Claude Duet: Was Anthropics neuer Agent allein darf und wann er fragt

Seit dem 21. Oktober testen Nutzer in den USA einen Agenten, der sich meldet, bevor sie ihn fragen. Claude Duet schickt morgens eine Übersicht, etwa aus Postfach, Slack und Buchhaltung, und schaut danach alle paar Stunden in die verbundenen Apps. Aufgaben erledigt er auf einem eigenen Rechner in der Cloud, auch wenn dein Laptop zugeklappt ist. Für alle, die selbst Agenten bauen, steht das Wichtigste in einem Satz der Ankündigung von Anthropic: Duet liest, entwirft und bereitet Arbeit allein vor. Bevor er eine Nachricht sendet, zahlt, ein Dokument unterschreibt oder etwas löscht, zeigt er die genaue Aktion und wartet auf deine Freigabe.

Was Duet macht

Anthropic richtet Duet an Selbstständige und kleine Unternehmen, die mehr im Blick behalten müssen, als sie schaffen. Der Agent läuft auf Claude Opus 5.5 und übernimmt Gedächtnis, Skills und verbundene Apps aus dem Claude-Konto. Genannt werden unter anderem Gmail, Slack, QuickBooks, Stripe, HubSpot und DocuSign. Die Aufgaben reichen vom Termin bis zum Dashboard oder einer Umsatzprognose. Ist etwas fertig oder braucht eine Entscheidung, meldet sich Duet zurück.

Vorerst bleibt das ein Test im kleinen Kreis. Zugang gibt es über eine Warteliste, und die steht nur Pro- und Max-Kunden in den USA offen. Team- und Enterprise-Pläne sollen später folgen, ein Datum nennt Anthropic nicht. Einen Aufpreis verlangt Anthropic in der Testphase nicht, die Hintergrund-Checks verbrauchen aber das normale Kontingent des Abos. Deshalb prüft Duet nur alle paar Stunden.

Drei Stufen statt eines Schalters

Spannend ist, wie Anthropic die Rechte staffelt. Zur ersten Stufe gehört alles, was nach außen nichts bewirkt: lesen, zusammenfassen, Entwürfe schreiben, eine Prognose rechnen. Das erledigt Duet ohne Rückfrage. Die zweite Stufe bilden die vier Aktionen mit Folgen. Hier zeigt der Agent, was er vorhat, etwa den fertigen Text an einen bestimmten Empfänger, und wartet. Antwortest du nicht sofort, arbeitet er laut Hilfe-Seite am Rest der Aufgabe weiter und legt dir die Freigabe später wieder vor.

Die dritte Stufe bleibt gesperrt, auch mit Freigabe. Anthropic nennt als Beispiele den Handel mit Wertpapieren und Überweisungen zwischen Konten, die Hilfe-Seite zusätzlich den Zugriff auf das Konto einer anderen Person. Eine vollständige Liste gibt es nicht. Bei Einkäufen über Stripe Link kommt eine eigene Sicherung dazu. Du bestätigst den Betrag in der Link-App, bezahlt wird mit einer Einmalkarte, die nur für diesen Händler und diesen Betrag gilt. Die volle Kartennummer bekommt Claude nicht zu sehen.

Wo sich Freigaben abschalten lassen

Ganz starr ist die Regel nicht. Laut einem Sicherheitsbeitrag, den Anthropic am 23. Oktober nachgereicht hat, kennt Duet die Einstellung „nicht mehr fragen“. Für Zahlungen und Geldsendungen, das Löschen einer Bestellung und das Anlegen eines Kontos gilt sie ausdrücklich nicht. Dort fragt der Agent jedes Mal. Ähnliche Schalter hat auch die Konkurrenz. Bei OpenAI Dots legen Nutzer eigene Regeln an, mit denen sie Aktionen erlauben, sperren oder freigabepflichtig machen. Grok Bot von xAI kennt Regeln, die passende Aktionen automatisch freigeben. Meta Muse bietet beim Bestätigen ein „Always allow“ an.

Was diese Option anrichten kann, hat der YouTuber Matt Robb Ende September geschildert. Er ließ Muse seine Nachrichten zu einem Angebot auf dem Facebook Marketplace beantworten und klickte dabei auf „Allow Always“. Dabei ging er davon aus, dass Muse vor einer Zusage noch einmal fragt. Nach seiner Darstellung nahm der Agent stattdessen ein niedriges Angebot an und schickte dem Käufer die Abholadresse. Später stand der Käufer vor seiner Tür. David Singleton von Meta schrieb dazu, frühere Prüfungen ähnlicher Fälle hätten gezeigt, dass Muse direkten Anweisungen gefolgt sei und korrekt um Erlaubnis gefragt habe. Robbs Fall wollte er sich ansehen. Ob Fehler oder Missverständnis, das Muster ist dasselbe: Die Freigabe war erteilt, nur verstand Robb darunter etwas anderes als der Agent.

