Anthropic hat mit Claude Duet einen KI-Agenten vorgestellt, der ohne ständige Aufforderung im Hintergrund weiterarbeitet. Er überwacht verbundene Dienste wie Gmail oder Slack, schickt jeden Morgen ein Briefing und erledigt Aufgaben auf einem eigenen Rechner in der Cloud. Bevor er Geld ausgibt, etwas unterschreibt oder Daten löscht, muss der Nutzer zustimmen. Mit dem Start am 21. Oktober steigt Anthropic in einen Wettlauf ein, den OpenAI, Meta und SpaceXAI in den vergangenen Monaten eröffnet haben.
Was Claude Duet kann und wer Zugang bekommt
Duet startet als Research Preview. Gemeint ist eine frühe Testversion im echten Betrieb, aber mit begrenztem Zugang. Wer sie nutzen will, muss sich zunächst auf eine Warteliste setzen lassen. Zum Start sind nur Abonnenten der Tarife Pro und Max in den USA zugelassen. Der Agent läuft in einer eigenen App für iOS und Android sowie im Browser über claude.ai. Von der bekannten Claude-App bleibt er vorerst getrennt, eine spätere Zusammenführung lässt Anthropic offen.
Technisch baut Duet auf dem Modell Claude Opus 5.5 auf. Ein Always-on-Agent ist ein KI-Assistent, der dauerhaft im Hintergrund läuft und selbst aktiv wird. Duet prüft die verbundenen Konten nach Anthropics Angaben alle paar Stunden und meldet sich nur, wenn etwas ansteht. Die Arbeit erledigt er in einer virtuellen Maschine mit eigenem Browser. Laptop und Smartphone des Nutzers müssen dafür nicht eingeschaltet bleiben.
Angebunden werden die Dienste über Connectors. Das sind Schnittstellen zu externen Anwendungen, von denen der Claude Marketplace laut Anthropic über 6.000 bereithält. Die Fachseite The Decoder nennt als Beispiele neben Gmail und Slack auch Stripe, Docusign und Shopify. Einkaufen kann Duet über den Bezahldienst Link von Stripe mit einer virtuellen Karte oder über Shop Pay von Shopify. Demnächst soll sich der Agent mit Erlaubnis des Nutzers auch über gespeicherte 1Password-Zugänge anmelden können.
Einen eigenen Preis hat Duet nicht. Der Agent ist im Pro- und Max-Abo enthalten und teilt sich deren Nutzungslimits mit dem übrigen Claude. Pro kostet 20 US-Dollar im Monat, Max beginnt bei 100 US-Dollar. Auch die Hintergrundprüfungen gehen vom Kontingent ab. Aufwendige Aufträge wie Finanzmodelle oder Präsentationen brauchen mehr Rechenschritte und verbrauchen entsprechend mehr.
Freigaben, feste Sperren und Schutz vor Prompt Injection
Kontrolliert wird der Agent über Freigaben. Bevor Duet eine Nachricht verschickt, eine Zahlung auslöst, ein Dokument unterschreibt oder etwas löscht, zeigt er die geplante Aktion an und wartet auf Zustimmung. Manche Aktionen bleiben sogar mit Zustimmung gesperrt. Dazu zählen der Handel mit Wertpapieren und Geldtransfers zwischen Konten. Den Zugriff auf einzelne Apps kann der Nutzer jederzeit wieder entziehen.
Anthropic stützt die Sicherheit nach eigenen Angaben auf sein Framework für vertrauenswürdige Agenten. Passwörter und Anmeldetoken bekommt Duet demnach nicht direkt zu sehen und ein Klassifikator kontrolliert die Freigaben. Ein weiterer Schutz richtet sich gegen Prompt Injection. Dabei verstecken Angreifer in Inhalten Anweisungen, die den Agenten von seinem Auftrag abbringen sollen. Anthropic hat Duet nach eigener Darstellung mit gezielten Angriffstests, einem Red Team und einem Penetrationstest durch eine externe Firma geprüft. Hinzu kommt ein öffentliches Bug-Bounty-Programm, das Prämien für gemeldete Sicherheitslücken zahlt.
Neu ist ein Klassifikator, der jede Nachricht auf sensible Daten untersucht. Kreditkarten- und Ausweisnummern blockiert er grundsätzlich. Gesundheits- und Finanzdaten verwendet Duet nur, wenn der Nutzer es ausdrücklich anweist. Auch eigene Schwächen benennt Anthropic offen. Der Agent könne Gesprächsverläufe falsch lesen und die Dringlichkeit einer Sache falsch einschätzen. Bei persönlichen Erledigungen wie einer Ticketbuchung schneidet er schwächer ab. Seinen Browser können Nutzer bislang nicht live verfolgen.
Duet folgt auf Grok Bot, Muse und Dots
In diesem Rennen ist Anthropic der Nachzügler. Den Anfang machte im August Grok Bot von SpaceXAI, der zunächst als Beta für Abonnenten von SuperGrok Heavy und Cursor erschien. Laut dem Fachportal DataCamp teilen sich dort alle Bots eines Kontos einen Cloud-Computer. Ein Audit-Protokoll und eine Ausgabenobergrenze fehlen laut Dokumentation noch.
Meta folgte am 8. September mit Muse, zunächst in den USA und auch über WhatsApp. Wie The Rundown berichtet, darf Meta die Daten für Betrieb, Sicherheit und Support einsehen. Bereinigte Interaktionsdaten können ins Training fließen, Nutzer dürfen dem aber widersprechen. Meta selbst räumt ein, dass Prompt Injection ein ungelöstes Problem bleibe.
