Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

Claude Duet: trợ lý AI tự làm việc thay người dùng mà không cần biết mật khẩu

Đến nay, phần lớn trợ lý AI vẫn chờ người dùng gõ lệnh rồi mới làm. Ngày thứ Tư 21/10/2026, Anthropic mở bản thử nghiệm (research preview) của Claude Duet, một trợ lý làm việc theo hướng ngược lại. Duet tự đọc các ứng dụng đã kết nối theo lịch, gửi bản tóm tắt mỗi sáng và tiếp tục xử lý việc ở chế độ nền sau khi người dùng đã đóng app. Hai ngày sau, ngày 23/10, công ty đăng thêm một bài dài về an toàn, quyền riêng tư và bảo mật. Với lập trình viên, bài thứ hai này có giá trị hơn, vì nó cho thấy cách trao cho một agent chạy liên tục quyền vào tài khoản của người dùng mà model không bao giờ giữ “chìa khoá”.

Anthropic công bố những gì

Các thông tin dưới đây có trong thông báo của Anthropic và được VentureBeat, MacRumors, SiliconANGLE đưa lại:

  • Đối tượng: bản thử nghiệm theo danh sách chờ, chỉ dành cho người dùng gói Pro và Max tại Mỹ. Gói Team và Enterprise chưa được dùng, và chưa có API riêng cho Duet.
  • Nền tảng: app riêng trên iOS và Android, cùng phiên bản trên claude.ai. Hiện Duet tách khỏi app Claude chính.
  • Model: xây dựng trên Claude Opus 5.5.
  • Giá: không thu thêm phí. Duet dùng chung hạn mức với phần còn lại của gói, và Anthropic nói rõ các lượt kiểm tra chạy nền cũng bị trừ vào hạn mức này.
  • Cách hoạt động: mỗi sáng gửi một bản tóm tắt ngắn, sau đó “vài giờ một lần” kiểm tra các tài khoản đã kết nối. Anthropic giải thích rằng nếu kiểm tra liên tục thì hạn mức của gói sẽ hết nhanh hơn nhiều. Duet chỉ nhắn khi có việc cần người dùng để ý.
  • Phạm vi kết nối: theo Anthropic, Duet dùng được “hơn 6.000 connector và plugin” (các module kết nối với dịch vụ bên ngoài) trên Claude Marketplace, trong đó có Gmail, Slack, Google Calendar, Notion, Microsoft 365, QuickBooks, Stripe, Docusign, HubSpot, Gusto và Shopify.

Các ví dụ Anthropic đưa ra chủ yếu là việc hành chính của doanh nghiệp nhỏ: tìm tin nhắn Slack bị bỏ sót, lọc hoá đơn chưa thanh toán trên QuickBooks hoặc Stripe rồi soạn thư nhắc, chuẩn bị bảng lương trên Gusto, soạn tin tuyển dụng để đăng LinkedIn. Duet cũng làm được những việc nặng hơn như dựng dashboard, lập dự báo doanh số và viết web app. Chính nhân viên Anthropic cũng dùng Duet. Boris Cherny, người phụ trách Claude Code, vừa đi dạo vừa đọc danh sách việc cần làm cho Duet. Karan Ahuja, trưởng nhóm Duet, thì dùng nó để làm prototype và đưa code lên production.

Phần kỹ thuật: ba lớp chắn quanh model

Một agent chủ động, có quyền vào hộp thư, bảng lương và cửa hàng online, là một bề mặt tấn công rất lớn. Bất kỳ email, trang web hay tài liệu nào nó đọc cũng có thể chứa prompt injection (câu lệnh độc hại cài sẵn trong nội dung để điều khiển AI). Bài ngày 23/10 của Anthropic mô tả ba lớp phòng thủ độc lập.

1. Model không bao giờ giữ thông tin đăng nhập. Duet chạy trên một máy tính đám mây, nên điện thoại hay laptop của người dùng không cần bật. Trình duyệt của Duet chạy trong một máy ảo riêng, “tách biệt khỏi model”, và agent chỉ điều khiển được nó qua một bộ lệnh cố định như mở trang, bấm, gõ. Không lệnh nào trong số đó đọc được cookie. Khi một trang cần mật khẩu, người dùng gõ mật khẩu vào một form ngay trong app Claude. Form mã hoá mật khẩu bằng một khoá dùng một lần, chỉ tồn tại trên máy chạy trình duyệt, rồi trình duyệt tự điền vào trang web. Như vậy mật khẩu đến được trình duyệt mà không đi qua model. Với token đăng nhập kiểu API, Duet dùng lại thiết kế của Claude Managed Agents: máy của agent chỉ giữ một giá trị giả (placeholder), còn một proxy bên ngoài mới thay giá trị thật vào lúc gửi request. Ai từng làm cơ chế tiêm secret qua sidecar hay egress proxy sẽ thấy cách này rất quen.

2. Khâu phê duyệt nằm ngoài model. Trước khi gửi một tin nhắn có thể nhạy cảm, thanh toán, ký tài liệu hay xoá bất cứ thứ gì, Duet hiển thị hành động, nơi nhận, nội dung và đầy đủ người nhận, rồi chờ người dùng duyệt. Song song, một bộ phân loại (classifier) riêng, phát triển từ classifier của chế độ auto trong Claude Code, kiểm tra xem hành động đó có đúng ý người dùng không. Theo Anthropic, vì bước kiểm tra này chạy ngoài model nên “chỉ dẫn giấu trong một trang web không thể tác động tới kết quả”. Một số hành động như trả tiền, chuyển tiền hay tạo tài khoản không bao giờ được miễn duyệt bằng tuỳ chọn “không hỏi lại”. Khi mua hàng, Duet dùng thẻ ảo dùng một lần của Link, giới hạn đúng một cửa hàng và đúng một số tiền.

