Opus 5 senkt die Prompt-Injektionsrate auf 2 % bei k=15 – Schneier validiert die Trajektorie

Auf dem IPI-Benchmark teilt Opus 5 die Erfolgsrate der Angreifer im Vergleich zu Opus 4.8 fast durch drei. Die beste nicht-Claude-bewertete Lösung bleibt bei 16,5 %. Schneier erinnert an die richtige Devise: Man schließt die Prompt-Injection nicht ab, sondern macht sie statistisch kostspielig.

Die Fakten

Im von Anthropic veröffentlichten IPI-Benchmark (Indirect Prompt Injection) gibt Opus 5 eine Erfolgsquote von 2,0 % bei 15 Versuchen an (gegenüber 5,5 % bei Opus 4.8) und 0,2 % bei einem einzigen Versuch (gegenüber 0,5 %). Vergleich im selben Modellbereich: Sonnet 5 bei 5,9 % (k=15), Mythos 5 bei 2,6 %. Das beste nicht-Claude-Modell in diesem Benchmark, Muse Spark, erreicht 16,5 % – mehr als das Achtfache der Quote von Opus 5. Bruce Schneier übernimmt diese Zahlen in seinem Blog am 31. Juli 2026 und betont seine Position: Die Verhinderung von Prompt-Injection bleibt im Allgemeinen unmöglich, doch der Bereich macht in spezifischen Fällen deutliche Fortschritte.

Unsere Einschätzung

Zwei Punkte sind neben der Herstellerangabe relevant. Erstens: Die nicht-Claude-Basis von 16,5 % zeigt, dass die Lücke in diesem Vektor real und nicht nur marginal ist – für eine Enterprise-Bereitstellung, bei der ein Agent Drittinhalten (E-Mails, Dokumente, Web) ausgesetzt ist, bedeutet ein Rückgang von 16 auf 2 % eine deutliche Veränderung der operativen Kosten eines Exploits. Zweitens ist Schneiers Aussage – „Fortschritte bei spezifischen Fällen, keine Lösung“ – die richtige Haltung. Prompt-Injection wird nicht abgeschlossen, sondern statistisch verteuert.

Zu beobachten

Das vollständige IPI-Protokoll (Datensatz, Angreifer, Kategorien) und reproduzierbare Drittbewertungen. Ohne diese bleibt die 2 %-Angabe Marketing, nicht SOC-relevant.