Anthropic avance une affirmation de sécurité lourde de conséquences au sujet des agents d’IA : selon un article de The Decoder citant la system card d’Anthropic, Claude Opus 5 associé à Auto Mode de l’entreprise a ramené les attaques d’injection de prompts dans le navigateur à un taux de réussite de 0 % sur 129 scénarios de test. Si ce résultat se confirme au-delà du propre cadre d’évaluation d’Anthropic, il constituerait une avancée notable contre l’un des problèmes les plus difficiles de la sécurité des agents.

Cette nouvelle est importante parce que l’injection de prompts est devenue un obstacle majeur au déploiement d’agents d’IA qui naviguent sur le web, lisent des documents et agissent pour le compte d’un utilisateur. Dans ces attaques, des instructions malveillantes sont dissimulées dans des pages web ou d’autres contenus externes, et le modèle suit les directives de l’attaquant au lieu de l’intention du développeur ou de l’utilisateur. OpenAI a déclaré en décembre, comme le cite The Decoder, que l’injection de prompts pourrait ne jamais être entièrement résolue. Dans ce contexte, le résultat rapporté par Anthropic apparaît moins comme une simple mise à jour de modèle que comme un test de la capacité de défenses en couches à rendre l’automatisation du navigateur sensiblement plus sûre.

Ce qu’Anthropic dit qu’Opus 5 a obtenu

Selon le rapport de The Decoder sur la system card d’Anthropic, le taux de réussite de 0 % des attaques dans le navigateur a été enregistré lorsque Claude Opus 5 a été utilisé avec Auto Mode dans des produits Anthropic tels que Claude Cowork. L’évaluation rapportée couvrait 129 scénarios de test d’agents de navigateur.

La distinction entre le modèle seul et la configuration complète du produit est centrale dans cette histoire. The Decoder rapporte que Claude Opus 5, pris isolément, n’atteignait pas zéro : sans les couches de protection supplémentaires d’Auto Mode, les injections de prompts dans le navigateur réussissaient 3,7 % du temps. Le même rapport indique que Sonnet 5 faisait mieux qu’Opus 5 sur cette mesure plus étroite, à 0,93 %. Autrement dit, Anthropic ne prétend pas que le modèle de base a résolu le problème à lui seul. L’affirmation plus forte est que la combinaison du modèle et des protections à l’exécution l’a fait.

Cela compte pour la façon dont les acheteurs et les développeurs doivent lire l’annonce. La sécurité des agents d’IA est de plus en plus un problème de système, et non plus seulement un problème de modèle. Un agent de navigateur fait face à du contenu non fiable, à des tâches en plusieurs étapes et à des privilèges d’action. Un modèle peut être meilleur pour ignorer du texte malveillant, mais si le produit qui l’entoure exécute trop facilement des commandes dangereuses, le système reste exposé.

Pourquoi l’injection de prompts dans le navigateur est un problème de sécurité si difficile

L’injection de prompts est souvent décrite comme l’équivalent, pour les LLM, d’attaques par entrée non fiable, mais les agents de navigateur aggravent le problème parce qu’ils opèrent sur des pages web en direct pouvant contenir n’importe quel texte, des éléments cachés ou des instructions conçues pour manipuler le modèle. Si un agent peut cliquer, copier, soumettre des formulaires, accéder à des connecteurs ou manipuler des données sensibles, une injection de prompts réussie peut être plus qu’une simple mauvaise réponse. Elle peut entraîner une fuite de données ou des actions non désirées.

C’est pourquoi ce résultat, s’il est reproductible, a une portée plus large pour l’IA d’entreprise et les agents d’IA. Beaucoup des cas d’automatisation les plus attrayants impliquent de naviguer dans des outils SaaS, des portails internes, des consoles de support et des sites web publics. Ce sont précisément les environnements où des instructions cachées ou adversariales peuvent apparaître.

