En 1963, le politiste américain Bernard Cohen résumait l’influence de la presse d’une formule : elle réussit rarement à dire aux gens ce qu’ils doivent penser, mais remarquablement à leur dire à quoi penser. Pendant la présidentielle de 1968, Maxwell McCombs et Donald Shaw l’ont vérifié à Chapel Hill, en Caroline du Nord : les thèmes que les médias plaçaient en tête recoupaient étroitement ceux que les électeurs indécis interrogés jugeaient prioritaires. Le pouvoir d’une rédaction tient à ce qu’elle choisit de mettre en avant.
Ce pouvoir de hiérarchiser s’arrêtait à l’actualité publique. Une boîte de réception ou un agenda restaient pour l’essentiel ordonnés par leur titulaire ou par un secrétariat, et les assistants conversationnels n’y touchaient guère : ils répondaient, encore fallait-il les interroger. Le mercredi 21 octobre 2026, Anthropic a ouvert les inscriptions à Claude Duet, agent chargé d’inspecter les comptes de son utilisateur, d’agir pour lui et de choisir ce qui remontera jusqu’à lui.
Duet arrive un peu plus de trois semaines après les dots d’OpenAI et six après Muse, son équivalent chez Meta, soit trois lancements comparables en six semaines. Sa documentation a l’intérêt d’exposer ses arbitrages et d’avouer ce que l’agent ne sait pas encore faire. Viennent son fonctionnement, puis qui décide de l’urgence, le prix de la veille, les pouvoirs délégués, la défense contre les messages piégés, le sort des données et l’absence de l’Europe.
Un aperçu de recherche limité aux abonnés américains
Duet est un « aperçu de recherche » ouvert sur liste d’attente aux seuls abonnés Pro et Max établis aux États-Unis, les offres Team et Enterprise n’étant pas encore concernées. Il prend la forme d’une application pour iOS et Android, distincte de celle de Claude, doublée d’un accès web. L’agent n’a pas de prix propre : Pro coûte 20 dollars par mois, Max à partir de 100. Anthropic le destine « aux professionnels et aux patrons de petites entreprises qui ont plus sur les bras qu’ils ne peuvent en suivre ».
Une synthèse le matin, des rondes espacées de quelques heures
Chaque matin, Duet adresse une synthèse de ce qu’il a relevé d’important dans les services connectés, de l’agenda à la messagerie et aux outils de travail, puisés dans un catalogue de plus de 6 000 connecteurs et plugins. Il les inspecte ensuite à intervalles de quelques heures, qu’Anthropic ne chiffre pas, et ne se manifeste que lorsqu’une décision est attendue. Son champ couvre les rendez-vous à caler comme la production : tableaux de bord, prévisions financières, petites applications web.
L’agent repose sur Claude Opus 5.5, mis en ligne le 22 septembre ; il reprend la mémoire, les compétences et les connexions du compte Claude, et on lui parle ou lui écrit dans un fil unique. Il travaille appareils éteints, sur une machine virtuelle dotée d’un navigateur que l’utilisateur ne peut pas encore voir. Chez l’agence immobilière Pro Homes, il a repéré de lui-même une visite inscrite au mauvais jour ; Anthropic admet que les tâches personnelles, comme réserver des billets, sont moins abouties.
Qui décide de ce qui mérite une interruption
De Lookout à Google Now, l’initiative cantonnée à la suggestion
En 1999, Eric Horvitz, de Microsoft Research, posait les principes des interfaces à initiative mixte à partir de Lookout, qui lisait les courriels pour proposer des rendez-vous dans Outlook : régler le moment d’intervenir sur l’attention de l’utilisateur, minimiser le coût des mauvaises suppositions, faire moins mais bien quand le doute est fort. Google Now, présenté le 27 juin 2012, affichait sans demande rappels, trafic ou retards de vol, puis des cartes tirées de Gmail, avant que la marque ne s’efface en 2016. Ces systèmes suggéraient ; Duet exécute, d’où le poids des validations.
Ce que coûte une interruption, même pertinente
En 2008, Gloria Mark, Daniela Gudith et Ulrich Klocke ont observé 48 participants traitant des courriels dans un bureau simulé : interrompus, ils finissaient plus vite et sans perte de qualité, mais déclaraient plus de stress, de frustration, de pression temporelle et d’effort, après vingt minutes seulement. Pu et ses collègues ont montré en 2025, sur 18 participants, qu’un agent proactif gagne en efficacité sur une aide à la demande tout en perturbant le flux de travail.