Zuletzt stellte OpenAI am 29. September auf seiner Entwicklerkonferenz Dots vor. Wie iPhone in Canada berichtet, arbeitet auch dieser Agent auf einem Cloud-Rechner. Zum Start erhalten ihn Kunden der Tarife Pro und Business Premium. TechCrunch merkt an, dass vieles davon schon über OpenAIs Werkzeug Codex möglich gewesen sei und Dots es vor allem bündele. Nach Einschätzung von Trending Topics zielt Metas Muse auf Privatnutzer, Duet dagegen stärker auf den Arbeitsalltag und auf Firmenkunden.
Erste Tests zeigen Stärken und Baustellen von Claude Duet
Das Magazin Every hatte frühen Zugang zu Duet, Anthropic nahm nach Angaben der Redaktion keinen Einfluss auf den Test. Für den Tester ist Duet der erste persönliche Agent, den er als Profi-Werkzeug bezeichnen würde. Die Infrastruktur sei allerdings noch unfertig. Lob gibt es für die eigene App mit thematischen Kanälen und einer ständig aktualisierten Liste offener Aufgaben. Duet bearbeite Dokumente, Folien und Dashboards direkt und mache nützliche Vorschläge.
Seine E-Mail-Entwürfe schreibt Duet nach dem Urteil von Every schlechter als OpenAIs Dots. Bei zeitgesteuerten Aufgaben kann Duet selbst angelegte Connectors nicht nutzen. Statt eines echten Sprachmodus gibt es nur eine Transkription. Über Dots fällt das Urteil im Dauerbetrieb allerdings härter aus. Der Konkurrent lasse in seiner Eigeninitiative nach und verliere Aufgaben aus dem Blick. Einen Steuer-Auftrag habe Dots weder fertiggestellt noch ihn darüber informiert, sagte der Tester sinngemäß.
Die Empfehlung des Magazins ist trotzdem eindeutig. Wer Claude abonniert hat und Wissensarbeit leistet, solle sich auf die Warteliste setzen, rät der Every-Autor sinngemäß. Trending Topics zeichnet ein vorsichtigeres Bild. Frühe Tester sollen falsch eingetragene Termine bemerkt haben. Als Baustellen nennt das Portal die Anfälligkeit für Prompt Injection und die eingeschränkte Einsicht in die Aktionen in der Cloud.
Was Claude Duet für Unternehmen bedeutet
Für Unternehmen ist Duet vorerst ein Signal und noch kein Werkzeug. Team- und Enterprise-Kunden sind laut Trending Topics noch nicht dabei, einen Zeitplan gibt es nicht. Auch in Europa gibt es bislang keinen Zugang. Im Firmengeschäft ist OpenAI weiter. Dots startet bereits im Tarif Business Premium und soll an die Sicherheitskontrollen von Microsofts Agent 365 angebunden werden. Wer Agenten in der Breite einführen will, braucht genau die zentralen Kontrollen, die Duet im Firmenumfeld noch fehlen.
Offen sind zudem Fragen, die jede Datenschutzprüfung stellen wird. Wo Duets virtuelle Maschine läuft, wie lange Daten gespeichert bleiben und ob sie ins Training fließen, nennt Anthropic auf der Produktseite nicht. Meta beantwortet zumindest die Trainingsfrage, wenn auch zugunsten des eigenen Modells. Anthropic setzt dagegen auf feste Sperren für Wertpapierhandel und Kontotransfers sowie auf den Filter für sensible Daten. Solche Sperren nehmen dem Nutzer die Entscheidung dort ab, wo eine einzige falsche Freigabe teuer würde.
Das Freigabemodell selbst hat eine Schwachstelle, die keine Technik behebt. Es schützt nur so lange, wie Menschen jede vorgelegte Aktion tatsächlich prüfen. Ein Agent, der laufend Vorschläge macht, verleitet zum schnellen Durchwinken. Auch die Kosten sind schwerer zu kalkulieren, als der fehlende Aufpreis vermuten lässt. Weil Hintergrundprüfungen und große Aufgaben das gemeinsame Kontingent belasten, könnte es laut Trending Topics bei Pro-Kunden schneller erschöpft sein.
Wie geht es weiter mit Always-on-Agenten?
Claude Duet zeigt, wohin sich KI-Assistenten gerade bewegen. Sie warten nicht mehr auf eine Frage, sondern beobachten Postfächer und Konten und schlagen von sich aus Schritte vor. Anthropic ist spät dran, setzt aber auf strenge Freigaben und feste Sperren statt auf maximale Selbstständigkeit. Die ersten Tests bescheinigen dem Agenten echten Nutzen im Büroalltag, aber auch deutliche Lücken.
Offen ist vor allem, wann aus der Research Preview ein reguläres Produkt wird. Für Team- und Enterprise-Kunden fehlt ein Zeitplan und in Europa gibt es bislang keinen Zugang. Als nächster Schritt ist die Anmeldung über 1Password angekündigt, die dem Agenten weitere Zugänge öffnet. Ob die Schutzmechanismen dann halten, muss sich im Alltag zeigen, zumal die Abwehr von Prompt Injection als ungelöst gilt.
Wer Agenten dieser Art für den eigenen Betrieb erwägt, kann die Wartezeit für Vorarbeit nutzen. Naheliegend ist die Frage, welche Konten ein Agent überhaupt sehen dürfte und wer seine Freigaben verantwortet. Ebenso lohnt der Blick darauf, ob Mitarbeitende private Abos mit dienstlichen Postfächern verbinden. Die Antworten gelten für Duet ebenso wie für Dots oder Muse.