)
Última actualización: 26 de octubre, 2026
¿Qué es Claude Duet y es seguro usarlo en el trabajo? Claude Duet es la app de agente proactivo de Anthropic, anunciada el 21 de octubre de 2026 como research preview, que trabaja en segundo plano con apps conectadas como Gmail, Slack y Stripe. Anthropic documenta controles sólidos para las credenciales y las aprobaciones, pero aún no dice nada sobre los planes Team o Enterprise ni sobre controles de administración, así que trátalo como un agente sin gestionar hasta que eso cambie.
TL;DR: Puntos clave
- Claude Duet es una research preview. Anthropic la anunció el 21 de octubre de 2026 para suscriptores Pro y Max de EE. UU. mediante lista de espera, en iOS, Android y claude.ai.
- Su alcance es amplio. Anthropic indica que funciona con más de 6.000 conectores y plugins del Claude Marketplace, entre ellos Gmail, Slack, QuickBooks, Stripe y HubSpot.
- Las credenciales quedan lejos del modelo. La página de seguridad de Anthropic (23 de octubre de 2026) afirma que Duet nunca ve contraseñas, cookies ni tokens de inicio de sesión, y que una comprobación fuera del modelo controla enviar, pagar y eliminar.
- Quedan lagunas para las empresas. Esa misma página no describe la disponibilidad en Team o Enterprise, los controles de administración, los plazos de retención ni quién en Anthropic puede acceder a los datos.
- La fatiga de aprobación es un riesgo. Anthropic lo reconoce, y Simon Willison (8 de agosto de 2026) cuenta que solo el 13,6 % de 1.053 participantes rechazó un comando peligroso sustituido.
- Los riesgos encajan en OWASP. El OWASP Top 10 for LLM Applications 2026 (3 de agosto de 2026) incluye Prompt Injection (LLM01), Sensitive Information Disclosure (LLM02) y Excessive Agency (LLM03), y los tres aplican aquí.
Datos clave de un vistazo
| Elemento | Lo que dice Anthropic (a 26 de octubre de 2026) |
|---|---|
| Estado | Research preview, lista de espera, solo suscriptores Pro y Max de EE. UU. |
| Anuncio | 21 de octubre de 2026 |
| Dónde se ejecuta | iOS, Android y claude.ai; las tareas corren en una máquina virtual con su propio navegador |
| Conectores | Más de 6.000 a través del Claude Marketplace |
| Necesita tu aprobación | Enviar mensajes, pagar, firmar documentos, eliminar cualquier cosa |
| Prohibido, incluso con aprobación | Operar con valores, mover dinero entre cuentas, acceder a la cuenta de otra persona |
| Planes Team o Enterprise | No se describen |
Qué es Claude Duet y a qué puede acceder
Claude Duet es una app independiente en la que Claude actúa como agente proactivo para profesionales y dueños de pequeños negocios. Envía un resumen matinal, revisa las cuentas conectadas cada pocas horas y trabaja en segundo plano en una máquina virtual en la nube con su propio navegador, así que tu móvil o tu portátil no tienen que estar encendidos.
Según Anthropic (2026), la app se basa en Claude Opus 5.5 y hereda la memoria, las skills y las apps conectadas de tu cuenta de Claude. Admite instrucciones por texto o voz en un único hilo continuo, y cada tarea tiene su propia página donde puedes ver el progreso y dirigirla.
| Área | Apps que cita Anthropic | Qué hace Duet con ellas |
|---|---|---|
| Correo y chat | Gmail, Slack | Encuentra mensajes perdidos y redacta respuestas |
| Finanzas | QuickBooks, Stripe, Gusto | Encuentra facturas impagadas, envía recordatorios y prepara la nómina para tu aprobación |
| Ventas y contratos | HubSpot, Docusign | Redacta correos de seguimiento y gestiona el envío de acuerdos |
| Contratación y marketing | LinkedIn, Canva | Redacta ofertas de empleo (tras aprobación) y campañas sociales |
| Comercio | Shopify, Link de Stripe | Gestiona una tienda y paga con una tarjeta virtual de un solo uso |
Para un CISO, lo importante es la combinación. Un único agente puede leer el correo, ver facturas y enviar mensajes en tu nombre. Eso lo convierte en una identidad no humana con muchos privilegios, aunque se presente como un asistente personal.