The Decoder présente l’injection de prompts basée sur le navigateur comme la plus grande faille de sécurité au-dessus des agents d’IA, et cette analyse reflète les préoccupations actuelles du marché. Les fondateurs qui construisent des produits d’agents et les équipes de sécurité d’entreprise qui les évaluent ont dû traiter tout comportement autonome du navigateur avec prudence. La question n’a pas été de savoir si les modèles sont utiles, mais s’ils peuvent être dignes de confiance face à des contenus adversariaux.

L’approche de sécurité semble être en couches, et non purement au niveau du modèle

Le résultat rapporté de succès nul dépendait d’Auto Mode, qui, selon The Decoder, ajoute deux défenses indépendantes au-dessus de Claude Opus 5. Une couche analyse le contenu entrant à la recherche d’instructions cachées avant que le modèle ne le traite. Une seconde couche bloque les actions dangereuses avant leur exécution. Comme décrit, un attaquant doit contourner séparément ces deux protections.

Cette architecture est importante car elle correspond à la manière dont les équipes de sécurité atténuent généralement les menaces à fort impact : isoler les entrées risquées, classer les contenus suspects et encadrer l’exécution. En pratique, cela signifie qu’Anthropic semble traiter l’injection de prompts moins comme une défaillance purement de raisonnement que comme un problème de sécurité produit de bout en bout.

Pour les développeurs, cela a une implication immédiate. Les équipes qui publient de l’automatisation de navigateur ne devraient pas supposer qu’un modèle frontière plus puissant suffit. Elles pourraient avoir besoin de filtres de prétraitement, de moteurs de politiques, de couches d’approbation des actions et d’un cloisonnement plus strict autour des workflows. Le résultat rapporté par Anthropic suggère qu’une pile défensive peut surpasser nettement le modèle pris isolément.

La référence à Claude Cowork laisse aussi entendre où Anthropic estime que cela compte commercialement. Les produits qui agissent au nom des travailleurs du savoir, surtout dans le navigateur, ont besoin de plus que d’intelligence de benchmark. Ils ont besoin de contrôles qui permettent aux entreprises de croire que le système n’obéira pas au texte caché d’une page web aléatoire.

Preuves, benchmarks et ce qui reste à vérifier

Les affirmations les plus fortes ici sont liées au fournisseur et doivent être lues comme telles. The Decoder attribue les chiffres principaux à la system card d’Anthropic elle-même. Le taux de réussite de 0 % sur 129 scénarios d’agents de navigateur est donc un résultat d’évaluation rapporté par le fournisseur, et non une certification indépendante par un tiers.

The Decoder cite aussi un test distinct d’injection de prompts générale mené par Gray Swan, une société de sécurité. Dans ce test, après 15 tentatives d’attaque, le taux de réussite rapporté est passé de 5,5 % pour Opus 4.8 à 2,0 % pour Claude Opus 5. Cette donnée de Gray Swan est utile car elle suggère une amélioration au-delà du seul cadre des agents de navigateur, mais elle ne reste qu’un benchmark parmi d’autres et ne constitue pas une preuve exhaustive de robustesse.

Tout aussi important, les détails de l’article limitent la conclusion plus large. Le taux nul rapporté s’applique aux agents de navigateur avec Auto Mode activé, et non à toutes les utilisations de Claude Opus 5. Sans ces protections, The Decoder indique que le taux de réussite des attaques était de 3,7 %. C’est bien mieux que ce que beaucoup d’observateurs pourraient attendre, mais ce n’est pas zéro. Cela signifie aussi que les comparaisons entre modèles sont plus complexes que ne le suggère le titre : Sonnet 5 aurait fait mieux qu’Opus 5 sur la mesure navigateur sans Auto Mode, même si le titre se concentre sur Opus 5.

La pièce manquante est la validation externe. Le matériel source ne fournit pas de réplication indépendante dans des environnements ouverts de red teaming, des déploiements clients ou des sessions de navigation réelles de longue durée. Il ne précise pas non plus la composition exacte des 129 scénarios, la diversité des attaques ni si le succès était défini de manière étroite ou large. Ces lacunes n’invalident pas le résultat, mais elles signifient que les acheteurs devraient le considérer comme une preuve prometteuse plutôt que comme un fait établi.

