Anthropic 最新发布的 Opus 5 模型，在配合 Auto Mode 的情况下，于 129 个测试场景中实现了浏览器提示注入攻击零成功率，而未经额外保护时成功率也仅为 3.7%。这一结果若经得起实践检验，可能意味着 AI Agent 在浏览器中面临的最大安全威胁——提示注入——终于有了可靠解决方案。
发生了什么
The Decoder 报道，Anthropic 的 Opus 5 模型在针对浏览器 Agent 的提示注入测试中表现惊人。在 129 种不同场景下，当 Opus 5 与 Auto Mode（一种自动防御模式）结合使用时，提示注入攻击的成功率降至 0%。即便没有这些额外保护层，攻击成功率也仅为 3.7%。这一数据远低于此前任何公开报告的防御水平。提示注入攻击是指恶意用户通过精心构造的输入，诱使 AI 模型执行非预期操作，例如泄露敏感信息、执行未授权命令或操纵浏览器行为。对于在浏览器中自主操作的 AI Agent 而言，这种攻击尤为危险，因为它们可能被诱导点击恶意链接、填写表单或访问受限资源。
为什么重要
提示注入是 AI Agent 安全领域长期悬而未决的难题。自大语言模型（LLM）被广泛用于构建自主 Agent 以来，研究人员和开发者一直试图通过输入过滤、输出验证、权限隔离等手段防御此类攻击，但效果有限。浏览器环境尤其脆弱：Agent 需要读取网页内容、执行 JavaScript、与 DOM 交互，攻击面极广。此前，即使最先进的防御方案也无法将成功率降至个位数。Opus 5 的突破性在于，它可能从模型层面（而非仅靠外部防护）实现了对恶意指令的天然免疫力。这意味着开发者无需再依赖复杂的多层防御体系，从而降低部署门槛和性能开销。此外，3.7% 的无保护成功率本身也远低于行业平均水平，暗示模型本身已具备较强的抗干扰能力。如果这一成果可复现，它将重塑 AI Agent 的安全评估标准，并加速 Agent 在金融、医疗、政务等高风险场景的落地。
影响与看点
对开发者而言，Opus 5 的发布意味着可以更安全地构建浏览器自动化 Agent，而无需过度担心提示注入导致的数据泄露或操作失控。这可能催生一批新的应用，如自动填表、网页测试、数据采集等。对行业而言，Anthropic 的成果将迫使其他模型厂商跟进，提示注入防御能力可能成为下一代 Agent 模型的标配。值得关注的是，129 个测试场景的覆盖范围是否足够全面？实际部署中是否会出现新的攻击变种？此外，Auto Mode 的具体机制尚未公开，其防御是否依赖于特定假设？这些问题的答案将决定该方案是通用解还是特例。我的独立判断是：Opus 5 的零成功率是一个里程碑，但 AI Agent 的安全博弈远未结束——攻击者总会寻找新的突破口，而防御者需要持续进化。
