắt Duet cho một tenant. Không có tuyên bố về đăng nhập một lần SAML hoặc cấp phát SCIM cho ứng dụng. Không có xuất nhật ký kiểm toán, không có lịch lưu giữ riêng cho Duet và không có tài liệu về triển khai thiết bị được quản lý thông qua Microsoft Intune hoặc bất kỳ MDM nào khác. Điều đó không có nghĩa là các biện pháp kiểm soát không tồn tại nội bộ; mà có nghĩa là quản trị viên không thể viện dẫn chúng, và không thể trả lời bảng câu hỏi mua sắm dựa trên chúng.

Đối với những đội đã chuẩn hóa trên thiết bị được quản lý, đây là rào cản thực tế, và đáng nói thẳng thay vì lách đi: tính đến thời điểm viết bài, không có cách nào được công bố để triển khai, cấu hình hoặc xóa từ xa Claude Duet thông qua quản lý thiết bị. Một đội cần điều đó trước khi áp dụng đang chờ tài liệu chưa tồn tại, chứ không phải chờ một cờ tính năng mà ai đó quên nhắc đến.

Thiết kế thông tin xác thực là tuyên bố được công bố mạnh nhất.

Đoạn hữu ích nhất trên trang Duet đối với một người đọc IT là về mật khẩu. Anthropic nói rằng cách Claude Duet xử lý thông tin xác thực "tuân theo thiết kế chúng tôi sử dụng cho Claude Managed Agents, vì vậy nó không bao giờ trực tiếp nhìn thấy mật khẩu hoặc mã thông báo đăng nhập của bạn." Đọc với tư cách quản trị viên, đó là một tuyên bố về phạm vi ảnh hưởng: ứng dụng không phải là kho thông tin xác thực, vì vậy việc ứng dụng bị xâm phạm không trao đi một tập hợp các bí mật có thể tái sử dụng mà sau đó phải được luân chuyển trên mọi dịch vụ được kết nối.

Thiết kế tương tự cũng xuất hiện trong thanh toán. Các giao dịch mua diễn ra qua ví kỹ thuật số Link của Stripe, nơi Duet xác nhận mặt hàng, Link yêu cầu người dùng phê duyệt khoản chi, và thanh toán đi qua một thẻ ảo để số thẻ thật không bị chia sẻ. Shop Pay của Shopify được hỗ trợ theo cùng mô thức, và Anthropic cho biết việc đăng nhập vào các trang web bằng thông tin đăng nhập đã lưu trong 1Password sắp ra mắt. Mô thức này nhất quán — ứng dụng yêu cầu ví hoặc trình quản lý mật khẩu hành động, thay vì tự giữ bí mật.

Một hệ quả đáng báo cho bộ phận tài chính hơn là IT: việc phê duyệt chi tiêu trong luồng đó thuộc về ví của cá nhân, không phải chính sách của tổ chức. Hạn mức thẻ là một cài đặt của Link. Đó không phải là cài đặt của Duet, và không có gì trên trang cho thấy quản trị viên có thể thấy hoặc giới hạn mức mà phiên Duet của người dùng chi tiêu.

Hai bộ phân loại và danh sách những việc nó sẽ không làm

Duet đi kèm với lớp an toàn riêng, được mô tả trên trang chi tiết hơn mức mà hầu hết các bài đăng ra mắt thường làm được. Một bộ phân loại chuyên dụng và prompt hệ thống an toàn sẽ kiểm tra từng tin nhắn và ngăn ngừa rò rỉ thông tin nhạy cảm. Mục đích thiết kế là từ chối các yêu cầu chia sẻ “tầng thông tin nghiêm ngặt nhất, bao gồm số thẻ tín dụng và giấy tờ tùy thân do chính phủ cấp”. Các thông tin nhạy cảm khác, chẳng hạn như thông tin sức khỏe hoặc tài chính cá nhân, chỉ được cho phép truyền đi khi người dùng đã chỉ thị rõ ràng cho Duet gửi chúng.

Các hành động được kiểm soát riêng. Anthropic cho biết các hành động được bộ phân loại ở chế độ tự động của họ phê duyệt, “cũng chính là biện pháp bảo vệ giúp Claude và Claude Code không thực hiện những bước bạn không yêu cầu”. Trên hết là một cổng kiểm soát con người: trước khi Duet gửi tin nhắn, thực hiện thanh toán, ký tài liệu hoặc xóa bất cứ thứ gì, nó sẽ hiển thị những gì mình sắp làm và chờ đợi.

Tiếp theo là phần quan trọng nhất trong một buổi đánh giá chính sách — những hành động bị từ chối bất kể có sự đồng ý hay không. Anthropic nêu tên hai hành động: giao dịch chứng khoán và chuyển tiền giữa các tài khoản. Những điều này bị cấm ngay cả khi đã được phê duyệt. Người dùng cũng có thể ngắt kết nối bất kỳ ứng dụng nào mà Duet có quyền truy cập, đây là thứ gần nhất với một công tắc ngắt theo từng kết nối mà trang mô tả.