Ce que cela signifie pour les développeurs et les acheteurs d’entreprise

Pour les équipes qui construisent des produits d’assistant de codage, des outils d’automatisation du travail ou des agents d’IA internes, la leçon pratique est que l’architecture de déploiement peut compter autant que le choix du modèle. Les chiffres rapportés par Anthropic suggèrent que l’entour de d’un modèle avec une inspection de contenu et un contrôle des actions peut réduire fortement le succès des attaques dans les tâches de navigateur.

Cela a aussi des implications d’achat pour les acheteurs d’IA d’entreprise. Les fournisseurs qui vendent des agents basés sur le navigateur devront de plus en plus expliquer non seulement quel LLM ils utilisent, mais aussi comment ils inspectent les pages web, isolent les system prompts, restreignent les outils et bloquent les actions risquées. Un acheteur comparant Claude Opus 5, Sonnet 5 ou des modèles concurrents d’OpenAI aura besoin de réponses de sécurité au niveau du produit, pas seulement de graphiques de benchmark.

Cela modifie aussi le cadre concurrentiel. Si Anthropic peut montrer que Claude Opus 5 et Auto Mode restent robustes dans des tests indépendants plus larges, cela pourrait renforcer sa position dans des déploiements d’IA d’entreprise sensibles où la fiabilité et le confinement comptent plus que des démonstrations tape-à-l’œil. Le marché des agents d’IA passe de « peut-il accomplir la tâche ? » à « peut-il accomplir la tâche en toute sécurité face à des entrées désordonnées et adversariales ? »

Ce qu’il faut surveiller ensuite

Le prochain signal à surveiller est le test indépendant. Si des sociétés de sécurité autres que Gray Swan publient des évaluations reproductibles de Claude Opus 5, Auto Mode et Claude Cowork dans des conditions réelles de navigateur, cela dira plus qu’une simple system card de fournisseur.

Un deuxième signal est le périmètre du produit. Le résultat rapporté par Anthropic concerne les scénarios d’agent de navigateur. Les acheteurs devraient observer si des défenses similaires s’étendent à l’ingestion de documents, aux e-mails, aux outils connectés par API et aux workflows multi-agents, où l’injection de prompts peut arriver par d’autres canaux.

Troisièmement, il sera utile de voir si les concurrents réagissent directement. OpenAI a publiquement reconnu la profondeur du problème d’injection de prompts, et d’autres plateformes d’agents sont soumises à la même pression. Si l’approche d’Anthropic se révèle durable, les défenses en couches pourraient devenir une attente de base pour les agents d’IA plutôt qu’un facteur de différenciation.

Enfin, le plus important sera de savoir si Anthropic partage davantage de détails sur la conception des tests : taxonomie des attaques, définitions d’échec, faux positifs des filtres et compromis d’ergonomie d’Auto Mode. Des contrôles de sécurité qui bloquent les attaques mais ralentissent aussi ou restreignent trop l’automatisation peuvent rester commercialement difficiles à déployer.

Point de vue Creati.ai

La partie la plus intéressante de cette histoire n’est pas le chiffre du titre, mais l’architecture qui le sous-tend. Anthropic semble montrer que la défense contre l’injection de prompts pour les agents d’IA peut être atteinte comme une discipline de couche produit, même si elle reste non résolue au niveau du modèle pur. C’est une voie plus réaliste pour le marché. Les entreprises n’achètent pas des modèles nus pour l’automatisation du navigateur ; elles achètent des systèmes.

Cela dit, ce problème n’est pas encore résolu. Les preuves disponibles ici sont limitées, et le résultat le plus fort est celui d’Anthropic lui-même. Mais pour les développeurs d’agents d’IA et de plateformes d’IA d’entreprise, la conclusion est immédiate : cessez de traiter l’injection de prompts comme un problème de recherche abstrait et commencez à concevoir autour d’elle avec des contrôles empilés, des actions surveillées et des frontières de confiance explicites. Si Claude Opus 5 et Auto Mode résistent à l’examen extérieur, ils pourraient marquer le moment où l’automatisation sûre du navigateur commence à sembler opérationnellement plausible plutôt qu’expérimentalement risquée.