Claude Duet for Teams：管理员实际能控制什么

IT 团队在评估一款新的智能体应用时，首先会问它能否部署到受管笔记本电脑上。对于 Claude Duet——Anthropic 围绕 Claude Opus 5.5 打造、具备主动性的智能体——截至 2026 年 10 月 21 日，答案是公司尚未就此发布任何内容。无论是公告页还是产品页，都没有 Intune 文档、没有 MDM 配置文件、没有受管设备部署指南，也没有关于移动设备管理的任何说明。这是记录中的空白，而非已知缺陷——但本月撰写的任何内部说明都应在第一行写明这一点，以免有人因为该应用以原生二进制形式发布，就假定它可以部署。

页面所描述的，是一组内嵌于产品之中、而非凌驾于产品之上的控制措施：体现在凭据的处理方式中，体现在对操作进行把关的分类器中，也体现在即使用户点击批准也仍属禁区的事项清单里。这些控制措施真实存在且有文档记录。它们还是按用户而非按租户生效的，而这一区别决定了安全团队是能够批准团队级推广，还是只能批准个人试点。

哪些内容是已发布的，哪些内容根本不存在

Duet 的可用范围情况很简单。Duet 是研究预览版，仅限美国，包含在 Pro 和 Max 套餐中，使用与 Claude 其他功能相同的使用限额。它以独立应用的形式在 iOS 和 Android 上运行，也可在 claude.ai 上使用。Anthropic 尚未公布 Team 或 Enterprise 可用性的日期，也未发布 Duet 专用 API——它是消费级应用，不是平台产品。

除此之外，企业采购方通常会关注的一系列内容在两个页面上都付之阙如。没有 Duet 管理控制台。没有组织级别的开关，可以为某个租户开启或关闭 Duet。没有关于该应用的 SAML 单点登录或 SCIM 预配的说明。没有审计日志导出，没有针对 Duet 的专用保留时间表，也没有关于通过 Microsoft Intune 或任何其他 MDM 进行受管设备部署的文档。这些都不意味着相关控制措施在内部不存在；它意味着管理员无法引用它们，采购问卷也无法据此作答。

对于已经统一采用受管设备的团队来说，这是一个实际障碍，而且值得直言不讳，而不是绕开它：截至撰写本文时，尚无公开方式通过设备管理来部署、配置或远程擦除 Claude Duet。需要在采用前具备这一能力的团队，等待的是尚不存在的文档，而不是某个有人忘了提及的功能开关。

凭证设计是已发表的最强主张

对IT读者来说，Duet页面上最有用的那段话是关于密码的。Anthropic表示，Claude Duet对凭据的处理“沿用了我们为Claude Managed Agents采用的设计，因此它永远不会直接看到你的密码或登录令牌”。以管理员的视角来读，这其实是在说明影响范围：这个应用本身并非凭据存储库，因此即便应用被攻破，也不会交出一批可重复使用的密钥，从而无需在每个已接入的服务上逐一轮换这些密钥。

同样的设计也出现在支付中。购买通过 Stripe 的 Link 数字钱包完成，其中 Duet 确认商品，Link 要求用户批准这笔支出，付款通过虚拟卡完成，因此真实卡号不会被共享。Shopify 的 Shop Pay 也按同样的模式得到支持，Anthropic 表示即将支持用保存在 1Password 中的登录信息登录网站。这个模式是一致的——应用请求钱包或密码管理器来执行操作，而不是自己持有密钥。

有一个后果值得提醒财务部门，而不是 IT 部门：该流程中的支出审批归属于个人钱包，而非组织策略。卡片限额是 Link 的设置。它不是 Duet 的设置，而且页面上没有任何内容表明管理员能够查看或限制用户 Duet 会话的支出额度。

两个分类器，以及一份它不会做的事情清单

Duet 自带一层安全机制，页面对此的描述比大多数发布文章都要详细。专用的分类器和安全系统提示词会检查每条消息，并防范敏感信息泄露。其设计意图是拒绝分享“最严格层级的信息，包括信用卡号和政府身份证件”的请求。其他敏感材料，例如健康信息或个人财务状况，只有在用户明确指示 Duet 发送时才会被放行。

行动是分别设限的。Anthropic 表示，各项行动由其自动模式分类器批准，“这一保障机制与保护 Claude 和 Claude Code 免于执行你未要求的操作的是同一套”。在此基础上还有一道人工关卡：在 Duet 发送消息、进行付款、签署文件或删除任何内容之前，它会展示即将执行的操作，然后等待。

接下来是政策审查中最关键的部分——无论是否征得同意都会被拒绝的操作。Anthropic 列出了两项：交易证券和在账户之间转移资金。即使获得批准，这些操作也不被允许。用户还可以断开 Duet 有权访问的任何应用，这是该页面所描述的最接近针对单个连接的紧急切断开关的做法。

这一切背后的保证，是以安全团队能够据此开展工作、却无法进行审计的层面来陈述的：Anthropic 内部的多个红队和一家外部公司对 Duet 进行了渗透测试，提示注入防御借鉴了公司关于浏览器使用的研究，而且该产品被纳入了公开的漏洞赏金计划。对于一个研究预览版而言，这是一种合理的姿态。但它并不是一份报告，而且至今没有发布过任何报告。

现有的组织级控制措施属于 Cowork。

Anthropic 确实为某款智能体产品提供了管理功能，并且对此有相当深入的文档说明——只不过是在 Cowork 页面上，而不是 Duet 页面。人们很容易把这些控制措施直接套用到 Duet 上，但这样做是错误的，因此这里说明二者的区分。

