Koniec z porwaniami sesji? Opus 5 stawia zaporę przed atakami typu prompt injection

Bezpieczeństwo autonomicznych agentów AI wisiało na włosku od chwili, gdy pierwsi hakerzy odkryli, że złośliwe instrukcje można ukryć w zwykłym tekście na stronie internetowej. Ta technika, znana jako prompt injection, pozwalała zdalnie przejąć kontrolę nad modelem i zmusić go do kradzieży danych. Najnowsze dane dotyczące modelu Opus 5 od Anthropic sugerują, że branża znalazła w końcu sposób na zagrożenie, które OpenAI jeszcze niedawno uznawało za niemożliwe do pełnego wyeliminowania.

To kluczowy moment dla rozwoju usług AI, ponieważ narzędzia umożliwiające przeglądanie sieci drastycznie zwiększają liczbę wektorów ataku. Gdy agent samodzielnie przegląda sieć, widzi tysiące linii kodu i tekstu, w których może kryć się pułapka. Według oficjalnego raportu Anthropic, nowa architektura ma na celu domknięcie tych luk, dając firmom pewność, że AI nie zacznie nagle wykonywać poleceń obcych osób znalezionych w sieci.

Skuteczność potwierdzona w testach

W 129 scenariuszach testowych symulujących pracę agenta w przeglądarce, model Opus 5 zanotował zero skutecznych ataków. To zmiana reguł gry. Pomiary niezależnej firmy Gray Swan potwierdzają te wyniki. W ogólnym benchmarku IPI (Indirect Prompt Injection), wskaźnik skuteczności włamań do Opus 5 po 15 próbach wyniósł 2,0%. Rywale wypadają gorzej: Mythos 5 odnotował 2,6%, a Fable 5 osiągnął 2,8%.

Mimo tych sukcesów, inżynierowie pozostają ostrożni. Anthropic wprost przyznaje w dokumentacji: „Żaden agent przeglądarkowy nie jest odporny na prompt injection”. Nawet przy fenomenalnych wynikach w testach syntetycznych, marginalne ryzyko pozostaje realne. Redakcja serwisu The Decoder słusznie zauważa, że 1-procentowa skuteczność ataku w skali globalnej wciąż oznacza tysiące udanych włamań.

Dwie warstwy zamiast jednej

Absolutna odporność modelu w przeglądarce nie wynika z samej magii sieci neuronowej. Kluczem jest funkcja Auto Mode, którą znajdziemy m.in. w narzędziu Claude Cowork. System ten wykorzystuje dwuwarstwową zaporę. Pierwsza warstwa skanuje napływające dane pod kątem zakamuflowanych komend, zanim w ogóle trafią one do procesora. Druga działa jak bezpiecznik – blokuje ryzykowne działania, takie jak przelewy czy usuwanie plików, tuż przed ich wykonaniem.

Analiza danych pokazuje ciekawą zależność. „Czysty” Opus 5 bez dodatkowych filtrów wciąż wykazuje 3,7% podatności. Co ciekawe, lżejszy model Sonnet 4.5 wypada w tym samym zestawieniu lepiej, osiągając zaledwie 0,93%. Wniosek? Bezpieczeństwo to nie tylko kwestia rozmiaru modelu, ale przede wszystkim sprytne oprogramowanie wspomagające, które filtruje to, co AI widzi na ekranie.