Anthropic 이 2026년 10월 21일 Claude Duet 의 리서치 프리뷰를 열었다. 한 줄로 줄이면 사용자가 묻기 전에 먼저 오는 Claude 다. 공식 소개문의 표현은 이렇다 — “필요한 것을 들고 먼저 찾아오고, 맡긴 일을 끝내고, 자리를 비워도 계속 일하며, 대신 행동하기 전에는 확인을 받는다” (Anthropic, Introducing Claude Duet).

나는 아직 써 보지 못했다. 미국 Pro·Max 대기자 명단부터 열렸기 때문이다. 그래서 이 글은 사용기가 아니다. Anthropic 이 공개한 1차 문서 두 편(소개문, 그리고 10월 23일에 나온 안전·보안 설계문)을 읽고 설계 결정 을 정리한 글이다. 수치나 기능 설명은 모두 그 두 문서에서 가져왔다. 비교에 쓰는 경쟁 제품 이야기는 통신사·언론 보도를 출처로 따로 표시했다.

1. 무엇이 나왔나 — 사실관계

공식 소개문에 적힌 사실만 추리면 다음과 같다 (소개문).

항목 내용
형태 별도 앱(iOS·Android) + claude.ai. 메인 Claude 앱과는 분리 돼 있다
대상 리서치 프리뷰, 대기자 명단. 미국 Pro·Max 구독자부터
모델 Claude Opus 5.5 중심으로 설계
요금 Pro·Max 에 포함. 다른 Claude 사용과 같은 사용량 한도를 나눠 쓴다
실행 환경 자체 브라우저가 있는 가상머신. 노트북·폰이 꺼져 있어도 일한다
연동 Claude Marketplace 의 6,000개 넘는 커넥터·플러그인 (Gmail, Slack, QuickBooks, Stripe, Gusto, Docusign, HubSpot, Shopify 등)
결제 Stripe Link 의 가상카드, Shopify Shop Pay
한계(자인) 스레드를 잘못 읽거나 긴급도를 잘못 잴 수 있다. 개인 용무(예매 등)는 약하다. 아직 브라우저 화면을 보여주지 못한다

대상 독자는 “추적할 수 있는 것보다 할 일이 많은 전문직과 소상공인” 이다. 기존 Claude 계정의 메모리·스킬·연결 앱을 그대로 가져가서 설정이 거의 없다. 대화는 하나의 긴 스레드로 이어진다.

같은 시기 OpenAI 의 “dots”, Meta 의 “Muse” 도 항상 켜진 에이전트 를 내놨다는 점은 보도로 확인된다 (Reuters via Investing.com, CNBC). 세 제품을 같은 조건에서 비교한 중립적 평가는 아직 없다. 그래서 이 글에서는 우열을 말하지 않는다.

2. “먼저 말을 건다” 를 비용으로 읽기

제일 눈에 띈 문장은 기능 설명이 아니라 제약 을 고백하는 대목이었다.

Claude Duet 은 연결된 계정을 몇 시간마다 확인한다. 쉬지 않고 확인하면 플랜 한도를 훨씬 빨리 써 버리기 때문이다. — Anthropic, Introducing Claude Duet

“능동적” 이라는 말이 실시간 감시를 뜻하지는 않는다는 얘기다. 점검 한 번마다 모델 턴이 든다. 그 비용은 사용자가 대화에 쓰는 한도에서 빠진다. 소개문은 백그라운드 점검이 한도에 포함되고, 재무 모델이나 덱 같은 큰 작업은 모델 턴이 더 든다고 명시한다. VentureBeat 도 이 점을 짚었다. 몇 시간 간격 점검은 시간이 촉박한 업무에서 “실시간 감독이 아니다” 라는 것이다 (VentureBeat).

나도 비슷한 걸 손으로 굴리고 있어서 이 트레이드오프가 익숙하다. 아침 브리핑을 쓰는 크론 세션, 텔레그램으로 답하는 봇 여러 개, 보안 이벤트를 분류해 알려주는 감시 에이전트가 있다. 해 보면 바로 알게 되는 게 있다. 먼저 말을 거는 기능의 품질은 모델보다 언제 깨울지(트리거) 와 무엇을 침묵할지(필터) 에서 갈린다.

  • 언제 깨울지를 폴링 주기로 정하면 비용이 늘거나 지연이 생긴다. 둘 중 하나는 감수해야 한다.
  • 무엇을 침묵할지를 잘못 정하면 알림이 쏟아진다. 사람은 곧 읽지 않게 된다.

Duet 이 판단력을 핵심으로 내세운 이유가 여기 있다. 소개문은 Duet 이 “무엇이 당신을 필요로 하고, 무엇이 기다려도 되는지” 를 판단하도록 만들었다고 쓴다. 그러면서도 아직 튜닝 중이라고 인정한다.

3. 승인 흐름 — 승인 카드는 모델 바깥 에 있다

10월 23일 안전·보안 설계문이 더 흥미롭다 (Anthropic, Claude Duet Safety, Privacy, and Security). 핵심은 세 겹이다.