Cómo funcionan las salvaguardas, según Anthropic
Anthropic describe cuatro capas: credenciales alejadas del modelo, una comprobación de aprobación que se ejecuta fuera del modelo, un clasificador que revisa los mensajes salientes en busca de datos sensibles y un navegador aislado en la nube. Leer, redactar y preparar ocurre sin trabas. Enviar, pagar, firmar y eliminar esperan tu aprobación.
| Control | Cómo lo describe Anthropic | Límite que reconoce Anthropic |
|---|---|---|
| Credenciales | Las contraseñas se escriben en un formulario dentro de la app y se cifran con una clave de un solo uso que existe solo en la máquina del navegador. Los tokens quedan tras un proxy y el agente solo tiene un marcador | El texto de las páginas y las descargas sí vuelven al agente |
| Puerta de aprobación | Muestra la acción, el destino, el contenido y todos los destinatarios. La comprobación se basa en el clasificador del auto mode de Claude Code y se ejecuta fuera del modelo | La frecuencia de las aprobaciones se sigue ajustando |
| Clasificador de datos salientes | Bloquea credenciales, números completos de tarjeta y cuenta bancaria y documentos de identidad, aunque se lo pidas. Otros datos privados, como salud o finanzas, salen solo con tu consentimiento explícito | A veces se le escapará algo o marcará un mensaje inofensivo |
| Límites duros | No opera con valores, no mueve dinero entre cuentas, no accede a la cuenta de otra persona | Ninguno declarado |
| Aislamiento del navegador | Una máquina virtual en la nube dedicada. El agente solo puede abrir una página, hacer clic y escribir, y las cookies se quedan en esa máquina | El texto de las páginas es un posible vector de inyección |
| Pruebas | Red teams, una prueba de penetración externa con acceso al código fuente y un programa público de bug bounty en HackerOne | Una prueba posterior del navegador en la nube y del formulario de inicio de sesión seguía en curso el 23 de octubre de 2026 |
Las compras usan una tarjeta de un solo uso de Link (Stripe), limitada a ese comercio y a ese importe. Hay pasos que no puede cubrir una regla de "no volver a preguntar": pagar o enviar dinero, eliminar un pedido y crear una cuenta. Las rutinas que se ejecutan mientras estás fuera tienen las mismas salvaguardas.
Anthropic también avisa de que el formulario de inicio de sesión aparece solo dentro de la app, durante un inicio de sesión que tú has iniciado. Cualquier otra petición de tu contraseña, por enlace, mensaje o correo, no es legítima.
)
Lo que Anthropic aún no ha dicho
A 26 de octubre de 2026, las páginas de Anthropic dejan sin responder lo que necesita saber un CISO: si Team y Enterprise pueden usar Duet, qué controles de administración existen, cuánto se conservan los datos y quién en Anthropic puede verlos. Esas lagunas importan más que las salvaguardas ya documentadas.
| Pregunta | Qué dicen las páginas | Por qué importa |
|---|---|---|
| Disponibilidad en Team o Enterprise | No se describe; lista de espera para Pro y Max de EE. UU. | Es probable que el uso en el trabajo ocurra con cuentas personales |
| Controles de administración | No se describen | No hay documentado un interruptor central |
| Retención de datos | El historial y la memoria se conservan hasta que los borras o los reinicias; no se dan plazos | El contenido del correo y del chat puede persistir en la memoria |
| Acceso de Anthropic a los datos | No se indica | Hace falta para las revisiones de proveedores y los términos de tratamiento de datos |
| Desconectar una app | Detiene el acceso nuevo al instante; lo que Duet ya aprendió se queda hasta que reinicias la memoria | La baja de un empleado necesita un paso de reinicio de memoria |
| Retención de registros | Cada tarea tiene una página; no se describe la retención de registros | La reconstrucción de incidentes puede ser limitada |
| Visibilidad del navegador | Duet todavía no puede mostrarte su navegador | Los pasos intermedios quedan ocultos |
Hay un detalle útil para los equipos web y de SOC. Anthropic dice que las peticiones del navegador de Duet llevan una cabecera User-Agent propia y que publica las direcciones IP desde las que navega, de modo que los sitios pueden identificarlo o bloquearlo. Algunos sitios grandes decidieron bloquearlo antes del lanzamiento.
Los riesgos de seguridad para empresas, mapeados a OWASP 2026
Destacan cuatro riesgos: instrucciones ocultas en páginas o mensajes, datos sensibles que salen por un canal legítimo, un agente que hace más de lo previsto y personas que aprueban avisos sin leerlos. Cada uno encaja en una categoría del OWASP Top 10 for LLM Applications 2026 o del OWASP Top 10 for Agentic Applications.
