TL;DR : Claude Opus 5, sorti le 24 juillet 2026, domine sur ARC-AGI-3 (30,2 %), Frontier-Bench (43,3 %) et GDPval-AA v2 (1 861 Elo) tout en coûtant la moitié de Fable 5, à 5 $/25 $ par million de tokens. Le gros titre, c’est la sécurité : avec le mode Auto, le taux d’injection de prompt dans le navigateur a atteint 0 % sur 129 scénarios. Sans cela, Opus 5 seul se situe à 3,7 % — Sonnet 5 fait mieux à 0,93 %. Seule la combinaison modèle + logiciel permet d’atteindre zéro. Ce lancement intervient dans un mois où quatre équipes indépendantes ont livré des exploits d’agent fonctionnels, faisant de la défense en couches d’Anthropic la riposte sécurité la plus marquante de l’été.
Pourquoi Opus 5 est important
Opus 5 est arrivé 24 jours après Sonnet 5 et six semaines après l’ouverture de la cinquième génération d’Anthropic par Fable 5. Ce n’est pas le Claude le plus gros ni le plus cher — Fable 5 le devance sur SWE-bench Pro et les benchmarks juridiques, Mythos 5 domine en cybersécurité. Le pari d’Opus 5 est différent : le marché à la mi-2026 veut du rapport capacité-prix, pas la capacité absolue.
Il conserve la tarification d’Opus 4.8, 5 $/25 $ par million de tokens, tout en égalant ou dépassant Fable 5 sur les benchmarks clés, pour un coût d’entrée divisé par deux. Caractéristiques : fenêtre de contexte de 1 million de tokens, réflexion étendue par défaut, réglage de l’effort par requête (faible/moyen/élevé), classificateurs de sécurité se déclenchant environ 85 % moins souvent. Disponible sur Claude Max (par défaut), Claude Pro, Google Cloud Agent Platform et Claude Code avec Auto Mode.
(Source : AI Release Tracker — Claude Opus 5)
Le véritable différenciateur ne se trouve pas dans un tableau de benchmarks. C’est ce qui se passe lorsqu’un agent rencontre une page web truffée d’instructions cachées. Sur ce problème — considéré comme le défi de sécurité non résolu le plus difficile pour les agents IA — Opus 5 avec Auto Mode a affiché 0 % de réussite sur 1 290 tentatives d’attaque.
Benchmarks : proche du front pionnier à un prix accessible
| Benchmark | Ce qu’il mesure | Opus 5 | Meilleure comparaison |
|---|---|---|---|
| Frontier-Bench v0.1 | Codage agentique (% de tâches) | 43,3 % | GPT-5.6 Sol 34,4 % · Fable 5 33,7 % |
| ARC-AGI-3 | Raisonnement nouveau (pas de mémorisation) | 30,2 % | GPT-5.6 Sol 7,8 % |
| GDPval-AA v2 | Travail de connaissances (Elo) | 1 861 | Fable 5 1 747 · GPT-5.6 Sol 1 736 |
| SWE-bench Pro | Résolution de vraies issues GitHub | 79,2 % | Mythos 5 80,3 % · Fable 5 80,0 % |
| CursorBench 3.2 | Codage en éditeur (effort max) | 70,0 % | Fable 5 70,5 % |
| FrontierCode v1.1 | Codage agentique difficile | 53,4 % | N°1 suivi |
| Humanity’s Last Exam | Raisonnement expert (outils) | 64,7 % | N°1 suivi |
| OSWorld 2.0 | Utilisation de l’ordinateur (écran + apps) | 70,6 % | N°1 suivi |
| AutomationBench | Flux de travail métier | 26 % | N°1 suivi |
(Source : Codersera — Claude Opus 5 Benchmarks Explained (2026))
Deux tendances se dégagent. Opus 5 l’emporte nettement sur les évaluations de raisonnement et de codage agentique les plus difficiles. Frontier-Bench est le signal le plus net : 43,3 % contre 33,7 % pour Fable 5, plus du double des 21,1 % d’Opus 4.8, à un coût par tâche inférieur — le plus grand saut générationnel en codage agentique de l’histoire de la gamme.