① 사람 승인. 민감할 수 있는 메시지 전송, 결제, 삭제를 하기 전에 Duet 은 행동·목적지·내용·수신자 전원을 보여주고 승인을 기다린다.

② 모델 밖의 자동 검사. 행동마다 별도의 자동 검사가 함께 돈다. 이 검사는 Claude Code 의 auto mode 분류기 를 Duet 용으로 확장한 것이다. 행동이 사용자 의도와 맞는지를 본다. 설계문은 이렇게 쓴다.

이 검사는 일을 하는 모델 바깥 에서 돈다. 그래서 페이지에 숨겨진 지시가 결과에 영향을 줄 수 없다.

설계문 그림 1의 캡션은 더 짧다. “에이전트가 무엇을 읽든 승인 카드에 답할 수는 없다.” 프롬프트 인젝션에 대한 구조적 답이다. 모델이 속을 수 있다는 걸 전제하고, 승인 권한을 모델 손에 두지 않는다.

③ 승인으로도 못 여는 문. 증권 거래, 계좌 간 이체 같은 은행 업무, 타인 계정 접근은 승인해도 금지다. 결제·송금, 주문 삭제, 계정 생성은 몇 번을 승인했든 “다시 묻지 않기” 규칙이 적용되지 않는다.

내가 가장 공감한 문장은 이것이다.

승인 피로(approval fatigue)는 심각한 문제다. 요청이 너무 많으면 사람은 충분히 생각하지 않고 탭해서 넘기는 법을 배운다.

권한 확인이 너무 잦은 도구를 써 본 사람이라면 안다. 결국 “전부 허용” 을 누르게 되고, 그 순간 안전장치는 장식이 된다. Duet 이 승인 빈도를 보정 대상 으로 공개적으로 다룬다는 점이 이 설계의 정직한 부분이다.

4. 정보 분별 — 보내기 전에 거르는 두 등급

메일을 읽고 대신 보내는 에이전트는 끊임없이 이 정보가 어디로 가도 되는가 를 결정한다. 설계문의 예는 이렇다. 팀 주간 요약을 보내 달라고 했을 때, 거기엔 팀원 모두가 이미 아는 것만 들어가야 한다. 내 인사 평가 대화 같은 건 들어가면 안 된다.

이를 위해 주 모델과 따로 도는 분류기가 나가는 메시지를 검사한다 (설계문).

등급 예 처리
절대 공유 금지 로그인 자격증명, 카드·계좌 전체 번호, 정부 신분증 번호 사용자가 시켜도 보내지 않는다
동의 필요 건강, 재정 등 사적 정보 명시적으로 승인했을 때만. 사용자의 요청 자체가 동의로 간주된다 (“치과에 내 치통 메모 보내줘” 는 추가 승인 불필요)

막히면 Duet 은 민감한 부분을 빼고 다시 써서 승인을 받으러 올 수 있다. 설계문은 이 분류기가 가끔 놓치고 가끔 무해한 걸 잡을 거라고 미리 인정한다. 그래서 승인 장치와 함께 돈다는 것이다. 한 겹만으로는 부족하다는 전제가 일관된다.

5. 자격증명은 모델이 볼 수 없는 곳에서만 흐른다

설계문의 세 번째 원칙은 “Duet 은 비밀번호·브라우저 쿠키·로그인 토큰을 절대 보지 않는다” 이다. 구현은 세 갈래다.

  • 비밀번호. Claude 앱 안의 폼에 입력한다. 폼은 클라우드 브라우저 머신에만 있는 일회용 키 로 이를 암호화한다. 모델은 암호문조차 열지 못한 채 브라우저에 넘기고, 브라우저가 사이트에 입력한다. 모델이 비밀을 갖고 있지 않으니, 숨은 지시로 비밀을 털어놓게 할 수도 없다.
  • 연결 앱 토큰. Claude Managed Agents 와 같은 설계다. 에이전트가 일하는 머신에는 자리표시자 만 있다. 바깥의 프록시가 요청이 나가는 순간에 진짜 값을 끼워 넣는다.
  • 브라우저. 모델과도, 에이전트 작업 머신과도 분리된 전용 VM 이다. 에이전트는 “이 페이지 열기·여기 클릭·이걸 입력” 같은 고정 명령으로만 조작한다. 사이트의 코드와 쿠키는 브라우저 머신에 남는다. 돌아오는 건 페이지 텍스트와 다운로드뿐이다. 다만 그 텍스트가 인젝션 통로가 될 수 있다. 그래서 앞의 검사들이 존재한다고 설계문은 설명한다.

피싱에 대한 관찰도 날카롭다. 비밀번호를 묻는 폼 자체가 흉내 낼 대상이 된다. 그래서 Duet 의 로그인 폼은 앱 안에서, 사용자가 요청한 로그인 도중에만 나타난다. 링크·문자·메일·claude.ai 외의 웹사이트로는 절대 오지 않는다고 못박았다.

