AI 第一次主动找你干活：Claude Duet 上线，把「聊天框」换成了「工位」

过去三年，我们习惯了同一个动作：打开对话框，输入问题，等回答。所有效率提升都建立在一个前提上——你知道自己要问什么。但真实的工作日并不是这样运转的，真正耽误事的往往不是「问了没答好」，而是「你根本不知道自己漏了什么」。

Claude Duet 改的正是这个前提。它每天早晨推一份覆盖已连接账号的简报，标出最要紧的几件事；白天每隔几小时扫一遍这些账号，只在「有东西需要你决定」时才发通知；你可以在同一个线程里用文字或语音回它，把活派下去。方向从「人找 AI」变成「AI 找人」。

这个差别听起来只是交互习惯，实际改变的是产品形态。聊天框只需要回答质量，主动式智能体却要对「什么值得打扰你」做出判断——这是一件更难、也更容易出错的事。Anthropic 自己承认这块还在调：它可能误读一段对话，也可能把不紧急的事标成紧急，或者在两次巡检之间的空档漏掉新消息。

官方列出的场景很具体，基本都是小企业主每天都在做、但一做就烦的活：在 Gmail 和 Slack 里翻出被漏掉的消息并起好回复草稿；去 QuickBooks 或 Stripe 查未付发票、写好催款话术；在 Gusto 里把工时、奖金、报销填好准备发薪；用 DocuSign 发起签署；根据 HubSpot 里的成交历史写跟进邮件；把一次产品发布拆成 Canva 的社媒素材；从零把 Shopify 店铺搭起来并做日常维护。

交付物也不再只是文字：仪表盘、财务预测、演示文稿、网页应用都在清单里。这类任务的共同点是「多步、跨应用、需要判断先后顺序」，恰好是过去一年智能体能力提升最明显的方向。也正因为如此，它的价值不在「回答得多好」，而在「能不能替你把一串动作走完」。

但要泼一盆冷水。官方明确说这是早期版本：个人事务（比如订票）明显弱于工作场景，而且目前看不到它在浏览器里的完整操作过程。对需要复盘的团队来说，「看不见中间步骤」本身就是一条治理缺陷——你只知道结果，不知道它点了哪些按钮、跳过了哪些提示。

官方口径是通过 Claude Marketplace 接入 6000 多个连接器与插件。这个数字容易被当成营销指标，但对做 IT 的人来说，它真正的含义是「这个智能体到底能读到多少你的数据」。

连接器越多，能力越强，攻击面也越大。一个能读邮件、能看财务、能发起付款的智能体，一旦被提示词注入或误判牵着走，损失就不再是「答错一句话」，而是「发错一笔钱」。这也是为什么这套产品押了两层防护：动作前的逐次签字，以及对外发内容时的敏感信息分类拦截。

对企业的现实问题不是「要不要接」，而是「先接哪几个」。务实的顺序通常按可逆性排：先接只读的（日历、知识库、报表），再接可写的（工单、审批、草稿），最后才碰涉及资金的（付款、报销、采购）。顺序反了，一次误操作就足以让项目停摆半年。

第一层是签字。发消息、付款、签文件、删数据之前，它会把「准备做什么」完整摆出来等你批准。这个设计看起来笨拙，却把责任链条钉死在人身上——出事时能找到是谁点的头。对受监管行业，这一条比任何能力宣传都重要。

第二层是永久禁区。买卖证券、账户之间转账这两类动作，即使你批准也不执行。这条线划得比不少企业内控还硬，也说明厂商清楚：有些错误一旦发生就无法回滚，与其事后补救，不如根本不给入口。

第三层是不碰凭证。官方说它不会直接看到用户的密码与登录令牌；卡号、证件号由专门分类器拦截；健康与财务数据只有在你明确指示发送时才出应用。支付走 Stripe Link 的虚拟卡与 Shopify 的 Shop Pay，真实卡号不落到智能体手里。

但边界之外仍有灰区。如果一封邮件本身带着恶意指令（提示词注入），智能体读到之后会不会把它当任务执行？官方说有防护，也承认这不等于零风险。这条灰区正是企业接入前必须自己做红队测试的地方——不能把厂商的安全声明当成自己的安全方案。