Là où Opus 5 ne mène pas, l’écart est si faible que le prix devient le facteur décisif. Sur SWE-bench Pro, le déficit par rapport à Mythos 5 est à peine d’un point. Sur CursorBench 3.2, il est dans les 0,5 point de Fable 5. Pour les équipes qui exécutent l’IA en intégration continue ou dans l’éditeur, payer moitié prix pour une quasi-parité relève de l’arbitrage.
ARC-AGI-3 mérite d’être souligné : 30,2 % contre 7,8 % pour GPT-5.6 Sol — environ 3 fois le concurrent le plus proche sur le meilleur indicateur public d’un raisonnement qui généralise plutôt que de faire du pattern matching. Si la caractéristique d’un bon agent est de gérer des situations réellement inconnues, c’est ce chiffre qui compte le plus.
Auto Mode : l’architecture derrière 0 %
L’injection de prompt — le fait pour un attaquant de cacher des instructions dans le contenu qu’un agent lit — a été qualifiée de fondamentalement insoluble au niveau du modèle. OpenAI l’a affirmé en décembre 2025. En juillet 2026, quatre équipes indépendantes ont livré des exploits d’agent fonctionnels, faisant passer la menace de la théorie à une surface d’attaque démontrée.
(Source : The Decoder — OpenAI admits prompt injection may never be fully solved)
Dans ce contexte, la fiche système d’Anthropic rapporte 0 % de réussite d’injection de prompt dans le navigateur sur 129 scénarios avec Auto Mode activé. 1 290 tentatives d’attaque, zéro succès.
(Source : The Decoder — Opus 5 may have solved browser-based prompt injection)
La défense à deux couches
0 %, ce n’est pas une propriété du modèle — c’est une propriété du système. Auto Mode superpose deux couches d’inspection indépendantes :
Couche 1 — Sonde côté entrée : Avant que le contenu externe n’entre dans le contexte du modèle, un scanner examine les pages web, les fichiers et les sorties d’outils à la recherche d’instructions cachées. Le contenu signalé reçoit un avertissement ajouté en tête du contexte de l’agent.
Couche 2 — Classifieur de transcription côté sortie : Après que le modèle a généré un appel d’outil, un classificateur distinct (Sonnet 4.6) l’inspecte avant exécution. Point crucial, il ne voit que le message de l’utilisateur et l’appel d’outil — pas les énoncés du modèle ni les sorties des outils. Il est « aveugle au raisonnement par conception » : un attaquant qui aurait compromis la chaîne de pensée interne du modèle ne peut pas influencer le jugement côté sortie.
(Source : Anthropic Engineering — How we built Claude Code auto mode)
Pour qu’une injection réussisse, l’attaquant doit échapper au scanner d’entrée, puis amener le modèle à effectuer un appel d’outil que le classifieur de sortie juge sûr de manière indépendante. Passer les deux couches, la seconde étant aveugle à la charge utile qui aurait compromis la première, est bien plus difficile que de vaincre l’une ou l’autre séparément.
Sans Auto Mode : le modèle n’est pas le héros
Les résultats bruts du modèle, issus de la fiche système, apportent un contexte crucial :
| Modèle (avec réflexion) | Sans défenses | Violations | Avec Auto Mode |
|---|---|---|---|
| Claude Opus 5 | 3,70 % | 11/129 | 0 % |
| Claude Sonnet 5 | 0,93 % | 9/129 | 0 % |
| Claude Opus 4.8 | 31,5 % | 81/129 | 0,08 % |
| Claude Mythos 5 | 29,7 % | 71/129 | 0 % |
(Source : XenoSpectrum — Has Claude Opus 5 Solved Prompt Injection?)
Points clés : Opus 5 s’est amélioré d’environ 10 fois par rapport au modèle nu Opus 4.8 (31,5 % → 3,7 %). Mais Sonnet 5, un modèle plus petit, surpasse en réalité Opus 5 sans défenses (0,93 % contre 3,70 %) — la capacité brute et la résistance à l’injection ne sont pas corrélées au sein de la famille. Dès qu’Auto Mode est activé, Opus 5, Sonnet 5 et Mythos 5 atteignent tous 0 %. C’est l’architecture, et non un modèle particulier, qui fait le gros du travail.
