等了三年的 AI 主动开口,终于来了:Claude Duet 上线,AI 助手从＂＂变成＂同事＂

当 6000 个连接器、自己的虚拟机和"先斩后奏"的权限同时具备，软件的交互范式正在被重写一遍。

昨天夜里，Anthropic 上线了一个独立 App：Claude Duet。

它不长得像聊天框。它更像一个刚入职的助理——你早上打开手机，它已经把昨晚的邮件、未付的发票、Slack 里@你的消息整理好，放在一份晨报里推给你；你说一句"把上个季度的账理一下"，它就自己去 QuickBooks 和 Stripe 里翻数据、算完、起草结论；你人不在电脑前，它也不停，因为它跑在一台属于它自己的云端虚拟机里，带着自己的浏览器。

按 Anthropic 的说法，Duet 基于 Opus 5.5，接入了 Claude Marketplace 里超过 6000 个连接器和插件，覆盖 Gmail、Slack、QuickBooks、Stripe、Gusto、LinkedIn、HubSpot、Canva、Shopify、DocuSign 这类办公与商业服务。它继承你在 Claude 里的记忆、Skills 和已连接的应用，换句话说，你不用重新配置一遍"我是谁"。

这件事的分量，不在于功能有多酷，而在于它把过去三年 AI 行业一直挂在嘴上、却始终没落地的一句话——"AI 应该主动干活，而不是等你提问"——第一次变成了一个普通人能装进手机的产品。

一、从"你问我答"到"它先开口"：交互范式的断裂

过去十年，软件的交互逻辑是"人发起、机器响应"。你打开 App，点按钮，填表单，机器执行。这是人机协作的默认契约。

而过去两年的大模型，把这件事撕开了一个口子：对话式交互让人第一次不用记菜单位置、不用点按钮，直接用自然语言就能"指挥"软件。但它始终有个隐含前提——回合制。你不说话，它就不动；你问了，它才答。这个前提让大模型看起来更像一个更聪明的搜索框，而不是一个同事。

Duet 打破的正是这个前提。它的产品逻辑是"监控 + 判断 + 推送 + 待办"：系统每隔几小时检查一次你授权的应用，识别哪些事需要你 attention，主动排序、主动起草、主动通知，等你回来做决定。

这是个从"被动工具"到"主动代理"的角色切换。工具等你调用，代理自己找事。

对普通用户来说，这种变化的体感极其直接：

• 你不再是 AI 的提问者，而是 AI 的被通知者；

• 你的工作节奏开始被 AI 反过来安排——不是你在找信息，而是信息在找你；

• 过去你打开 AI 是为了"问出答案"，现在你打开 AI 是为了"确认它干了什么"。

后者的心智负担更小，但也更微妙：你必须重新建立对它的信任——它有没有漏看？它把紧急的事判断对了吗？

二、真正的门槛不是模型，是"授权—支付—审计"这套账

Duet 最值得抄作业的部分，恰恰不是它的模型，而是它的权限设计。

Anthropic 的做法是一套清晰的三层边界：

这条设计线画得非常清楚：可读、可写、可提交、可花钱，是四档完全不同的权限。能被授权，也能被撤销，也能被审计。

对比一下市面上的很多"智能体"演示——那些看起来无所不能、实际上让人不敢开箱的 Demo——差别就在这里。Demo 卖的是"能做什么"，产品卖的是"敢让它做什么"。

对企业的含义因此变了。过去两年 CIO 们对 AI 最大的顾虑不是模型不行，而是"不敢给权限"：给多了出事，给少了没用。Duet 提供的答案是分级授权 + 逐次审批 + 全程留痕，这比"我们家的 Agent 什么都能干"要可靠得多。

另一层含义在算力。云端常驻的智能体，不再是"瞬时峰值"式消耗，而是常驻占用 + 弹性调度：一台自己的虚拟机、一个自己的浏览器、长上下文、会话状态、支付授权状态、安全过滤状态，全都要一直挂着。企业侧要准备的不只是 GPU，还有 CPU 沙箱、存储、网络出口、浏览器集群、安全隔离和任务编排。这对做云、做过渡、卖基础设施的人，是实打实的新增预算。

三、如果你在做 AI 产品：用户期待值已经被抬高了

这条对做产品的人最要紧。

用户一旦见识过"AI 主动给我发晨报"，再回到那个等着你在输入框里敲字的工具，耐心会肉眼可见地下降。你的产品如果还需要用户先想到、先开口、先授权，它就有被跳过的风险。

这不是"要不要加个主动推送"的 功能点问题，而是一次产品重心的迁移：从设计"输入框能做什么"，变成设计"它在我不看的时候替我做了什么、怎么告诉我、哪些事它不能碰"。

给做自动化的人三条具体的建议：

• 从"事件触发"升级到"意图触发"
  定时轮询任务列表不是主动智能体，理解"我关心什么"并判断优先级才是。

• 把"不可逆"设计成一等公民
  哪些动作要审批、审批怎么呈现、批错了怎么撤回，这套 UX 的价值不比模型能力低。

• 信任是分批给的
  Duet 现阶段只对美国 Pro/Max 开放候补，团队版和企业版都进不去；Anthropic 自己也承认它会误读对话、会误判紧急程度、两次检查之间的更新可能漏掉，订票这类个人事务还做不好。别一上来就给全量授权，先小步跑、看得见日志，再逐步放开——这也是产品该给用户的默认姿态。

四、同一天，还有三件事值得记

• PHP 被 AI 挖出两个高危远程代码执行漏洞
  CVSS v4.0 评分 9.2，影响 5.4 到 8.5 版本，由 GPT-5.6 Sol 在"Patch the Planet"计划中发现、Wiz 独立复现，PHP 官方 10 月 21 日发布 8.5.12 等四个安全更新，CISA 与 NSA 发出紧急警告。同一周 LiteLLM 也遭遇供应链攻击，恶意版本被下载约 4.9 万次。AI 既在造漏洞，也在补漏洞，攻防两端的速度都被拉快了。

• 本地 AI 编码模型开源
  Recursive 发布 Flint-40B-A2B，Apache 2.0 协议，MoE 架构每次激活 25 亿参数，MacBook Pro 上 125+ tokens/s，由自动化科研系统 Eureka Machine 参与研发，不到 4 个月完成全流程。本地跑 Coding Agent 的门槛在快速下降。

• 中国拟将 23 项 AI 技术纳入出口管制
  含大模型、智能体、算力集群；API 调用与 SaaS 等商业服务不属于技术出口范围。DeepSeek、MiniMax 等已完成登记与开源授权。这意味着智能体和算力集群，已经进入技术贸易的敏感清单。

写在最后

Claude Duet 还远谈不上成熟：只对美国 Pro/Max 用户候补、跟主产品共用额度、可能误判紧急程度、看不到它操作浏览器的过程。

但方向已经清楚了。过去我们打开软件是为了让它办事，现在打开软件是为了看它办完了什么。 这中间的差别，不是加一个按钮，是软件的角色变了——从工具变成同事。

同事意味着什么？意味着它会主动开口、会犯错、需要你复核，也意味着你得把一部分判断权交出去。

一个还不完美的 Duet，比一百个完美的聊天框更值得注意。因为方向一旦确定，剩下的都只是时间问题。