A Anthropic publicou a 24 de julho de 2026 o cartão de sistema do Claude Opus 5, o seu modelo mais recente, com um destaque incomum: melhorias substanciais na resistência a ataques de prompt injection, uma das falhas mais persistentes dos agentes de inteligência artificial. Segundo os números divulgados pela empresa e por avaliações externas, o novo modelo reduziu de forma significativa a probabilidade de um atacante conseguir manipular o comportamento do agente através de instruções escondidas em conteúdo externo. O tema ganhou visibilidade adicional depois de o investigador Bruce Schneier o ter comentado no seu blogue, sublinhando o interesse dos dados comparativos.
Resposta rápida: A Anthropic afirma que o Claude Opus 5 resiste melhor a prompt injection, com a taxa de sucesso de ataque em ambiente de navegador a cair de 31,5% (Opus 4.8) para 3,7% sem salvaguardas, e para 0% quando ativado o “Auto Mode”. Ainda assim, “mais robusto” não é “imune”: qualquer organização que ligue agentes de IA a documentos, e-mails ou páginas web deve manter defesas fora do modelo e não confiar cegamente na proteção do fornecedor.
O que é o prompt injection e porque é tão difícil de resolver
O prompt injection é um tipo de ataque em que instruções maliciosas são embutidas em conteúdo externo — uma página web, um documento, um e-mail — que o modelo de IA lê enquanto executa uma tarefa. Quando o agente processa esse conteúdo, pode interpretar as instruções escondidas como legítimas e desviar-se do seu objetivo, por exemplo exfiltrando dados ou executando ações não autorizadas. Como descreve uma análise técnica do tema, trata-se de um atacante a “passar por cima” das instruções do modelo através de entradas manipuladas, como texto oculto numa página.
O problema é considerado estrutural. A própria OpenAI admitiu, em dezembro, que o prompt injection pode nunca ser totalmente resolvido. A razão é intuitiva: quanto mais capaz é um agente a navegar na web, invocar ferramentas ou controlar um computador, maior é a sua superfície de ataque, porque cada documento, resposta de ferramenta ou página web que ingere é um potencial vetor de injeção. É precisamente esse ponto que os especialistas continuam a sublinhar mesmo perante os novos resultados.
Os números do Opus 5, segundo a Anthropic
O cartão de sistema do Opus 5 distingue dois tipos de avaliação. A primeira é interna, feita no ambiente de navegador do produto Claude Cowork. Em ambientes de navegador executados através do Claude Cowork, a taxa de sucesso de ataque baixou de 31,5% no Opus 4.8 para 3,70% sem quaisquer salvaguardas aplicadas; com o “Auto Mode” ativado, chegou a 0% nos 129 ambientes. Esse teste foi exigente: a injeção indireta foi tentada 10 vezes em cada um dos 129 ambientes não usados no treino — 1290 tentativas no total — e o Opus 5 com “Auto Mode” ativado não deixou passar um único ataque.
A segunda avaliação é o benchmark IPI (indirect prompt injection), desenvolvido com terceiros. A Anthropic reporta resultados de um benchmark IPI construído em conjunto com a Gray Swan, o AI Security Institute do Reino Unido e o Center for AI Standards and Innovation dos EUA, entre outros, usando 28 cenários e 1130 ataques desduplicados e altamente transferíveis. Aqui, o Opus 5 melhorou face ao Opus 4.8, reduzindo a probabilidade de um atacante ter sucesso em 15 tentativas de 5,5% para 2,0%, e de 0,5% para 0,2% numa única tentativa.
Nesse mesmo benchmark, o modelo colocou-se à frente dos concorrentes. O Opus 5 também melhorou face ao Sonnet 5 (5,9% a k=15) e ao Mythos 5 (2,6%), tornando-se o modelo mais robusto avaliado, e superou todos os modelos não-Claude; o modelo não-Claude mais robusto foi o Muse Spark, com 16,5% em 15 tentativas — mais de oito vezes a taxa do Opus 5. A variante mais capaz do GPT 5.6, o Sol, foi comparável ao seu antecessor GPT 5.5 (20,0% contra 20,8% em 15 tentativas) e teve dez vezes mais probabilidade de ser atacada com sucesso do que o Claude Opus 5, com 2,0%.
| Modelo | Sucesso em 1 tentativa | Sucesso em 15 tentativas (k=15) |
|---|---|---|
| Claude Opus 5 | 0,2% | 2,0% |
| Claude Opus 4.8 | 0,5% | 5,5% |
| Mythos 5 | — | 2,6% |
| GPT-5.6 Sol | 3,1% | 20,0% |
| Muse Spark | — | 16,5% |
Como funciona a defesa em camadas
O número de 0% não resulta apenas do modelo, mas da combinação com defesas do lado do produto. O “Auto Mode” empilha duas camadas de defesa: uma analisa os dados de entrada em busca de instruções escondidas antes de o modelo os processar, e a outra bloqueia ações perigosas antes da execução; um atacante tem de vencer ambas de forma independente. Isto é relevante porque sem essas camadas o Opus 5 fica em 3,7% e o Sonnet 5 até se sai melhor, com 0,93% — só a combinação de modelo e software de proteção empurra a taxa para zero.