Anthropic ne prétend pas avoir « résolu » l’injection de prompt. Elle démontre qu’une approche système — améliorations du modèle et garde-fous en cours d’exécution — peut rendre les attaques basées sur le navigateur pratiquement irréalisables.
Gray Swan IPI : validation indépendante
Anthropic a mandaté Gray Swan pour évaluer Opus 5 sur un benchmark d’injection de prompt indirecte utilisant 28 scénarios et 1 130 attaques dédoublonnées tirées d’une compétition publique (464 participants, 272 000 attaques contre 13 modèles). Aucune défense supplémentaire n’a été appliquée :
| Modèle | 1 tentative | 10 tentatives | 15 tentatives |
|---|---|---|---|
| Claude Opus 5 | 0,2 % | 1,6 % | 2,0 % |
| Claude Mythos 5 | 0,3 % | 2,1 % | 2,6 % |
| Claude Opus 4.8 | 0,5 % | 4,1 % | 5,5 % |
| Claude Sonnet 5 | 0,6 % | 4,7 % | 5,9 % |
Opus 5 a réduit le taux de réussite en 15 tentatives de 5,5 % à 2,0 % — soit plus de 60 % de baisse. À 0,2 % de réussite en une seule tentative, un attaquant a besoin d’environ 500 essais indépendants pour avoir ne serait-ce qu’une chance sur deux de succès. Ce ne sont pas des zéros, mais ils représentent une amélioration générationnelle significative et placent Opus 5 en tête du benchmark. À noter que Gray Swan a été mené sans Auto Mode — ces chiffres mesurent la résilience intrinsèque du modèle, pas le produit complet.
Limites honnêtes
La fiche système d’Anthropic rapporte aussi des évaluations adaptatives où les attaquants affinent leurs entrées en observant les réponses du modèle :
| Environnement | Opus 5 seul | Opus 5 + sonde |
|---|---|---|
| Codage (40 scénarios) | 0,56 % | 0,18 % |
| Opération IHM (14 scénarios) | 0,54 % | 0,25 % |
La sonde aide mais n’atteint pas zéro. Des violations se sont produites dans 4 des 40 scénarios de codage et 1 des 14 scénarios d’IHM, même avec les défenses actives. Le 0 % obtenu dans le navigateur ne s’étend pas aux dépôts de code, aux serveurs MCP ni aux fichiers locaux.
Il existe une frontière dure liée à l’ingénierie sociale. Lors d’un exercice interne en février 2026 où l’utilisateur collait des instructions préparées par l’attaquant, l’exfiltration d’identifiants AWS a réussi 24 fois sur 25. Le système n’a pas pu distinguer l’attaque d’une demande légitime — l’utilisateur l’avait effectivement demandé. Les défenses contre l’injection de prompt ne peuvent pas protéger les utilisateurs contre les instructions qu’ils fournissent volontairement.
(Source : WalletInvestor — Anthropic’s Claude Opus 5 reports zero prompt injection rate)
La documentation d’aide d’Anthropic est explicite : « le risque n’est pas nul », et recommande de ne naviguer que sur des sites de confiance et d’obtenir une approbation manuelle pour les actions à haut risque.
Tarification : le rapport performances-prix
| Modèle / Mode | Entrée ($/M) | Sortie ($/M) |
|---|---|---|
| Opus 5 (standard) | $5 | $25 |
| Opus 5 (mode rapide) | $10 | $50 |
| Claude Fable 5 | $10 | — |
Sur CursorBench 3.2, Opus 5 se situe à 0,5 point de Fable 5 pour la moitié du coût d’entrée. Sur OSWorld 2.0, il surpasse Fable 5 avec environ un tiers du budget. Sur AutomationBench, il affiche un débit environ 1,5 fois supérieur au modèle le plus proche à un coût équivalent. Le schéma : être en tête ou dans le point du leader tout en coûtant sensiblement moins cher.