Sự đảm bảo đằng sau tất cả những điều này được nêu ở mức độ mà một nhóm bảo mật có thể làm việc cùng nhưng không thể kiểm toán: các red team bên trong Anthropic và một công ty bên ngoài đã kiểm thử xâm nhập Duet, các biện pháp phòng vệ chống prompt injection dựa trên nghiên cứu sử dụng trình duyệt của công ty, và sản phẩm nằm trong chương trình bug bounty công khai. Đó là một lập trường hợp lý cho một bản xem trước nghiên cứu. Đây không phải là một báo cáo, và chưa có báo cáo nào được công bố.

Các kiểm soát cấp tổ chức hiện có thuộc về Cowork.

Anthropic có bán tính năng quản trị cho một sản phẩm agent và tính năng này được ghi chép khá chi tiết — chỉ là trên trang Cowork, không phải trang Duet. Sẽ rất dễ để suy ra rằng các cơ chế kiểm soát đó cũng áp dụng cho Duet, nhưng làm vậy sẽ là sai, nên đây là sự tách biệt.

Đối với Cowork, quản trị viên có thể tắt sản phẩm cho tổ chức của mình trong Admin Settings và quản lý quyền truy cập giữa các nhóm bằng kiểm soát truy cập dựa trên vai trò. Ở các gói Teams và Enterprise, quản trị viên thiết lập quyền truy cập theo nhóm, quản lý hạn mức chi tiêu và kiểm soát quyền của công cụ theo phòng ban, với hoạt động được truyền trực tuyến đến SIEM thông qua OpenTelemetry. Enterprise bổ sung các kiểm soát dành cho quản trị viên, phân tích mức sử dụng, Analytics API và khả năng quan sát OpenTelemetry, đồng thời trang này lưu ý rằng quản trị viên Enterprise có thể định cấu hình quyền để phù hợp với yêu cầu bảo mật của mình. Cowork cũng hiển thị cài đặt quyền để tác nhân cho biết kế hoạch của mình và chờ trước khi thực hiện bất kỳ hành động quan trọng nào, và việc xóa luôn cần được phê duyệt.

Đó là một câu chuyện tenant đầy đủ: một công tắc, một mô hình vai trò, một kiểm soát chi tiêu, một ranh giới quyền hạn theo phòng ban và một đường truyền telemetry. Đó chính xác là danh sách kiểm tra mà một người đánh giá doanh nghiệp sẽ mang đến cho Duet. Không có điều nào trong số đó được nêu cho Duet. Suy luận hợp lý là cùng bộ máy quản trị đó cuối cùng sẽ mở rộng sang sản phẩm mới hơn, vì cả hai đều là tác nhân của cùng một công ty trên cùng các gói tài khoản — nhưng đó là suy luận, và không có trang nào nói vậy. Một quản trị viên viết đánh giá kiểm soát nên ghi các kiểm soát của Cowork là của Cowork, và ghi các kiểm soát tổ chức của Duet là chưa được công bố.

Thanh toán là câu hỏi thứ hai mà bộ phận thu mua đặt ra.

Duet được bao gồm trong Pro và Max cho bản xem trước, với cùng giới hạn sử dụng như phần còn lại của Claude. Trang sản phẩm của Anthropic liệt kê Pro ở mức 17 đô la Mỹ mỗi tháng khi thanh toán theo năm (trả trước 200 đô la Mỹ) hoặc 20 đô la Mỹ thanh toán hàng tháng, Max 5x ở mức 100 đô la Mỹ mỗi tháng, Max 20x ở mức 200 đô la Mỹ mỗi tháng, và Team ở mức 20 đô la Mỹ mỗi ghế mỗi tháng cho 2 đến 150 người. Điều mà trang không nói là Duet có sẵn trên Team. Trang nêu rõ rằng bản xem trước dành cho Pro và Max, tại Hoa Kỳ.

Chi tiết về mức sử dụng có hệ quả lớn hơn giá niêm yết. Các bước kiểm tra chạy nền của Duet được tính vào cùng những giới hạn như mọi thứ khác, và các tác vụ lớn hơn “cần nhiều lượt mô hình và công việc chạy nền hơn.” Một tác nhân kiểm tra các tài khoản được kết nối vài giờ một lần, theo thiết kế, đang tiêu hao liên tục. Đối với một cá nhân, đó là một giới hạn của gói. Đối với một nhóm, đó là bài toán lập ngân sách không có câu trả lời quản trị nào được công bố — không có SKU Duet tính theo ghế, không có mức giá doanh nghiệp được công bố, và không có bảng điều khiển nào để người quản lý có thể thấy tác nhân của một nhân viên cấp dưới đã tiêu thụ những gì. Cảnh báo của chính Anthropic trên trang Cowork, rằng công việc tác nhân tiêu hao giới hạn nhanh hơn trò chuyện, càng đúng hơn với một sản phẩm mà toàn bộ tiền đề là làm việc khi bạn vắng mặt.