对于 Cowork，管理员可以在管理设置中为其组织关闭该产品，并通过基于角色的访问控制来管理各团队的访问权限。在 Teams 和 Enterprise 套餐中，管理员可按团队设置访问权限、管理支出限额，并按部门控制工具权限，同时通过 OpenTelemetry 将活动流式传输到 SIEM。Enterprise 还增加了管理员控制、使用分析、Analytics API 和 OpenTelemetry 可观测性，并且页面指出 Enterprise 管理员可以配置权限以满足其安全要求。Cowork 还提供权限设置，使智能体在执行任何重要操作前展示其计划并等待确认，而删除操作始终需要审批。

那是一个完整的租户故事：一个开关、一个角色模型、一项支出控制、一个部门权限边界，以及一条遥测路径。它正是企业审阅者会拿来审查 Duet 的清单。其中没有一项是针对 Duet 说明的。合理的推断是，同一套管理机制最终会扩展到更新的产品，因为两者都是同一家公司的代理，且处于相同的账户计划中——但这只是推断，没有任何页面这样说。撰写控制评估的管理员应将 Cowork 的控制记录为 Cowork 的控制，并将 Duet 的组织控制记录为未发布。

计费是采购部门第二个会问的问题

Duet 在预览版中包含于 Pro 和 Max，使用限制与 Claude 其余部分相同。Anthropic 的产品页面列出：Pro 按年计费为每月 17 美元（预付 200 美元），或按月计费为 20 美元；Max 5x 为每月 100 美元；Max 20x 为每月 200 美元；Team 为每人每月 20 美元，适用于 2 至 150 人。页面没有说明的是，Duet 在 Team 上也可用。该页面明确指出，预览版面向美国地区的 Pro 和 Max。

用量细节比标价影响更大。Duet 的后台检查与其他所有操作一样计入相同限额，而更大的任务“需要更多模型轮次和后台工作”。一个每隔几小时检查已连接账户的智能体，按设计就是在持续消耗。对个人而言，这是套餐限额。对团队而言，这是一个预算问题，却没有公布任何管理层面的解决方案——没有按席位计费的 Duet SKU，没有公布企业费率，也没有控制台让管理者查看下属的智能体已经消耗了什么。Anthropic 自己在 Cowork 页面上的警告——智能体工作比聊天更快消耗限额——对于一个整体前提就是“你不在时它仍在工作”的产品来说，更加适用。

飞行员无需等待采购决策即可查看的内容

有一个值得点明的清晰分界，因为它能化解上面的大部分僵局。Claude Duet 是某家厂商的封闭产品面：一个应用，仅面向两个消费者套餐、一个国家/地区，还要排队。但它所围绕构建的模型并非如此。如今可以通过 API 访问 Claude Opus 5.5，这意味着，想要获得该模型在自身工作上表现如何的证据的团队，无需 MDM 决策、套餐升级，也无需对一款没有管理员文档的应用进行安全审查，就能拿到这些证据。

OrcaRouter 提供 Claude Opus 5.5，价格为每百万输入 token 4.00 美元、每百万输出 token 20.00 美元，上下文窗口为 100 万 token，缓存读取为每百万 0.20 美元。提供商目录价不加价，因此供应商调价当天就会反映到我们这边；一个兼容 OpenAI 的密钥即可访问 200+ 模型，并支持跨提供商自动故障转移。就试点而言，实际形态并不光鲜：一个 API 密钥、一个现有客户端，以及一周的真实任务；相比排队等候名单去了解结果，这是判断基于该模型构建的智能体对团队是否有用要便宜得多的方式。

关于这条界限，需要说得精确一些，因为这种事很容易被误读：OrcaRouter 并不托管 Claude Duet、Claude Cowork、Claude Code 或 Claude Security。那些都是 Anthropic 的产品。这里提供的是模型，而模型与包裹在它外围的应用是两回事——而且对于试点而言，往往你真正需要测试的只是模型这一部分。

安全审查员应按顺序阅读的内容

四份文件共同承载了这套论证，而且四份都来自第一方。可信代理框架是政策层，Anthropic 指出它还指导 Claude Code 和 Claude in Chrome，因此这是公司的总体立场，而不是 Duet 专属立场。Claude Managed Agents 的凭据设计是“永远不会看到你的密码”这一说法背后的技术依据，而阅读它，你才能判断自己是否相信这一说法。浏览器使用研究是提示注入防御措施的来源，对于任何担心代理会代表用户读取恶意网页的人来说，它是最相关的文件。公开漏洞赏金计划是持续性的保障，其范围告诉你 Anthropic 愿意让人测试哪些内容。

Anthropic表示，它“将在未来几天内分享更多关于Claude Duet如何为安全性而设计的细节”。在撰写本文时，该文件尚不存在。当它出现时，它将是首先需要阅读的内容，因为它是唯一有望弥合“控制措施已被描述”与“控制措施已被明确规范”之间差距的预期来源。

什么会改变这一评估？

四份文档将让 Duet 从个人工具转变为团队可以统一采用的产品，而它们目前都尚不存在。一个带有组织级开关和基于角色访问权限的管理界面，与 Cowork 已有文档所述一致。一份关于身份管理的说明——该应用是否支持 SAML 单点登录和 SCIM 预配，以及离职员工的访问权限如何撤销。设备管理文档，涵盖 Intune 或任何其他 MDM，包括远程擦除实际会删除哪些内容。以及附有价格的 Team 或 Enterprise 可用日期。

在其中任何一项出现之前，准确的内部总结可以很简短：对于一个预览版而言，每用户控制项的文档记录得异常完善，租户控制项则完全没有公布，而部署问题在公开记录中没有任何答案。现在就把这一点写下来的安全团队，日后就不必改口；而想要评估底层模型的团队，也不必等其中任何一项有结果。