| Riesgo | Mapeo OWASP | Cómo aparece con Claude Duet |
|---|---|---|
| Instrucciones ocultas en páginas web, correos o mensajes de Slack | LLM01 Prompt Injection; ASI01 Agent Goal Hijack | Duet lee el correo y navega por páginas, y el texto de las páginas vuelve al agente |
| Datos sensibles en mensajes salientes | LLM02 Sensitive Information Disclosure | Un clasificador revisa los mensajes, pero los datos de salud y finanzas pueden salir con consentimiento |
| Exceso de alcance con acceso delegado | LLM03 Excessive Agency; ASI02 Tool Misuse and Exploitation; ASI03 Identity and Privilege Abuse | Un agente puede tener conectores de correo, pagos y nómina |
| Memoria persistente | ASI06 Memory and Context Poisoning | La memoria se conserva hasta que se reinicia y viene de tu cuenta de Claude |
| Fatiga de aprobación | ASI09 Human-Agent Trust Exploitation | Anthropic reconoce la fatiga de aprobación como un riesgo serio |
Sobre este último punto, hay evidencia que merece la pena leer. Según Simon Willison (8 de agosto de 2026), en una prueba con 1.053 participantes de pago se sustituyó un aviso de permiso por un comando peligroso, y solo el 13,6 % de las personas lo rechazó. El clasificador del auto mode habría bloqueado el 89 %, lo que deja pasar alrededor de un 11 %.
Esa cifra se refiere al auto mode de Claude Code, el clasificador en el que se basa la comprobación de Duet, no a Duet en sí. Aun así, muestra por qué un aviso de aprobación es un control útil pero no uno en el que apoyarse en solitario.
El OWASP Top 10 for LLM Applications 2026 (3 de agosto de 2026) sitúa Excessive Agency en tercer lugar, lo que encaja con un agente que puede leer, redactar, pagar y eliminar en muchas apps. El Agentic Top 10 (9 de diciembre de 2025) da a esos mismos riesgos nombres específicos de agentes.
Seguridad y gobernanza: cómo gestionar Claude Duet hoy
Mientras Anthropic no documente controles para empresas, gobierna Claude Duet en las capas que ya controlas: decide si los empleados pueden conectar cuentas de trabajo, restringe las concesiones OAuth, deja los datos sensibles fuera de alcance y nombra a un responsable. Estos pasos no requieren herramientas nuevas y valen para cualquier agente en segundo plano.
| Control | Qué hacer | Dónde vive |
|---|---|---|
| Política | Indica si las cuentas de trabajo pueden conectarse a Duet; por defecto, no para datos regulados | Política de uso de IA |
| OAuth y listas de apps permitidas | Revisa y restringe las concesiones a apps de terceros en las consolas de administración de Google Workspace, Microsoft 365 y Slack | Administración de identidad y SaaS |
| Mínimo privilegio | Si se permite el uso, empieza con permisos de solo lectura y añade un conector cada vez | Ajustes de conectores |
| Higiene de aprobaciones | Enseña a leer destinatarios y contenido, y trata un aviso de aprobación inesperado como un incidente | Formación de concienciación |
| Memoria y bajas | Añade "desconectar apps y reiniciar la memoria de Duet" a la lista de bajas | RR. HH. y TI |
| Detección | Vigila en los registros web el User-Agent de Duet y sus IP publicadas, y revisa las nuevas concesiones OAuth | SOC |
Para los agentes que tus propios equipos construyen y ejecutan, los controles viven en tu infraestructura. El Agent Gateway (TrustGate) de NeuralTrust aplica políticas a cada llamada a modelos y herramientas, Agent Runtime Security (TrustGuard) las hace cumplir en tiempo de ejecución y Agent Posture Management (TrustLens) inventaría los agentes y el acceso que tienen, todo dentro de la Runtime Security Mesh.
Ninguno de ellos puede ver dentro del navegador en la nube de Claude Duet, que opera Anthropic. Para Duet en sí, tus controles siguen siendo la identidad, OAuth y la política. Pregunta a cualquier agente de un proveedor lo mismo que preguntarías al tuyo: a qué puede acceder y qué le impide ir más lejos.
¿Qué enfoque deberías elegir?
Elige según quién eres y qué datos tocaría el agente. Las empresas reguladas deberían esperar a que haya controles de administración documentados. Las pequeñas empresas pueden hacer un piloto con permisos acotados. Los equipos de seguridad deberían empezar a medir la exposición ya, apruebe o no la empresa Duet, porque las cuentas personales hacen probable el uso en la sombra.
