Anthropic, 클라우드 PC로 일하는 Claude Duet 미리보기 공개

Anthropic이 클라우드 컴퓨터에서 사용자 대신 일하는 에이전트 Claude Duet를 연구 미리보기로 내놓고, 안전·개인정보·보안 설계를 10월 23일자 글로 공개했다. 사용자가 Claude에 연결해 둔 앱과 서비스를 모두 쓸 수 있고, 앱을 닫은 뒤에도 계속 돌아간다.

받은 편지함을 읽고 답장 초안을 쓰며, 예약을 잡고, 사용자가 자리를 비운 사이 정해진 루틴을 실행한다. Anthropic 팀은 자기 계정으로 Claude Duet를 돌려 매일 업무에 쓴다고 밝혔다.

설계 원칙은 세 가지다. 사용자 정보와 연결 앱에서 타인이 공유한 정보를 신중히 다루는데, 이 역할은 Claude Duet가 작성한 메시지를 발송 전에 검사하는 새 분류기가 맡는다. 사용자가 에이전트의 행동을 통제하며, 비밀번호·브라우저 쿠키·로그인 토큰 같은 자격 증명은 에이전트가 보지 못한다.

Anthropic은 2025년에 안전하고 믿을 만한 에이전트의 프레임워크를 발표했고, 이후 방어 수단 하나로는 부족하다는 점과 모델 내부 보호만으로 버틸 수 없다는 점을 글로 정리했다. 기업이 에이전트를 실제 운영하는 인프라인 Claude Managed Agents에서도 자격 증명을 에이전트와 분리하는데, Claude Duet가 같은 방식을 따른다고 한다.

중요한 행동은 승인을 거친다

민감할 수 있는 메시지를 보내거나, 결제하거나, 무언가를 지우기 전에 Claude Duet는 행동 내용과 목적지, 본문, 수신자 전원을 사용자에게 보여 주고 승인을 기다린다.

모든 행동에는 별도의 자동 검사가 붙는다. Claude Code의 자동 모드 분류기를 Claude Duet용으로 확장한 것으로, 행동이 사용자의 의도와 맞는지 판단한다. 이 검사는 작업을 수행하는 모델 바깥에서 돌기 때문에 웹 페이지에 숨은 지시가 결과를 바꾸지 못한다고 Anthropic은 설명했다.

증권 거래, 계좌 간 자금 이동 같은 은행 업무, 타인 계정 접근은 사용자가 승인해도 할 수 없다. "다시 묻지 않기" 규칙은 결제나 송금, 주문 삭제, 계정 생성 같은 일부 단계에는 아무리 여러 번 승인했어도 적용되지 않는다. 사용자가 없는 동안 실행되는 루틴에도 같은 안전장치가 걸린다.

구매할 때는 Stripe의 Link 같은 지갑에서 발급한 일회용 카드로 결제한다. 카드는 해당 가맹점과 금액으로 제한된다. 사용자는 품목과 총액을 확인하고 Link 앱에서 승인하며, 실제 카드 번호는 Claude Duet나 가맹점에 전달되지 않는다.

승인을 얼마나 자주 요청할지 맞추는 데 공을 들였다고 Anthropic은 밝혔다. 요청이 너무 많으면 사용자가 내용을 충분히 보지 않고 넘기는 승인 피로가 생기기 때문이며, 이 균형은 앞으로도 조정한다.

보내기 전에 민감 정보를 걸러낸다

메일을 읽고 메시지를 대신 보내는 에이전트는 정보를 어디까지 내보낼지 계속 판단해야 한다. 팀에 주간 요약을 보내라고 하면 팀원 모두가 이미 접근할 수 있는 내용만 담고, 인사 평가 면담 같은 사적 내용은 넣지 않아야 한다.

이를 위해 주 모델과 따로 돌아가는 분류기가 발송 직전의 메시지마다 민감 정보 포함 여부를 검사한다. 정보는 두 등급으로 나뉜다. 로그인 자격 증명, 전체 카드·계좌 번호, 정부 발급 신분 번호는 사용자가 요청해도 누구에게도 공유하지 않도록 지시받았다.

건강이나 재정 같은 나머지 사적 정보는 사용자가 명시적으로 승인했을 때만 공유한다. 사용자의 요청 자체가 동의로 인정되어, "치과에 이가 아프다고 메모를 보내 줘"라는 요청은 대체로 추가 승인이 필요 없다. 두 경우 중 하나로 막히면 민감 정보를 뺀 메시지로 다시 쓸지 Claude Duet가 결정할 수 있고, 다시 쓴 메시지는 사용자에게 보여 승인을 받는다.

연구 미리보기 단계라 이 장치가 가끔 놓치거나 무해한 메시지를 막을 수 있다고 Anthropic은 인정했다. 그래서 위의 승인 절차와 함께 쓰며, 사람들의 사용 방식을 더 알게 되면 분류기를 계속 고칠 계획이다.

비밀번호와 브라우저는 모델과 분리된다

사용자는 작업 목록에서 Claude Duet가 한 일과 하는 일을 확인하고, 작업 도중 방향을 바꿀 수 있다. 작업마다 페이지가 따로 있다. 대화 기록과 메모리는 사용자가 기록을 지우거나 초기화할 때까지 남아 작업 사이에 맥락을 잇고, 계정을 삭제하면 저장된 내용이 모두 사라진다.