Duet promet donc moins d’ajouter des alertes que d’en retenir, et c’est sur ce tri qu’il sera jugé. Anthropic concède qu’il « peut encore mal juger ce qui est urgent » ou lire de travers un fil, et que le choix du moment où prévenir reste en test, l’utilisateur pouvant préciser ce qu’il veut savoir et à quelle fréquence ; Chen et ses collègues notaient à CHI 2025 qu’une intervention mal placée ou hors sujet peut compromettre l’interaction. Le logiciel exerce ainsi, pour une seule personne, la fonction que la sociologie des médias prête aux rédactions : fixer l’ordre du jour.
Une vigilance imputée sur le forfait
Inclus dans Pro et Max, Duet partage pendant l’aperçu les limites d’usage du reste de Claude : ses vérifications en arrière-plan y sont décomptées, et les grosses tâches, un modèle financier ou une présentation, consomment davantage. Ces limites combinent une fenêtre de session remise à zéro toutes les cinq heures et un plafond hebdomadaire, nourris par un même compteur pour claude.ai, Claude Code et Claude Desktop, auquel s’ajoute la veille de l’agent.
La fréquence des rondes relève donc de l’économie plus que de l’ergonomie, ce qu’Anthropic assume : « une vérification permanente épuiserait les limites de votre forfait bien plus vite ». L’éditeur règle ainsi un compromis : chaque ronde de plus avancerait l’alerte mais entamerait le quota du travail demandé, et ce qui survient entre deux rondes attend la suivante. Sur l’API, Opus 5.5 coûte 4 dollars par million de jetons en entrée et 20 en sortie, le double de Claude Sonnet 5.5, publié le 28 septembre. Meta parie sur un autre modèle : Muse, essentiellement gratuit, doit se financer en prélevant une part des transactions qu’il conclut.
Des pouvoirs délégués, bornés par des validations
Duet lit, rédige et prépare seul ; avant tout envoi de message, tout paiement, toute signature de document ou toute suppression, il présente l’action exacte et attend un accord. Acheter ou vendre des titres financiers et transférer de l’argent entre comptes lui restent interdits, même avec approbation. Les achats passent par Link, le portefeuille de Stripe, dont la carte virtuelle ne livre pas le numéro réel, ou par Shop Pay chez les marchands en ligne, et l’utilisateur peut déconnecter une application à tout moment.
La frontière sépare le réversible de ce qui engage : un brouillon se corrige, un courriel envoyé, un paiement, une signature ou un fichier effacé ne se rattrapent pas. Lors du pilote de Claude pour Chrome, en août 2025, un faux courriel de sécurité avait amené l’agent, avant les défenses, à supprimer les messages de l’utilisateur sans confirmation. Reste une tension : chaque demande de validation est aussi une interruption, prélevée sur l’attention que le tri des urgences prétend ménager.
Un agent qui lit des messages qu’il n’a pas écrits
Les clés hors de portée du modèle
Lire des courriels venus de n’importe qui expose par construction à l’injection de prompt, ces instructions cachées pour détourner le modèle. La parade d’Anthropic est d’abord architecturale : les identifiants sont gérés selon la conception de Claude Managed Agents, et l’agent ne voit jamais directement mots de passe ni jetons de connexion. Le billet d’ingénierie du 8 avril 2026 sépare le « cerveau », modèle et boucle de décision, des « mains », bacs à sable et outils : les jetons OAuth restent dans un coffre d’où un proxy les injecte à l’appel d’outil.
Auparavant, une injection n’avait qu’à convaincre Claude de lire son environnement pour voler ces jetons ; désormais, même manipulé, l’agent ne peut plus les atteindre. Un classifieur dédié et un prompt système de sécurité contrôlent en outre chaque message : numéros de carte et pièces d’identité ne sont jamais transmis, données de santé ou de finances personnelles seulement sur demande explicite. Un classifieur de mode automatique valide enfin les actions.