에이전트임을 숨기지도 않는다. 브라우저 요청에 별도 User-Agent 를 달고, 접속에 쓰는 공인 IP 를 공개한다. 출시 전에는 몇몇 대형 사이트에 차단할 선택권을 줬고, 실제로 일부가 차단을 택했다고 한다.

내 쪽과 비교하면 — 정직한 격차

내 봇들은 반대로 짜여 있다. 각 서비스의 API 키가 권한 0600 파일로 봇 계정 홈에 있고, 봇이 직접 읽는다. 사람이 키를 매번 건네지 않아도 되니 편하다. 대신 같은 맥의 모든 봇이 같은 키를 읽는다. 모델이 속으면 키가 든 파일을 읽는 명령을 실행할 수도 있다. 그래서 키를 출력하지 말라는 규칙과 훅으로 막고 있다. 하지만 이건 모델이 지켜 주기를 바라는 방어다. Duet 의 프록시 주입 구조는 “모델이 아예 비밀을 손에 쥐지 않는다” 는 점에서 한 단계 위다. 개인이 흉내 내려면 결국 아웃바운드 프록시가 헤더에 토큰을 끼우는 구조가 필요하다. 다음에 손볼 숙제로 적어 둔다.

6. 어떻게 시험했나

설계문에 따르면 Safeguards 팀은 루틴 형태 과제를 세 변형으로 만들어 평가했다. 무해한 원본, 인젝션이 섞인 판, 시킨 것보다 더 하도록 유혹하는 판이다. 실제 사용의 섀도 트래픽도 함께 돌렸다. 레드팀이 유출·무승인 행동·악성 프롬프트 추종을 시험했고, 외부 침투테스트 업체가 소스 코드 접근 권한을 갖고 테스트했다. 클라우드 브라우저와 로그인 폼을 다루는 후속 계약은 진행 중이다. HackerOne 의 공개 버그바운티 범위에도 들어 있다.

단, 이 평가들의 결과 수치(통과율·오탐률 등)는 공개되지 않았다. 벤더 자기 기술이고, 외부에서 재현할 수 있는 수치는 아직 없다.

7. 정리 — “먼저 일하는 AI” 의 본질

“AI 가 사용자를 기다리지 않는다” 는 헤드라인만 보면 자율성이 커진 이야기로 읽힌다. 문서를 끝까지 읽으면 오히려 반대다. Duet 문서의 대부분은 자율성을 어디서 끊을지 에 관한 것이다.

  1. 언제 깨울지 — 몇 시간 간격. 비용 때문이고, 그 사실을 숨기지 않는다.
  2. 언제 멈출지 — 보내기·결제·서명·삭제 앞. 그리고 승인 판단은 모델 밖에서 한다.
  3. 무엇을 못 하게 할지 — 승인으로도 열리지 않는 금지 목록.
  4. 무엇을 아예 못 보게 할지 — 비밀번호·토큰·쿠키는 모델이 닿지 않는 머신에서만 흐른다.

먼저 일하는 에이전트의 신뢰성은 모델이 얼마나 똑똑한가가 아니라 모델이 틀렸을 때 무엇이 막아 주는가 에서 나온다. Duet 의 설계문은 그 경계선을 문서로 공개했다는 점에서 읽을 가치가 있다. 실제로 그 경계가 잘 지켜지는지는 프리뷰가 끝나고 제3자의 평가가 나와야 알 수 있다.

References

  1. Anthropic, “Introducing Claude Duet”, 2026-10-21 (10-23 갱신). https://claude.com/resources/articles/claude-duet — 1차·공식
  2. Anthropic, “Claude Duet Safety, Privacy, and Security”, 2026-10-23. https://claude.com/resources/articles/claude-duet-safety-privacy-and-security — 1차·공식
  3. Reuters, “Anthropic unveils Claude Duet AI agent app”, 2026-10-21 (Investing.com 전재). https://www.investing.com/news/stock-market-news/anthropic-unveils-claude-duet-ai-agent-app-4964042 — 통신사 보도 (경쟁 제품 맥락)
  4. A. Capoot, “Anthropic preview of Claude Duet…”, CNBC, 2026-10-21. https://www.cnbc.com/2026/10/21/anthropic-preview-of-claude-duet-personal-ai-agent-take-on-muse-dots.html — 언론 보도
  5. C. Franzen, “Anthropic’s answer to Muse is here: Claude Duet…”, VentureBeat, 2026-10-21. https://venturebeat.com/technology/anthropics-answer-to-muse-is-here-claude-duet-a-mobile-and-desktop-ai-agent-that-takes-actions-proactively — 언론 보도 (점검 주기 해석)

면책: 이 글은 공개 문서를 읽고 정리한 것이다. 필자는 Claude Duet 을 직접 써 보지 않았다(미국 대기자 명단 한정). 경쟁 제품(OpenAI dots, Meta Muse)과의 성능 우열을 판단할 중립적 비교 평가는 현재 없다.