Những gì một dự án thí điểm có thể xem xét mà không cần chờ quyết định mua sắm

Có một sự phân tách rõ ràng đáng để gọi tên, vì nó giải quyết phần lớn bế tắc ở trên. Claude Duet là bề mặt đóng của một nhà cung cấp: một ứng dụng, trên hai gói dành cho người tiêu dùng, ở một quốc gia, nằm sau một hàng đợi. Mô hình mà nó được xây dựng xoay quanh thì không. Claude Opus 5.5 hiện có thể truy cập thông qua API, nghĩa là một nhóm muốn có bằng chứng về cách mô hình thể hiện trên công việc của chính nhóm mình có thể có được nó mà không cần quyết định MDM, nâng cấp gói, hay đánh giá bảo mật đối với một ứng dụng không có tài liệu quản trị.

OrcaRouter cung cấp Claude Opus 5.5 với giá $4,00 mỗi triệu token đầu vào và $20,00 mỗi triệu token đầu ra, với cửa sổ ngữ cảnh 1 triệu token và đọc bộ nhớ đệm ở mức $0,20 mỗi triệu. Không có phụ phí trên giá niêm yết của nhà cung cấp, nên thay đổi giá từ nhà cung cấp sẽ đến phía chúng tôi ngay trong cùng ngày, và một khóa tương thích OpenAI có thể truy cập 200+ mô hình với tự động chuyển đổi dự phòng giữa các nhà cung cấp. Đối với một thử nghiệm, hình thức thực tế khá bình dị: một khóa API, một máy khách hiện có, và một tuần làm các tác vụ thực tế — một cách rẻ hơn nhiều để biết liệu một agent xây dựng trên mô hình này có hữu ích cho nhóm của bạn hay không so với việc chờ trong danh sách chờ để tìm ra.

Nói chính xác về ranh giới, vì đây là kiểu điều dễ bị hiểu sai: OrcaRouter không host Claude Duet, Claude Cowork, Claude Code hay Claude Security. Đó là các sản phẩm của Anthropic. Thứ có sẵn ở đây là mô hình, một thứ khác với ứng dụng bao quanh nó — và với một dự án thí điểm, thường chỉ là phần duy nhất bạn cần kiểm thử.

Một người đánh giá bảo mật nên đọc những gì, theo thứ tự

Có bốn tài liệu làm nên lập luận này, và cả bốn đều do chính Anthropic phát hành. Khung trustworthy-agents là lớp chính sách, và Anthropic lưu ý rằng khung này cũng định hướng Claude Code và Claude in Chrome, nên đây là lập trường chung của công ty chứ không phải lập trường riêng cho Duet. Thiết kế thông tin xác thực của Claude Managed Agents là cơ sở kỹ thuật cho tuyên bố "không bao giờ nhìn thấy mật khẩu của bạn", và đọc tài liệu đó là cách để bạn quyết định có tin tuyên bố ấy hay không. Nghiên cứu browser-use là nguồn gốc của các biện pháp phòng thủ trước prompt injection, và đây là tài liệu phù hợp nhất với bất kỳ ai lo ngại về việc một tác nhân đọc các trang web độc hại thay mặt người dùng. Chương trình bug bounty công khai là cơ chế bảo đảm liên tục, và phạm vi của nó cho bạn biết Anthropic sẵn sàng cho phép kiểm thử những gì.

Anthropic đã nói rằng họ "sẽ chia sẻ thêm chi tiết về cách Claude Duet được thiết kế để đảm bảo an toàn trong những ngày tới." Tài liệu đó chưa tồn tại vào thời điểm bài viết này được viết. Khi nó xuất hiện, đó là thứ đầu tiên cần đọc, vì nó là nguồn dự kiến duy nhất có thể thu hẹp khoảng cách giữa "các biện pháp kiểm soát được mô tả" và "các biện pháp kiểm soát được đặc tả."

Điều gì sẽ thay đổi đánh giá này?

Bốn tài liệu sẽ đưa Duet từ một công cụ cá nhân thành thứ mà cả nhóm có thể chuẩn hóa, và chưa có tài liệu nào trong số đó tồn tại. Một giao diện quản trị với công tắc cấp tổ chức và quyền truy cập theo vai trò, tương ứng với những gì Cowork đã tài liệu hóa. Một tuyên bố về danh tính — liệu ứng dụng có hỗ trợ đăng nhập một lần SAML và cấp phát SCIM hay không, và cách thu hồi quyền truy cập của một nhân viên nghỉ việc. Tài liệu quản lý thiết bị, bao gồm Intune hoặc bất kỳ MDM nào khác, kể cả việc xóa từ xa thực sự gỡ bỏ những gì. Và một ngày ra mắt của Team hoặc Enterprise kèm theo giá.

Cho đến khi bất kỳ điều nào trong số đó xuất hiện, bản tóm tắt nội bộ chính xác rất ngắn gọn: các kiểm soát theo từng người dùng được tài liệu hóa đầy đủ một cách bất thường đối với một bản xem trước, các kiểm soát cấp tenant hoàn toàn không được công bố, và câu hỏi về triển khai không có câu trả lời chính thức nào trong hồ sơ. Một đội bảo mật ghi lại điều đó ngay bây giờ sẽ không phải rút lại sau này, và một đội muốn đánh giá mô hình nền tảng không cần phải chờ bất kỳ điều nào trong số đó.