Des chiffres qui ne concernent pas Duet
Anthropic invoque ses travaux sur les agents de navigation, des équipes rouges, un test d’intrusion externe et un programme public de primes aux bugs, mais ne publie aucun taux d’attaque propre à Duet ; des précisions sont annoncées pour les prochains jours. Les repères chiffrés portent sur l’extension pour navigateur : 23,6 % d’attaques réussies sans protection et 11,2 % avec lors du pilote de Chrome, sur 123 cas ; puis, le 24 novembre 2025, 8,0 % et 1,4 % pour Claude Opus 4.5 face à un attaquant adaptatif disposant de cent tentatives par environnement, Anthropic jugeant qu’un taux de 1 % reste un risque réel.
Les données des comptes connectés, et celles des autres
Aucune règle de confidentialité propre à Duet n’est publiée. La politique d’Anthropic en vigueur depuis le 10 septembre 2026 range le contenu récupéré par des connecteurs parmi les « Inputs » de l’utilisateur, certaines intégrations accédant aux services tiers en continu jusqu’à leur désactivation. Ces Inputs peuvent servir à l’entraînement sauf opposition et, depuis la révision des conditions du 28 août 2025, sont conservés cinq ans si l’abonné accepte l’entraînement, trente jours sinon ; les offres commerciales, dont Team et Enterprise que Duet n’accueille pas encore, y échappent.
En surveillant messageries, comptabilité avec QuickBooks ou paie avec Gusto, l’agent brasse les données de clients, de fournisseurs et de salariés qui n’ont rien accepté et que seule l’opposition de l’abonné soustrait à l’entraînement. Au 22 octobre, périmètre, prix et interdits sont documentés ; la qualité du tri, la consommation réelle de la veille et la résistance aux injections ne reposent sur aucune mesure indépendante.
L’Europe à l’écart d’une course à trois
Une séquence ouverte en septembre
Meta a tiré la première : son agent personnel Muse a ouvert le 8 septembre aux États-Unis, puis au Canada ; le 22 septembre, il est apparu que ses appels téléphoniques reposaient en partie sur des opérateurs humains. Le 29 septembre, OpenAI présentait à son DevDay les dots, des agents qui tournent en continu, chacun sur une machine hébergée dans le cloud. En s’alignant, Anthropic porte à trois les grands acteurs qui misent sur un assistant capable d’ouvrir lui-même la conversation.
Des absences sans motif
Aucun des trois n’est ouvert aux particuliers en France. Les dots sont fermés aux abonnés Pro du Royaume-Uni, de la Suisse et de l’Espace économique européen, OpenAI n’ayant fourni aucune explication ; Muse ne sort pas d’Amérique du Nord ; l’inscription à Duet suppose un compte américain, sans date ni prix en euros. Les précédents suggèrent un décalage plus qu’une exclusion : Sora avait ouvert fin 2024 en écartant l’Union européenne, Operator avait atteint l’Europe avec plusieurs semaines de décalage, et Apple Intelligence, retenu dans l’Union en juin 2024 au nom du Digital Markets Act, y est arrivé le 31 mars 2025.
Anthropic ne donne aucun motif. Le 14 juin 2024, Meta avait suspendu le lancement de Meta AI en Europe après que la Data Protection Commission irlandaise lui eut demandé de différer l’entraînement sur les contenus publics de Facebook et d’Instagram ; pour un agent qui lit en continu des données de tiers, la question du RGPD se pose plus directement, et Anthropic Ireland est déjà responsable de traitement pour l’EEE. Aucun calendrier n’est annoncé ; le prix, lui, est inscrit dans la mécanique, la veille entamant le forfait sans que l’abonné ait rien demandé.
Duet n’est ni le premier agent à prendre l’initiative ni le plus accessible, mais il expose les trois prix de la proactivité : l’attention, puisque le logiciel choisit ce qui interrompt et reconnaît qu’il peut se tromper ; le forfait, chaque ronde se payant sur le compteur du travail demandé ; le contrôle, délégué pour l’ordinaire et repris à chaque geste qui engage. Meta, OpenAI et Anthropic ont désormais engagé le même pari.
Ce pari déplace une question que l’on croyait réservée aux médias. Un agent qui trie le courrier d’un dirigeant fixe l’ordre du jour de sa journée, et ce qu’il tait n’existe pas pour celui qu’il sert. La validation humaine protège des gestes malheureux, non des silences : une erreur de calibrage devient une erreur de hiérarchie que personne ne voit passer.