No essencial, o próprio cartão confirma a direção da melhoria. A Anthropic diz ter avaliado o uso malicioso de agentes de programação e de uso de computador, a execução autónoma de operações de influência e a robustez a prompt injection, com o Opus 5 a ter um desempenho comparável ou melhor do que o Claude Opus 4.8. A empresa reporta que, no conjunto da avaliação de segurança agêntica, os maiores ganhos foram na robustez a prompt injection em programação, uso de computador e uso de navegador.
Progresso não é imunidade
Vários analistas independentes alertam para o risco de leituras excessivamente otimistas. Duas ressalvas temperam as boas notícias: primeiro, “mais robusto” não é “imune”; segundo, a Anthropic testa a resistência a prompt injection continuamente com equipas externas precisamente porque não trata o problema como resolvido. Além disso, os dados comparativos têm limites metodológicos: os ataques foram selecionados de uma competição pública passada de red teaming e não foram refinados continuamente contra o Opus 5 em tempo real, os modelos concorrentes foram avaliados através de endpoints públicos, e não está confirmado se havia defesas adicionais comparáveis por trás deles.
Há ainda a questão da memória persistente. O prompt injection pode colocar conteúdo não confiável junto de regras privilegiadas, pelo que as salvaguardas mais fortes devem existir fora do prompt: uma ferramenta deve impor limites de permissão mesmo que o modelo peça uma operação insegura. Este princípio é central para qualquer organização que planeie delegar tarefas sensíveis a agentes autónomos.
Porque é que isto importa para PME e organizações em Portugal
Para empresas portuguesas que estejam a integrar agentes de IA em fluxos de trabalho — apoio ao cliente, análise de documentos, automação de código —, o prompt injection deixou de ser um problema teórico e passou a ser um risco operacional concreto. Um agente com acesso a caixas de e-mail, sistemas internos ou dados pessoais é, na prática, uma nova porta de entrada que precisa de ser governada. Os ganhos anunciados para o Opus 5 reduzem a probabilidade de comprometimento, mas não eliminam a necessidade de controlos de permissões, princípio do menor privilégio e monitorização.
Do ponto de vista regulatório, estas escolhas têm peso. Organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm de demonstrar gestão de risco e medidas técnicas adequadas — e a introdução de agentes autónomos amplia a superfície a proteger. Sempre que esses agentes tratem dados pessoais, aplicam-se as obrigações do RGPD, incluindo minimização de dados e responsabilização. Em caso de dúvida, o CNCS/CERT.PT é a referência nacional para orientação e reporte de incidentes.
Perguntas frequentes
O que é prompt injection?
É um ataque em que instruções maliciosas são escondidas em conteúdo externo — páginas web, documentos ou e-mails — que um agente de IA lê. Ao processar esse conteúdo, o modelo pode ser levado a executar ações não autorizadas ou a divulgar informação, desviando-se da tarefa pedida pelo utilizador.
O Claude Opus 5 resolveu o problema do prompt injection?
Não totalmente. A Anthropic reporta grandes melhorias e uma taxa de 0% nos seus 129 ambientes de navegador com o “Auto Mode” ativo, mas sem essas camadas de proteção o modelo ainda regista 3,7%. Analistas independentes lembram que “mais robusto” não é “imune” e que o risco não é nulo.
O que é o “Auto Mode” e porque é importante?
É uma camada de defesa do lado do produto que combina duas proteções: uma analisa os dados de entrada em busca de instruções ocultas antes de o modelo os processar, e outra bloqueia ações perigosas antes da execução. Só com estas camadas ativas é que a taxa de ataque nos testes da Anthropic chegou a zero.
O que deve uma empresa fazer antes de usar agentes de IA?
Aplicar o princípio do menor privilégio, impor limites de permissão ao nível das ferramentas (não apenas do prompt), isolar dados sensíveis, monitorizar ações e testar a resistência a prompt injection. Deve ainda avaliar as obrigações do RGPD e do Regime Jurídico da Cibersegurança quando os agentes tratam dados pessoais ou funções críticas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Anthropic no cartão de sistema do Claude Opus 5 (24 de julho de 2026), no benchmark Gray Swan IPI e em análises técnicas independentes.