Comment Claude Duet évite de voir vos mots de passe : lecture de la note de sécurité d'Anthropic

Un agent qui lit vos courriels, se connecte à vos sites et peut payer à votre place pose une question simple : que se passe-t-il s'il est manipulé ? Anthropic y a consacré une note publiée le 23 octobre 2026, à propos de Claude Duet, son agent en aperçu de recherche.

Trois barrières distinctes

L'accord de l'utilisateur. Avant un envoi sensible, un paiement ou une suppression, l'agent affiche l'action, la destination, le contenu et tous les destinataires, puis attend. Certaines étapes ne peuvent pas être couvertes par une règle « ne plus demander » : payer ou envoyer de l'argent, supprimer une commande, créer un compte.

Un contrôle automatique indépendant. Chaque action est examinée par un classifieur, c'est-à-dire un programme de tri distinct du modèle, dérivé de celui du mode automatique de Claude Code. Il vérifie que l'action correspond bien à votre demande. Comme il tourne en dehors du modèle, des instructions cachées dans une page web ne peuvent pas l'influencer, selon Anthropic.

Un filtre sur les données sensibles. Un second classifieur relit chaque message sortant. Identifiants de connexion, numéros complets de carte ou de compte bancaire, numéros de pièces d'identité : l'agent a pour consigne de ne jamais les transmettre, même à votre demande. Les informations de santé ou de finances ne partent qu'avec votre accord explicite.

Les mots de passe ne passent pas par le modèle

C'est la partie la plus instructive. Selon la note :

• vous saisissez le mot de passe dans un formulaire de l'application Claude, jamais dans la conversation ;
• il est chiffré avec une clé à usage unique qui n'existe que sur la machine du navigateur distant ;
• c'est ce navigateur qui le tape sur le site ; le modèle ne le voit pas et ne peut pas l'enregistrer en mémoire ;
• les jetons de connexion n'entrent pas dans la machine de l'agent : un intermédiaire extérieur les insère au moment de la requête.

Anthropic précise aussi que ce formulaire n'apparaît que dans l'application, pendant une connexion que vous avez demandée. Il n'arrive jamais par lien, SMS ou courriel. C'est une consigne à retenir : toute autre demande de mot de passe au nom de l'agent est une tentative d'hameçonnage.

Ce qu'Anthropic reconnaît

• Les protections laisseront parfois passer quelque chose, ou bloqueront un message inoffensif.
• Le texte des pages et les fichiers téléchargés reviennent bien vers l'agent, puisqu'il en a besoin : le risque d'injection de prompt n'est pas supprimé, seulement encadré.
• La « fatigue d'approbation » est décrite comme un problème sérieux, et la fréquence des demandes d'accord est encore en réglage.
• Un test d'intrusion externe sur le navigateur distant et le formulaire de connexion est toujours en cours.

La note telle que nous l'avons lue ne dit rien de l'usage éventuel des contenus pour l'entraînement des modèles. Autre détail : déconnecter une application coupe les nouveaux accès, mais ce que l'agent en a déjà retenu reste en mémoire tant que vous ne la réinitialisez pas.

Notre lecture

Duet n'est pas disponible en France. La note sert donc surtout de grille de questions à poser à tout éditeur d'agent avant de lui confier des accès :

• Le modèle voit-il les mots de passe et les jetons, ou sont-ils injectés à part ?
• Quelles actions exigent un accord à chaque fois, sans exception possible ?
• Y a-t-il un contrôle indépendant du modèle, hors de portée d'une page piégée ?
• Que reste-t-il en mémoire après la déconnexion d'un outil ?

Ces mesures sont décrites par l'éditeur lui-même ; nous ne les avons pas vérifiées. Pour une petite entreprise, la règle ne change pas : pas d'accès bancaire, et une relecture réelle de chaque demande d'accord.