L’Europe regarde la course depuis la ligne de départ. Les précédents laissent attendre un retard plutôt qu’une exclusion, mais un agent qui lit en continu des données de tiers ne pourra y arriver que sous le regard d’autorités qui ont déjà fait différer des lancements. D’ici là, les précisions de sécurité promises et les premiers usages diront si un agent qui prend la parole sans y être invité sait aussi se taire à bon escient.
Aller plus loin
Le périmètre, le rythme des rondes, les gestes soumis à validation, les interdits et les limites reconnues figurent dans Introducing Claude Duet, billet publié le 21 octobre, qui détaille aussi la gestion des identifiants, le classifieur de sortie, les moyens de paiement et les cas d’usage retenus par Anthropic, ainsi que la promesse de précisions sur la sécurité.
Plus d’un quart de siècle avant Duet, les Principles of Mixed-Initiative User Interfaces d’Eric Horvitz posaient les règles d’un agent qui prend les devants, à partir d’un assistant qui lisait déjà le courrier : régler le moment d’intervenir sur l’attention de l’utilisateur, chiffrer le coût d’une mauvaise supposition, savoir s’abstenir quand le doute domine.
Le prix caché de l’interruption se mesure dans The Cost of Interrupted Work: More Speed and Stress, expérience de 2008 où des participants compensent les interruptions en accélérant, sans perte de qualité, mais au prix d’un stress, d’une frustration et d’un effort nettement accrus, un dommage qui échappe aux indicateurs de productivité.
Le même dilemme, transposé à l’IA générative, est étudié dans Assistance or Disruption?, travail de Pu et de ses collègues qui oppose un assistant de programmation proactif à une aide sur demande, mesure le gain d’efficacité et la gêne qu’il cause, et montre que des signaux de présence de l’agent atténuent cette gêne.
L’architecture dont Duet hérite pour ses identifiants est exposée dans Scaling Managed Agents: Decoupling the brain from the hands, billet d’ingénierie du 8 avril 2026 qui explique comment un coffre et un proxy, en gardant les jetons hors du bac à sable, les mettent hors de portée d’une injection de prompt, même lorsque le modèle a été trompé.
Le risque résiduel est chiffré dans Mitigating the risk of prompt injections in browser use, publication de novembre 2025 qui décrit apprentissage par renforcement, classifieurs et équipes rouges, donne les taux de réussite d’un attaquant adaptatif avec et sans protections, et admet qu’un pour cent reste un risque réel.
Le cas d’école d’un agent trompé par un message qu’il n’a pas écrit se trouve dans Piloting Claude in Chrome, bilan d’Anthropic sur l’injection de prompt établi en août 2025 sur 123 cas et 29 scénarios, où un faux courriel de sécurité suffisait, avant les défenses, à faire supprimer les courriels de l’utilisateur.
Le statut des données récupérées par les connecteurs se lit dans la Privacy Policy d’Anthropic, en vigueur depuis le 10 septembre 2026, qui les range parmi les Inputs, décrit l’accès continu de certaines intégrations, prévoit l’entraînement sauf opposition et désigne Anthropic Ireland pour l’Espace économique européen.
La durée de conservation qui s’applique aux formules Pro et Max découle de Updates to Consumer Terms and Privacy Policy, annonce du 28 août 2025 qui lie cinq ans de rétention à l’acceptation de l’entraînement, trente jours sinon, et laisse hors champ les offres commerciales.
Le précédent d’un assistant retenu hors d’Europe au nom de la protection des données est raconté par Meta dans Building AI Technology for Europeans in a Transparent and Responsible Way, billet de juin 2024 qui expose la demande de la DPC irlandaise et la suspension du lancement qui a suivi.
L’ensemble montre que la proactivité n’ajoute pas une fonction mais ouvre un contrat à trois clauses : sur l’attention, que la recherche sait coûteuse même quand l’alerte est juste ; sur la sûreté, où l’architecture retire au modèle ce qu’il pourrait livrer et où la validation humaine garde le dernier mot ; sur les données, régies par des textes généraux qui n’ont pas été écrits pour une veille permanente. Ce qui manque encore, pour chacune de ces clauses, est une mesure indépendante.