Tra i tanti numeri che accompagnano un rilascio, Boris Cherny di Anthropic ne indica uno come il più interessante di Claude Opus 5, e non è un punteggio su un benchmark. Come riportato da Simon Willison, Cherny scrive: “Più di questi eval score, ciò che mi entusiasma di più è un’altra cosa: Opus 5 è il nostro modello meno prompt-injectable finora. È un po’ sepolto nel system card, ma tra eval di prompt injection e red teaming, Opus 5 è molto difficile da prompt-injectare con successo”. Il riferimento è alla sezione del system card, a pagina 73.
Vale la pena ricordare perché questo aspetto pesi tanto. Il prompt injection è la classe di attacchi in cui istruzioni ostili nascoste in contenuti non fidati — una pagina web, una email, un documento, l’output di un tool — dirottano il comportamento del modello. È il rischio strutturale degli agenti: più un sistema legge dati esterni e agisce su di essi, più diventa esposto. Non a caso è una delle ragioni principali per cui molti team esitano a dare agli agenti permessi ampi su ambienti reali.
Per chi lavora con data stack e AI, un modello più difficile da prompt-injectare abbassa la barriera all’adozione proprio dei workflow più utili: assistenti che leggono ticket, agenti che navigano documentazione, pipeline che elaborano contenuti di provenienza eterogenea. Meno superficie di manipolazione significa meno guardrail difensivi da impilare a valle, e un margine di rischio più gestibile.
Restano le cautele d’obbligo. Si tratta di un risultato dichiarato dal vendor e misurato sui propri eval e red teaming: “difficile” non vuol dire “impossibile”, e la resistenza va comunque verificata sul proprio dominio e sui propri dati. La difesa in profondità — validazione degli input, isolamento dei permessi, monitoraggio — resta necessaria. Ma la direzione, con il prompt injection trattato come metrica di prima classe e non come nota a piè di pagina, è quella giusta.
In sintesi
- Anthropic indica la resistenza al prompt injection come il risultato più rilevante di Opus 5, sopra i punteggi dei benchmark.
- Il dato è nel system card (pagina 73), misurato su eval dedicati e red teaming.
- È un fattore chiave per adottare agenti che operano su input non fidati, ma non sostituisce la difesa in profondità.
Fonte: Quoting Boris Cherny — https://simonwillison.net/2026/Jul/25/boris-cherny/
Hai qualcosa da aggiungere? Unisciti alla discussione.