3. Có những việc bị cấm hẳn. Giao dịch chứng khoán, chuyển tiền giữa các tài khoản ngân hàng và truy cập tài khoản của người khác đều bị chặn, kể cả khi người dùng đã đồng ý. Một classifier thứ hai rà mọi tin nhắn và file gửi ra ngoài. Thông tin đăng nhập, số thẻ hay số tài khoản ngân hàng đầy đủ và số giấy tờ tuỳ thân không bao giờ được gửi đi. Thông tin sức khoẻ và tài chính chỉ được gửi khi người dùng cho phép rõ ràng.

Nguyên tắc chung của cả ba lớp nói thì dễ mà làm thì khó: không trông cậy vào việc model tự chống lại bị thao túng. Bí mật và quyết định cuối cùng phải được đặt ở nơi mà văn bản model đã đọc không thể chạm tới.

So với các đối thủ

Duet không phải sản phẩm đầu tiên kiểu này. Muse của Meta và Dots của OpenAI cũng hứa hẹn trợ giúp chủ động trên máy tính đám mây. VentureBeat cho rằng chạy trên cloud và có bước người dùng duyệt “tự chúng không làm Duet khác biệt”. VentureBeat cũng cho biết người dùng cá nhân phải mua gói Pro 100 USD mới dùng được Dots, còn Duet có từ gói Pro 20 USD. Ngay trong hệ sinh thái Anthropic cũng có sản phẩm trùng chức năng: Cowork đã chạy trên server của Anthropic từ đầu tháng 10. Điểm riêng của Duet chủ yếu nằm ở thiết kế sản phẩm (một luồng hội thoại duy nhất, lịch kiểm tra định kỳ, bản tin buổi sáng) và ở kiến trúc bảo mật được công bố chi tiết hơn hầu hết đối thủ.

Ý nghĩa với tương lai ngành IT

Với người làm phần mềm, thay đổi lớn hơn có lẽ là ai sẽ dùng sản phẩm của mình. Anthropic cho biết Duet gửi kèm một User-Agent riêng và công khai dải IP của mình. Trước khi ra mắt, công ty đã liên hệ với một số website lớn, và một vài trang đã chọn chặn Duet. Các website giờ phải quyết định cho phép, chặn hay giới hạn tần suất truy cập của agent, giống như JPMorgan và Schwab đã làm với agent trong ngân hàng. Nếu bạn làm sản phẩm SaaS, một API hay MCP connector gọn gàng, phân quyền rõ ràng sẽ sớm là con đường agent ưu tiên thay vì tự cào giao diện. Hai mẫu thiết kế proxy giữ secret và phê duyệt ngoài model cũng là khuôn mẫu đáng tham khảo cho ai đang tự xây agent.

Những câu hỏi còn bỏ ngỏ

Các lớp bảo vệ mới chỉ được mô tả, chưa được đo. Cả hai bài đều không có tỷ lệ prompt injection thành công, tỷ lệ báo nhầm của hai classifier hay bất kỳ benchmark nào. Anthropic nói nhóm Safeguards đã xây bộ đánh giá, trong đó mỗi tác vụ có ba phiên bản: bình thường, có cài lệnh độc hại, và có “mồi” để agent làm quá phạm vi được giao. Nhưng công ty không công bố kết quả. Một công ty kiểm thử xâm nhập độc lập đã được xem mã nguồn, còn đợt kiểm thử thứ hai cho trình duyệt đám mây và form đăng nhập “đang diễn ra”, tức là việc kiểm thử chưa xong.

Anthropic cũng thẳng thắn về hạn chế. Duet “có thể hiểu sai một luồng tin nhắn hoặc đánh giá sai mức độ khẩn cấp”, có thể bỏ lỡ việc phát sinh giữa hai lần kiểm tra, và các việc cá nhân như đặt vé “chưa làm tốt bằng”. Công ty cũng nêu đích danh hiện tượng “mỏi phê duyệt”: hỏi quá nhiều thì người dùng sẽ quen tay bấm đồng ý mà không đọc. Về dữ liệu có hai điểm đáng lưu ý. Ngắt kết nối một ứng dụng chỉ chặn truy cập mới, còn những gì Duet đã học từ ứng dụng đó vẫn nằm trong bộ nhớ cho tới khi người dùng reset. Và cả hai bài đều không nói dữ liệu Duet có được dùng để huấn luyện model hay không. Cuối cùng là câu hỏi chi phí mà VentureBeat đặt ra: sau khi việc theo dõi định kỳ đã dùng mất một phần hạn mức của gói 20 USD, người dùng còn làm được bao nhiêu việc có ích?

Nên xem Duet là một thử nghiệm công khai cho bài toán khó nhất của agent dành cho người dùng phổ thông: để phần mềm hành động thay mình mà không phải giao chìa khoá. Kiến trúc của Duet hợp lý, nhưng nó có trụ vững trước những email cài lệnh độc hại thật ở quy mô lớn hay không thì vẫn còn phải chờ.

Nguồn