Claude에 연결한 앱은 Claude Duet에도 이어지며, 한쪽에서 앱을 끄면 양쪽에서 꺼진다. 연결을 끊으면 그 시점부터 새 접근은 막히지만 이미 학습한 내용은 메모리를 초기화해야 사라진다. 초기화는 앱 설정에서 언제든 할 수 있다. Claude 계정의 메모리도 함께 쓰므로 이전 대화에서 Claude가 기억한 내용이 보인다.

Claude Duet는 비밀번호, 브라우저 쿠키, 연결 앱의 로그인 토큰을 볼 수 없고 메모리에 저장할 수도 없다. 자격 증명은 모델이 접근하지 못하는 별도 머신만 거치며, 승인과 안전 검사도 그곳에서 돌아간다.

사이트가 비밀번호를 요구하면 사용자는 Claude 앱 안의 입력 양식에 직접 친다. 비밀번호는 한 번만 쓰는 키로 암호화되는데, 암호화는 사용자 기기에서 이뤄지고 그 키는 보안 클라우드 브라우저 머신에서만 열 수 있다. 암호문은 열리지 않은 채 브라우저에 넘어가고, 브라우저가 사이트에 입력한다. 모델은 비밀번호를 보지 못하고 저장하거나 되풀이할 수도 없다. 곧 1Password 로그인도 지원할 예정이다. Claude Duet가 자격 증명을 요청하면 사용자가 1Password에서 승인하고, 자격 증명은 모델을 거치지 않고 브라우저로 간다.

로그인을 대신하는 에이전트는 피싱의 양상을 두 방향으로 바꾼다고 Anthropic은 설명했다. Claude Duet는 비밀번호를 쥐고 있지 않아 속아서 내줄 수 없고, 숨은 지시로도 없는 비밀을 꺼낼 수 없다. 반면 로그인 양식 자체는 흉내 낼 수 있는 표적이 된다. 그래서 양식은 사용자가 요청한 로그인 중에 앱 안에서만 나타나며, 링크·문자·이메일이나 claude.ai가 아닌 웹사이트로는 오지 않는다. 다른 곳에서 Claude Duet를 닮은 화면이 비밀번호를 물으면 정상이 아니다.

연결 앱에서 일할 때는 Claude Managed Agents 설계를 따른다. 연결 서비스의 로그인 토큰 같은 자격 증명은 에이전트가 작업하는 머신에 들어가지 않는다. 그 자리에는 대용 표식만 있고, 머신 밖의 프록시가 요청이 나가는 순간에만 실제 값을 채운다.

브라우저는 모델과 에이전트의 작업용 클라우드 컴퓨터에서 떨어진 전용 가상 머신에서 돌아간다. 에이전트는 "이 페이지 열기", "여기 클릭", "이것 입력" 같은 정해진 명령으로만 브라우저를 조종한다. 사이트가 실행하는 코드와 쿠키는 브라우저 머신에 머물러 Claude Duet의 메모리나 연결 앱에 닿지 않으며, 어떤 명령으로도 쿠키를 읽어 낼 수 없다.

돌아오는 것은 페이지 텍스트와 다운로드 파일이다. 에이전트가 일하려면 읽어야 하기 때문이다. Anthropic은 이 경로가 열려 있어서 다른 검사들이 필요하다고 설명했고, 브라우저 사용 연구에서 소개한 프롬프트 인젝션 방어도 함께 쓴다고 했다. 브라우저로 올리는 파일도 메시지와 같은 민감 정보 검사를 받는다.

Claude Duet는 스스로 에이전트임을 드러내도록 설계됐다. 웹 브라우저가 보내는 요청에는 고유한 User-Agent 헤더가 붙고, 접속에 쓰는 공개 IP 주소도 공개해 사이트가 이를 알아보고 대응을 정할 수 있다. 출시 전에는 대형 웹사이트 여러 곳에 접속 차단 선택권을 주었고, 일부는 차단을 택했다.

테스트 방식과 남은 과제

테스트는 연구 미리보기 이전부터 시작해 지금도 이어진다. Safeguards 팀은 루틴 형태의 과제마다 세 가지 변형을 만들어 평가했다. 무해한 버전, 지시를 몰래 끼워 넣은 버전, 요청보다 더 하도록 유혹하는 버전이다. 이 평가는 실제 사용에서 나오는 섀도 트래픽과 함께 돌아간다.

레드팀은 정보 유출, 승인 없는 실행, 악성 프롬프트 추종 여부를 시험했다. 시스템이 닿는 저장소와 신뢰 경계 전체를 대상으로 위협 모델도 만들었다. 외부 침투 테스트 업체가 소스 코드 접근 권한을 받아 Claude Duet를 점검했고, 클라우드 브라우저와 로그인 양식을 다루는 후속 점검이 진행 중이다. 새 자격 증명 기능은 출시 전 격리된 장비에서 레드팀 시험을 거친다.

Claude Duet는 Anthropic의 공개 버그 바운티 프로그램 대상에도 들어간다. 유효한 제보에 보상하고 선의의 연구에는 면책을 제공하며, 취약점은 HackerOne의 Anthropic 버그 바운티로 신고하면 된다.

Anthropic은 개인 에이전트에서 사용자가 무엇을 중시하는지 알고 싶어 연구 미리보기로 낸다고 밝혔다. 승인 요청 빈도, 로그인 방식, 민감 정보 검사가 사적인 내용과 무해한 내용을 가려내는 정확도는 아직 바뀔 수 있다. 바라는 점이나 문제는 Claude Duet에게 일상 언어로 말하면 보고서가 팀에 전달된다.