Anthropic signale que son dernier modèle, Opus 5, est presque immunisé contre les attaques par injection de prompt au sein de son propre écosystème logiciel. L'injection de prompt — une technique par laquelle un attaquant contourne les instructions de fonctionnement d'un modèle d'IA via des entrées manipulées telles que du texte caché intégré dans des pages web — a échoué contre Opus 5 dans presque tous les scénarios testés.

Selon la fiche système d'Opus 5, le taux de réussite des attaques pour les agents de navigation a atteint zéro pour cent sur 129 scénarios de test. Cela contraste notablement avec la reconnaissance par OpenAI en décembre que l'injection de prompt pourrait ne jamais être entièrement résolue.

Lors d'une évaluation générale de l'injection de prompt menée par la société de sécurité Gray Swan, le taux de réussite après 15 tentatives est passé de 5,5 pour cent sur Opus 4.8 à 2,0 pour cent sur Opus 5, comme détaillé dans la section des tests de sécurité de la fiche système.

Cependant, le résultat de zéro pour cent pour les agents de navigation dépend de l'activation du mode Auto dans des produits tels que Claude Cowork. Le mode Auto déploie deux couches de défense : l'une qui analyse les données entrantes pour détecter des instructions cachées avant que le modèle ne les traite, et l'autre qui bloque les actions dangereuses avant leur exécution. Un attaquant devrait vaincre indépendamment les deux couches pour réussir.

Sans ces protections, la vulnérabilité d'Opus 5 à l'injection de prompt s'établit à 3,7 pour cent. Fait intéressant, Sonnet 5 performe mieux dans cette configuration non protégée, avec un taux de 0,93 pour cent. Seule la combinaison du modèle Opus 5 et du logiciel de protection Auto Mode ramène le taux de réussite des attaques à zéro dans les scénarios d'agents de navigation.

L'injection de prompt est largement considérée comme l'un des défis de sécurité les plus importants auxquels sont confrontés les agents d'IA — des systèmes autonomes qui naviguent sur le web, lisent des documents et effectuent des actions au nom des utilisateurs. Étant donné que ces agents traitent régulièrement du contenu externe non fiable, des acteurs malveillants peuvent potentiellement intégrer des instructions qui remplacent les directives originales de l'agent. Cette vulnérabilité est une préoccupation persistante dans l'ensemble de l'industrie de l'IA et un obstacle majeur au déploiement plus large des systèmes d'IA agentique. Les principaux laboratoires d'IA, dont Google et OpenAI, développent également des produits d'agents de navigation, ce qui fait de la résistance à l'injection de prompt un facteur de différenciation concurrentiel à mesure que ces outils s'orientent vers un usage plus large auprès des consommateurs et des entreprises. Les résultats d'Anthropic suggèrent que la combinaison d'améliorations de l'entraînement au niveau du modèle avec des garde-fous architecturaux peut réduire les risques, bien que ces conclusions s'appliquent spécifiquement à l'écosystème d'Anthropic et puissent ne pas se généraliser aux déploiements tiers dépourvus de défenses multicouches équivalentes.