10 月 21 日，Anthropic 发布 Claude API 版本 2026-10-21，这是 2023 年 6 月的 2023-06-01 之后第一个正式版本号。官方说法是以后会更频繁地发版本，让破坏性变更在新模型强制升级之前先被消化掉。

变更清单里最扎眼的一条：Messages API 删除 temperature、top_p、top_k 三个采样参数，传了就直接返回 400，哪怕你传的是默认值。这意味着过去靠「把温度调到 0.2 求稳定」的做法，在新版本上彻底失效，而且没有等效替代参数——官方建议改用提示词工程引导输出，但那不保证概率分布层面的确定性。

同时还有几处会打到存量系统：在 assistant 消息里直接放文档块、或在 user 文本块里带非空 citations，都会返回 400；Admin 与 Enterprise Analytics 接口改了字段名（roles 变 role_ids，API key 的 workspace_id 变成 scope.workspace_id）；SDK 全线升大版本（Python 2.0.0、TypeScript 1.0.0、Go 2.0.0、Java 3.0.0、C# 13.0.0、Ruby 2.0.0、PHP 1.0.0、ant CLI 2.0.0），认证头改成 Authorization: Bearer，许可证从 MIT 换成 Apache 2.0。

缓冲还在：旧版本 2023-06-01 没有废弃，老 SDK 会继续发送旧版本号。也就是说升级是你自己的节奏，不是被强制的。但反过来说，这也意味着「不升级」会变成一种技术债——新模型只在 4.7 及以上版本支持的部分能力，最终会逼你动手。

这套产品没有单独定价。预览期包含在 Pro 与 Max 套餐里，与 Claude 其他功能共享使用额度，关键在于：后台巡检、复杂任务同样计入。

官方解释了为什么每隔几小时扫一次而不是持续监控——持续检查会把额度烧穿。这句话值得所有做智能体产品的人抄下来：主动式智能体的成本结构与传统 SaaS 完全不同，它不是「按人头收费」，而是「按思考次数收费」，一次没人看的巡检也在花真金白银。

对采购的启示很直接：评估主动式智能体，不能只问「能干什么」，要问「一天巡检几次、每次读多少上下文、失败重试几次」。这三个参数决定月度账单，功能列表决定不了。

再往深一层想，这个成本结构会改变产品设计。聊天式产品可以鼓励用户多问，因为每次交互都是用户主动发起的、有明确目的的；主动式产品必须学会「不做事」——大部分时候什么都不说，才是省钱的正确姿势。这解释了为什么官方把巡检间隔定在几小时，而不是实时：不是技术做不到，是经济性不允许。

同样的逻辑会传导到企业侧。当你把智能体接进自己的系统，真正的成本不在模型调用单价，而在「它每天自己醒来多少次」。把巡检频率、上下文裁剪策略、失败重试上限做成可配置项，比选一个更便宜的模型更有效。

把这件事放到中国企业环境里，会发现最缺的往往不是模型，而是三样基础设施。缺了它们，主动式智能体只能停在演示阶段。

这三样东西没有一样是买模型能顺带解决的，都得在自己的系统里做。也正因为如此，真正先跑起来的往往不是技术最强的公司，而是流程最规范、数据最干净的公司。

现在值得去排队的有两类。一类是业务已经在 SaaS 上跑得很顺、数据都在云端的团队——邮箱、日历、财务、电商后台都在线，连接器接上去就能立刻产生价值；另一类是「漏事成本」远高于「试错成本」的岗位，比如同时管着十几个客户的销售负责人、要盯现金流的小老板。

该再等等的也很清楚：数据主要存放在内网、连邮件都不上公有云的团队，接进去意义不大；对「每一步操作都要留痕可复盘」有硬性要求的金融、医疗、政务场景，现阶段「看不到浏览器过程」这一条就过不了关；以及 Team 与 Enterprise 用户——首轮根本没开放。

更值得注意的趋势是：主动式智能体正在把竞争焦点从「模型多聪明」转向「谁敢把权限交出去」。Meta 的 Muse、OpenAI 的 Dots、Anthropic 的 Duet，三家押的是同一个判断——下一波普及不来自更强的对话，而来自「不用你开口」。