Claude Opus 5 alza l’asticella della resistenza al prompt injection

I numeri del benchmark IPI: Opus 5 riduce i tentativi riusciti al 2% dopo 15 attacchi

I dati emersi il 31 luglio 2026 dal benchmark IPI (Prompt Injection Index) mostrano un salto in avanti nella capacità dei modelli di resistere agli attacchi di iniezione di prompt. Claude Opus 5, l’ultimo modello Anthropic, ha ridotto la probabilità di successo di un avversario a livelli mai registrati prima.

Con un singolo tentativo l’attaccante ha successo solo nello 0,2 per cento dei casi. Dopo 15 tentativi ripetuti la percentuale sale al 2,0 per cento, un valore che distanzia nettamente i predecessori. Opus 4.8, per confronto, cedeva nello 0,5 per cento dei casi con un tentativo solo e nel 5,5 per cento dopo la sequenza di attacchi. Anche gli altri modelli Anthropic restano indietro: Sonnet 5 tocca il 5,9 per cento, Mythos 5 il 2,6 per cento dopo quindici round.

Il confronto con GPT 5.6: un rischio fino a venti volte superiore

Il divario cresce quando si allarga l’analisi ai concorrenti. I modelli della serie GPT 5.6 mostrano superfici di attacco decisamente più ampie. GPT 5.6 Sol, dopo 15 tentativi, viene compromesso nel 20,0 per cento dei test — un rischio dieci volte maggiore rispetto a Opus 5. Basta un singolo attacco per superare la soglia del 3,1 per cento, già più alta del 2,0 per cento che Opus 5 concede dopo quindici assalti.

Le altre varianti di GPT 5.6 peggiorano ulteriormente: Terra sale al 30,4 per cento, Luna al 43,9 per cento. Muse Spark, il modello non-Anthropic più resistente, si ferma al 16,5 per cento dopo 15 tentativi, oltre otto volte il valore di Opus 5. In termini pratici, un’organizzazione che adotta Opus 5 può contare su una probabilità di attacco riuscito da dieci a venti volte inferiore rispetto a chi utilizza modelli meno recenti o non ottimizzati per la sicurezza.

Il progresso c’è, ma la protezione assoluta non esiste

I miglioramenti sono evidenti e misurano un progresso reale nel blocco di casistiche specifiche. Tuttavia il benchmark IPI conferma che nessun modello è immune. Anche un tasso di successo del 2 per cento dopo 15 tentativi, se proiettato su migliaia di interazioni reali, si traduce in un numero non nullo di compromissioni. La prevenzione assoluta dell’iniezione di prompt resta fuori portata.

Cosa fare: modelli aggiornati e difese a strati

Per chi progetta applicazioni basate su LLM, il primo passo è valutare l’aggiornamento ai modelli con la migliore resistenza misurata. Claude Opus 5, al momento, è l’opzione che abbassa di più l’esposizione. Ma non basta. Vanno mantenute e rafforzate le difese a livello applicativo: filtraggio degli input, sanitizzazione dei prompt, esecuzione in sandbox e monitoraggio continuo in scenari avversi. Solo una combinazione di modelli robusti e contromisure stratificate può ridurre il rischio residuo a un livello accettabile.