Claude Opus 5 erhöht die Messlatte bei der Prompt-Injection-Resistenz

Die IPI-Benchmark-Zahlen: Opus 5 senkt erfolgreiche Versuche auf 2 % nach 15 Angriffen

Die am 31. Juli 2026 veröffentlichten Daten des IPI-Benchmarks (Prompt Injection Index) zeigen einen deutlichen Fortschritt in der Fähigkeit von Modellen, Prompt-Injection-Angriffen zu widerstehen. Claude Opus 5, das neueste Modell von Anthropic, hat die Erfolgswahrscheinlichkeit eines Angreifers auf ein noch nie dagewesenes Niveau gesenkt.

Bei einem einzigen Versuch gelingt einem Angreifer nur in 0,2 Prozent der Fälle ein Erfolg. Nach 15 wiederholten Versuchen steigt die Rate auf 2,0 Prozent – ein Wert, der die Vorgänger deutlich hinter sich lässt. Opus 4.8 gab im Vergleich dazu bei einem Einzelversuch in 0,5 Prozent der Fälle nach und nach einer Angriffsserie in 5,5 Prozent. Auch die anderen Anthropic-Modelle bleiben zurück: Sonnet 5 erreicht nach fünfzehn Runden 5,9 Prozent, Mythos 5 2,6 Prozent.

Der Vergleich mit GPT 5.6: ein bis zu zwanzigfach höheres Risiko

Der Abstand wächst, wenn man die Analyse auf die Mitbewerber ausweitet. Die Modelle der GPT-5.6-Reihe zeigen deutlich breitere Angriffsflächen. GPT 5.6 Sol wird nach 15 Versuchen in 20,0 Prozent der Tests kompromittiert – ein zehnmal höheres Risiko als bei Opus 5. Schon ein einzelner Angriff übersteigt mit 3,1 Prozent die Schwelle von 2,0 Prozent, die Opus 5 selbst nach fünfzehn Attacken zulässt.

Die übrigen GPT-5.6-Varianten schneiden noch schlechter ab: Terra erreicht 30,4 Prozent, Luna 43,9 Prozent. Muse Spark, das widerstandsfähigste Nicht-Anthropic-Modell, kommt nach 15 Versuchen auf 16,5 Prozent – mehr als das Achtfache des Werts von Opus 5. Praktisch bedeutet dies: Eine Organisation, die Opus 5 einsetzt, kann mit einer zehn- bis zwanzigfach geringeren Wahrscheinlichkeit eines erfolgreichen Angriffs rechnen als bei älteren oder nicht auf Sicherheit optimierten Modellen.

Fortschritte sind da, aber absolute Sicherheit gibt es nicht

Die Verbesserungen sind offensichtlich und belegen echte Fortschritte bei der Abwehr bestimmter Angriffsszenarien. Der IPI-Benchmark bestätigt jedoch, dass kein Modell immun ist. Selbst eine Erfolgsquote von 2 Prozent nach 15 Versuchen führt, hochgerechnet auf Tausende realer Interaktionen, zu einer nicht vernachlässigbaren Zahl von Kompromittierungen. Absolute Prävention von Prompt-Injection bleibt außer Reichweite.

Was zu tun ist: aktuelle Modelle und mehrschichtige Verteidigung

Für Entwickler von LLM-basierten Anwendungen ist der erste Schritt, ein Upgrade auf die Modelle mit der höchsten gemessenen Widerstandsfähigkeit zu prüfen. Claude Opus 5 senkt gegenwärtig die Exposition am stärksten. Das allein reicht jedoch nicht. Die Absicherung auf Anwendungsebene muss beibehalten und verstärkt werden: Eingabefilterung, Prompt-Bereinigung, Sandbox-Ausführung und kontinuierliches Monitoring unter gegnerischen Bedingungen. Nur eine Kombination aus robusten Modellen und mehrschichtigen Gegenmaßnahmen kann das Restrisiko auf ein akzeptables Niveau senken.