| Si eres | Enfoque recomendado | Por qué |
|---|---|---|
| CISO de una empresa regulada | Bloquea las conexiones de cuentas de trabajo hasta que existan controles de administración y términos de retención | Todavía no hay documentación para Team ni Enterprise |
| Equipo de TI o seguridad de una empresa mediana | Crea una lista de apps OAuth permitidas, vigila los registros web y publica una política provisional | El uso en la sombra con cuentas personales es probable |
| Dueño de un pequeño negocio | Haz un piloto con permisos de solo lectura en un buzón no sensible y aprueba cada envío | Es el público para el que Anthropic creó Duet |
| Responsable de plataforma de IA que construye sus propios agentes | Reutiliza el diseño publicado de Duet como lista de comprobación: aislamiento de credenciales, aprobaciones fuera del modelo y un clasificador de datos salientes | Son patrones que tus propios agentes también necesitan |
Conclusión
Claude Duet muestra hacia dónde van los agentes en segundo plano: acceso amplio a conectores, trabajo de larga duración y aprobaciones como control principal. Las decisiones de Anthropic sobre credenciales y aprobaciones están bien documentadas, pero las preguntas empresariales sobre controles de administración, retención y acceso a los datos siguen abiertas. Hasta que se respondan, gobierna Claude Duet en la capa de identidad, deja los datos regulados fuera de alcance y trata cada aviso de aprobación como una decisión de seguridad.
Protege tus agentes de IA en producción con NeuralTrust
Reserva una demo y descubre cómo NeuralTrust te da visibilidad y control sobre los agentes que tus equipos construyen y ejecutan.
)
Lecturas relacionadas
- AI Gateway para IA agéntica: seguridad de MCP y A2A
- Human-in-the-loop en agentes de IA
- Autenticación MCP: OAuth 2.1 bien hecho para agentes de IA
Preguntas frecuentes sobre Claude Duet
1. ¿Qué es Claude Duet?
Claude Duet es una app de agente proactivo de Anthropic, anunciada el 21 de octubre de 2026 como research preview. Trabaja en segundo plano con apps conectadas como Gmail y Slack, envía un resumen matinal y redacta o prepara trabajo en una máquina virtual en la nube con su propio navegador. Pide aprobación antes de enviar, pagar, firmar o eliminar.
2. ¿Es seguro usar Claude Duet en una empresa?
Anthropic documenta controles sólidos de credenciales y aprobaciones, pero a 26 de octubre de 2026 sus páginas no describen la disponibilidad en Team o Enterprise, los controles de administración, los plazos de retención ni quién puede acceder a los datos. Para datos regulados, espera esas respuestas. Para el resto, restringe las concesiones OAuth y fija una política provisional antes de que los empleados conecten cuentas de trabajo.
3. ¿Quién puede usar Claude Duet hoy?
Claude Duet está disponible mediante lista de espera, empezando por suscriptores Pro y Max de EE. UU., en iOS, Android y claude.ai. Está incluido en esos planes y usa los mismos límites de uso que el resto de Claude, y las comprobaciones en segundo plano cuentan para ellos. Anthropic no ha anunciado disponibilidad para otros planes ni regiones.
4. ¿Claude Duet ve mis contraseñas?
Según Anthropic, no. Escribes las contraseñas en un formulario de la app de Claude, que las cifra con una clave de un solo uso que existe solo en la máquina del navegador en la nube. Los tokens de inicio de sesión quedan tras un proxy fuera de esa máquina y el agente solo tiene un marcador. Duet no puede guardar credenciales en la memoria.
5. ¿Qué puede hacer Claude Duet sin mi aprobación?
Puede leer las cuentas conectadas, revisarlas cada pocas horas, redactar mensajes y preparar trabajo. Antes de enviar un mensaje potencialmente sensible, pagar o eliminar algo, te muestra la acción exacta y espera. Pagar o enviar dinero, eliminar un pedido y crear una cuenta no pueden cubrirse con una regla de "no volver a preguntar".
6. ¿Cómo evito que Claude Duet acceda a una app?
Desactiva la app en los ajustes de Claude; las apps conectadas vienen de Claude, así que desconectar en un sitio la desconecta en ambos. El acceso se detiene desde ese momento, pero lo que Duet ya aprendió se queda hasta que reinicies su memoria en los ajustes de la app. Añade ambos pasos a tu lista de bajas.
7. ¿Puede Claude Duet hacer pagos?
Sí, con límites. Las compras usan una tarjeta virtual de un solo uso de Link de Stripe, limitada a ese comercio y a ese importe, así que tu número de tarjeta real no se comparte. Pagar siempre necesita tu aprobación. Operar con valores y mover dinero entre cuentas están bloqueados incluso con aprobación.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro Gartner Hype Cycle reports de 2026, y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- Anthropic, Introducing Claude Duet, 21 de octubre de 2026.
- Anthropic, Claude Duet Safety, Privacy, and Security, 23 de octubre de 2026.
- Simon Willison, entrada sobre el auto mode de Claude Code y los resultados de prompt injection, 8 de agosto de 2026.
- OWASP GenAI Security Project, OWASP Top 10 for LLM Applications 2026, 3 de agosto de 2026.
- OWASP GenAI Security Project, OWASP Top 10 for Agentic Applications, 9 de diciembre de 2025.