Warum wenige Freigaben mehr schützen

Auf den ersten Blick wirkt es knapp, nur an vier Stellen nachzufragen. Anthropic hat aber gute Gründe, die Freigaben knapp zu halten. Bei Claude Code, Anthropics Werkzeug fürs Programmieren, bestätigen Nutzer laut einer Auswertung von Anthropic 93 Prozent der Freigabe-Abfragen. In einem Text über vertrauenswürdige Agenten schreibt das Unternehmen, wiederholte Abfragen würden lästig und Nutzer blendeten sie manchmal aus. Eine Freigabe, die man im Vorbeigehen bestätigt, schützt kaum mehr als gar keine.

Ein Preprint des Forschers Emre Turan vom Juni geht noch weiter. Er rechnet mit einem Prüfer, der mit jeder Abfrage müder wird. Sein Schluss: Mehr Eskalationen können ein System unsicherer machen. Begutachtet ist die Arbeit noch nicht, und sie stützt sich auf 125 von Hand bewertete Aktionen. Als Denkanstoß taugt sie trotzdem, weil sie zu dem passt, was ich bei der Verifizierungssteuer beschrieben habe: Prüfen kostet Aufmerksamkeit, und davon gibt es im Arbeitsalltag wenig.

Was ich bei meinen eigenen Agenten gelernt habe

Für eine PR-Agentur habe ich einen Agenten gebaut, der Medien recherchiert und Anschreiben entwirft. In einer frühen Version endete jeder Schritt mit derselben Frage: ausführen? Zuerst ging es um Entwürfe, am Ende der Kette um den Versand. Derselbe Klick schickte dann alle Mails eines Verteilers auf einmal ab. So gingen 14 Anschreiben an Redaktionen. Gegengelesen waren sie, verschickt werden sollten sie zu diesem Zeitpunkt aber noch nicht. Seitdem sind Entwerfen und Versenden getrennt, und der Knopf für den Versand heißt „Jetzt senden“.

Duet macht diese Trennung zur Grundregel. Entwürfe darf der Agent anlegen, so viele er will. Alles, was nach außen geht, braucht standardmäßig einen eigenen, bewussten Schritt, und bei Geld bleibt dieser Schritt Pflicht.

Was belegt ist und was offen bleibt

Die Angaben zu Funktionen und Freigaben stammen aus Anthropics Ankündigung, der Hilfe-Seite und dem Sicherheitsbeitrag vom 23. Oktober. Demnach läuft die Prüfung vor einer Freigabe außerhalb des Modells, das die Arbeit erledigt. Versteckte Anweisungen auf einer Webseite sollen sie deshalb nicht aushebeln. Ein externes Sicherheitsunternehmen hat Duet mit Zugang zum Quellcode getestet, ein zweiter Test für den Cloud-Browser und das Anmeldeformular läuft noch. Zahlen zu Fehlerquoten oder Vorfällen nennt Anthropic keine. Das Unternehmen schreibt selbst, die Schutzmechanismen würden gelegentlich etwas übersehen oder eine harmlose Nachricht blockieren.

Belastbare unabhängige Tests habe ich bis zum 27. Oktober nicht gefunden, die Beispiele auf der Produktseite hat Anthropic selbst ausgewählt. Laut Anthropic kann Duet einen Verlauf falsch lesen und Dringlichkeit falsch einschätzen. Den Browser des Agenten kannst du weder beobachten noch übernehmen, und Microsoft 365 lässt sich noch nicht anbinden.

Offen ist, wann Duet nach Europa kommt und zu welchen Bedingungen. Für Pro und Max gelten Anthropics Regeln für Privatkunden. Verlauf und Gedächtnis speichert Duet, bis du sie löschst. Ob Daten ins Training fließen und wie lange der Cloud-Rechner sie hält, beschreibt Anthropic für Duet bisher nicht. Ob sich Duet im Unternehmen datenschutzkonform einsetzen ließe, kann deshalb noch niemand seriös sagen. Bei OpenAI ist die Lage gemischt: Für Pro-Kunden im Europäischen Wirtschaftsraum, in der Schweiz und in Großbritannien gibt es Dots vorerst nicht, für Business Premium dagegen in allen unterstützten Regionen.

So baust du das Muster selbst

In Deutschland, Österreich und der Schweiz gibt es Duet vorerst nicht. Das Prinzip dahinter kannst du übernehmen. In n8n erzwingst du für einzelne Werkzeuge eines KI-Agenten eine menschliche Prüfung. Der Workflow hält dann an und zeigt, welches Werkzeug der Agent mit welchen Werten nutzen will. Freigeben lässt sich über Slack, Teams, Gmail, Telegram oder den n8n-Chat.

Wie ich solche Kontrollpunkte grundsätzlich plane, steht auf meiner Seite zur KI-Automation mit Kontrolle. Ein Risiko fängt keine Freigabe ganz auf: Anweisungen, die in eingehenden Mails oder Webseiten versteckt sind. Darum ging es im Beitrag über Prompt Injection bei Grok.

Fang mit einer Liste an. Nimm einen Agenten oder Workflow, der nach außen wirkt, und schreib jede Aktion in eine von drei Spalten: darf allein, braucht Freigabe, gesperrt. In die mittlere Spalte gehört nur, was Folgen hat, also Versand, Zahlung, Unterschrift und Löschen. Was gesperrt sein soll, bekommt der Agent gar nicht erst als Werkzeug oder Zugang. Die Freigabe-Nachricht zeigt den Empfänger und den fertigen Text oder den Betrag, damit niemand blind bestätigt.