Спрятанная на сайте команда реже угоняет агента: у GPT-6 Astra 8,5% удачных атак

Prompt injection — главный способ угнать чужого агента, и из-за него компании держали агентов подальше от рабочих данных. Теперь верхняя тройка моделей ловит такие подставы примерно одинаково.

Устроено просто: команду прячут в тексте страницы, а агент читает её как задание от хозяина и выполняет, вплоть до отправки ключей и паролей на чужой адрес. Замер на 720 атаках заказала сама Anthropic, Trajectory Labs собрала 72 сценария по 10 попыток, отчёт вышел 07.08.2026.

Борис Черни из Anthropic поставил новую модель OpenAI по риску prompt injection на один уровень с Gemini Flash и Claude Opus 4.8. Называть лаборатории по именам он считает рабочим способом заставить их лучше учить модели, и обещает продолжать.

Один бенч, четыре модели. Доля удавшихся атак на Gray Swan IPI Arena:

- Claude Opus 5 — 4,8% - Gemini 3.8 Flash — 5,5% - GPT-6 Astra — 8,5% - GPT-5.6 Sol — 27,0%

Ряд Claude, Gemini и GPT-5.6 Sol собрал разбор Vellum, цифру GPT-6 Astra дала системная карта OpenAI, обе публикации от 03.09.2026. Одна попытка ещё не весь замер: у Astra на многораундовых атаках устойчивость падает примерно до 67%, то есть настойчивый атакующий добивается своего в каждом третьем заходе (обзор The Decoder, 04.09.2026).

Что изменилось за два месяца

У Opus 4.7 на Gray Swan Agent Red Teaming атака проходила с первой попытки в 0,1% случаев, а после сотни адаптивных попыток доля поднималась до 5–6% (инженерный блог Anthropic, 25.05.2026). Под релиз Opus 4.8 28.05.2026 компания впервые провела недельную открытую охоту за уязвимостями по prompt injection.

У Opus 5 без защитного режима атаки проходят в 3,70% случаев. С ним ноль на 129 браузерных окружениях и 1290 попытках (обзор The Decoder, 25.07.2026).

Как включить защиту

Auto mode. В Claude Code он переключается по Shift+Tab, в десктоп-приложении выбирается из списка режимов. С 14.08.2026 он стоит по умолчанию на планах Pro, Max и Team. На Enterprise, в Claude API и в облаках Amazon, Google и Microsoft его включают руками, а администраторы задают режим через defaultMode и отключают флагом disableAutoMode.

В тестах auto mode останавливал 89% опасных команд, живые ревьюеры ловили 13,6% (обзор Help Net Security, 10.08.2026). После доработки классификатора доля пропущенных атак упала с 12% до 7%.

Гарантией это не считают и в самой Anthropic. Исследователь wunderwuzzi собрал в Claude Code с Opus 5 и включённым auto mode цепочку до удалённого запуска кода с успехом 60–80%. Компания закрыла его отчёт как Informative и назвала auto mode функцией удобства, а не гарантией безопасности (Embrace The Red, 26.08.2026).

Рабочие пути автор перечислил там же: агент в контейнере или отдельной виртуалке, ограниченная исходящая сеть, ключи в стороне от рабочей папки.

Все цифры по GPT-6 Astra пока идут из системной карты самой OpenAI, сторонних прогонов на том же бенче ещё не публиковали.