Anthropic affirme qu’Opus 5 réduit fortement le risque de prompt injection dans le navigateur

Anthropic revendique un gain défensif majeur pour les agents IA

Anthropic affirme que son modèle Opus 5 a franchi un cap important dans sa résistance à l’un des problèmes de sécurité les plus persistants des agents IA : la prompt injection via le navigateur. D’après les détails cités du system card de l’entreprise, les attaques de prompt injection contre des agents de navigateur n’ont réussi dans aucun des 129 scénarios de test lorsque Opus 5 était utilisé avec les protections d’Auto Mode activées.

Si ce résultat se confirme à plus grande échelle, il marquerait une avancée significative pour l’IA agentique. La prompt injection est devenue un obstacle central au déploiement de systèmes qui parcourent le web, lisent des documents ou effectuent des actions au nom d’un utilisateur. Le problème de base est d’une simplicité trompeuse : un attaquant cache des instructions malveillantes dans une page web ou une autre entrée, et le modèle suit ces instructions au lieu des règles de priorité supérieure qu’il était censé respecter.

Ce mode de défaillance a hanté l’idée d’agents IA fiables, car l’attaque ne repose pas sur la rupture des frontières logicielles traditionnelles. Elle exploite la façon dont les modèles de langage interprètent le texte. En conséquence, même des modèles très performants peuvent être manipulés par du contenu hostile ou trompeur, à moins que des protections supplémentaires ne soient ajoutées autour d’eux.

Ce qu’Anthropic dit avoir changé

Le taux de réussite nul rapporté ne provenait pas du seul modèle Opus 5. Le résultat s’appliquait lorsque Auto Mode était activé dans des produits Anthropic tels que Claude Cowork. Dans cette configuration, deux couches de protection distinctes étaient actives. Une couche analyse le contenu entrant à la recherche d’instructions cachées ou malveillantes avant que le modèle ne le traite. La seconde bloque les actions dangereuses avant qu’elles ne soient exécutées.

Cette distinction compte. Les propres chiffres d’Anthropic indiquent qu’Opus 5, sans ces défenses supplémentaires, affichait encore un taux de réussite d’attaque de 3,7 % dans le cadre d’un agent de navigateur. La percée rapportée semble donc être une amélioration au niveau du système, plutôt qu’une preuve que la prompt injection a été résolue au niveau du modèle pris isolément.

Ce cadrage système est important pour l’industrie dans son ensemble. Les problèmes de sécurité des agents IA sont de plus en plus traités comme des problèmes de stack, et non comme de simples problèmes de modèle. Le modèle peut s’améliorer, mais le filtrage des entrées, l’application des politiques, la gestion des autorisations et le blocage des actions influencent tous la réussite réelle d’une attaque.

Les benchmarks montrent des progrès, sans conclure à une fin définitive

La source cite également les résultats du benchmark de prompt injection de la société de sécurité Gray Swan. Dans un test général, le taux de réussite de l’attaquant après 15 tentatives serait passé de 5,5 % avec Opus 4.8 à 2,0 % avec Opus 5. Cela place Opus 5 devant les autres modèles nommés dans la comparaison, notamment Mythos 5 à 2,6 % et Fable 5 à 2,8 %.

Ces chiffres suggèrent une amélioration réelle, mais ils soulignent aussi les limites d’une affirmation selon laquelle la prompt injection serait « résolue ». Même dans la présentation d’Anthropic, le résultat le plus propre dépend d’une configuration produit spécifique avec plusieurs défenses activées. Sans elles, le taux de réussite de l’attaque ne tombe pas à zéro. Et dans au moins une comparaison citée dans la source, Sonnet 5 a mieux performé qu’Opus 5 dans la condition d’agent de navigateur non protégé, avec un taux de 0,93 % contre 3,7 % pour Opus 5.

Autrement dit, la conclusion la plus solide n’est pas qu’un seul modèle a éliminé le problème d’un coup. C’est qu’Anthropic a peut-être assemblé un ensemble de défense pratique plus robuste pour les agents de navigateur que ce qui était disponible auparavant.

Pourquoi cela compte pour la course aux agents

La prompt injection n’est pas un sujet de sécurité marginal. Elle touche directement la promesse commerciale la plus précieuse de l’IA agentique : des systèmes capables de naviguer dans des outils et sources d’information en ligne avec une supervision limitée. Si ces systèmes peuvent être détournés par du texte caché, des instructions compromises ou un formatage hostile, ils deviennent difficiles à utiliser en confiance dans des workflows réels impliquant achats, administration, codage, recherche ou opérations client.

C’est pourquoi même des réductions modestes des taux de réussite des attaques comptent. Une probabilité plus faible de manipulation réussie peut élargir le champ des tâches que les entreprises sont prêtes à automatiser. Pour les fournisseurs, cela peut aussi devenir un différenciateur concurrentiel, surtout à mesure que les capacités des modèles convergent et que les acheteurs commencent à privilégier la fiabilité opérationnelle plutôt que les performances brutes sur benchmark.

Le sujet est devenu suffisamment sérieux pour qu’OpenAI reconnaisse en décembre que la prompt injection ne sera peut-être jamais entièrement résolue. Cette position reflète une inquiétude plus large dans l’industrie : comme les modèles de langage sont conçus pour absorber des entrées en langage naturel et agir sur elles, ils peuvent rester intrinsèquement exposés à certaines formes de conflit d’instructions. L’ingénierie défensive peut réduire le risque, mais une immunité totale peut être difficile à garantir dans des environnements ouverts.

Ce qu’il faut surveiller ensuite

La prochaine question est de savoir si les résultats d’Anthropic peuvent être reproduits et généralisés. Les données internes du system card peuvent être instructives, mais la validation externe détermine généralement si une avancée de sécurité revendiquée devient une pratique de confiance dans l’industrie. Les chercheurs voudront probablement savoir comment les 129 scénarios d’agent de navigateur ont été construits, quels types d’attaques ont été inclus, dans quelle mesure ils représentaient des tactiques adversariales réelles, et comment les protections réagissent lorsque les attaquants s’adaptent.

Une autre question ouverte est celle de l’utilisabilité. Les systèmes de sécurité IA les plus solides ajoutent souvent des frictions, soit en bloquant des actions ambiguës, soit en réduisant ce qu’un agent peut faire de manière autonome. Si les protections d’Auto Mode sont très efficaces mais perturbent fréquemment des tâches légitimes, les entreprises devront arbitrer entre sécurité et productivité. Le texte source ne fournit pas ce contexte opérationnel, donc la conclusion immédiate se limite à la résistance aux attaques et non à la performance complète du produit.

Néanmoins, le signal directionnel est clair. Anthropic soutient que la voie vers des agents plus sûrs ne passe pas seulement par un modèle de base plus intelligent, mais par une architecture en couches qui traite les entrées hostiles comme une condition courante. Cette approche rejoint l’évolution de la sécurité logicielle mature : non pas autour d’une barrière parfaite unique, mais autour de plusieurs points de contrôle qui rendent la compromission progressivement plus difficile.

Pour l’industrie de l’IA, cela pourrait bien être le véritable jalon. Même si la prompt injection n’a pas disparu, la combinaison d’améliorations du modèle et d’outils défensifs étroitement intégrés est peut-être enfin en train de la faire passer d’un blocage fondamental à un problème d’ingénierie plus gérable.

Cet article s’appuie sur un reportage de The Decoder. Lire l’article original.