Le réglage de l’effort permet aux équipes d’ajuster la puissance de calcul du raisonnement par requête — faible pour les tâches routinières, élevé pour les problèmes difficiles — plutôt que de changer de modèle. Pour les utilisateurs d’Opus 4.8 : même prix, meilleures capacités, sécurité bien supérieure. Pour ceux qui évaluent Fable 5 : l’écart restant d’environ 1 % justifie-t-il de doubler le coût d’entrée ? Anthropic parie que pour la plupart des flux de travail, la réponse est non.
Implications pour les créateurs d’agents
Les équipes de sécurité obtiennent un principe de conception validé : la défense contre l’injection de prompt se situe au niveau du produit, pas du modèle. Le schéma défendable est modèle solide + inspection du contenu + validation des actions — et non l’espoir que la prochaine version résoudra la sécurité.
Les achats d’IA changent : les fournisseurs doivent désormais expliquer comment ils inspectent les pages web, isolent les prompts et contraignent les outils — pas seulement quel LLM ils utilisent. « Nous utilisons GPT-5.6 » n’est plus une posture de sécurité.
Paysage concurrentiel : Anthropic a ouvert un troisième front au-delà des benchmarks et des prix : une sécurité démontrable quantitativement. Si des tests indépendants valident le résultat de 0 % sur le navigateur, la douve n’est pas l’intelligence — c’est la fiabilité dans des environnements adverses. Le marché passe de « peut-il accomplir la tâche ? » à « peut-il le faire en toute sécurité sur des entrées adverses désordonnées ? »
(Source : The Decoder — OpenAI admits prompt injection may never be fully solved)
Avertissement : le 0 % est déclaré par le fournisseur, il n’est pas certifié de manière indépendante. Les équipes doivent mener leurs propres exercices de red team sur leur environnement de déploiement.
FAQ
Opus 5 est-il meilleur que Fable 5 ?
Cela dépend. Opus 5 mène sur Frontier-Bench (43,3 % contre 33,7 %), ARC-AGI-3 (30,2 % contre non rapporté) et GDPval-AA v2 (1 861 contre 1 747). Fable 5 devance légèrement Opus 5 sur SWE-bench Pro (80,0 % contre 79,2 %) et reste recommandé pour les agents autonomes de plusieurs jours. L’atout d’Opus 5 : proche du niveau de pointe à moitié prix en entrée.
Anthropic a-t-elle résolu l’injection de prompt ?
Non. Les 0 % concernent l’injection dans le navigateur avec Auto Mode lors de tests contrôlés. Les évaluations de codage et d’IHM montrent des taux de violation non nuls (0,18–0,25 %). Anthropic déclare que « le risque n’est pas nul ». Elle a démontré qu’une architecture en couches peut réduire les attaques par navigateur à une infaisabilité pratique — c’est significatif mais limité.
Combien coûte Opus 5 ?
5 $/M en entrée, 25 $/M en sortie — identique à Opus 4.8. Mode rapide : 10 $/50 $ pour une vitesse environ 2,5 fois supérieure. La moitié du prix d’entrée de Fable 5.
Comment se compare-t-il à GPT-5.6 Sol ?
Il mène tous les duels : Frontier-Bench (43,3 % contre 34,4 %), ARC-AGI-3 (30,2 % contre 7,8 %), GDPval-AA v2 (1 861 contre 1 736), HLE avec outils (64,7 %, n°1 suivi).
Que fait Auto Mode ?
Deux défenses indépendantes. Entrée : analyse le contenu externe à la recherche d’instructions cachées, ajoute des avertissements en tête. Sortie : le classifieur Sonnet 4.6 inspecte les appels d’outils avant exécution, sans voir le raisonnement du modèle lui-même. Les deux doivent être contournées indépendamment.
Lectures complémentaires
- Anthropic — Claude Opus 5 System Card (PDF) — Source principale de toutes les données de sécurité et de benchmarks.
- The Decoder — Opus 5 may have solved browser-based prompt injection — Reportage original avec le contexte de l’aveu d’OpenAI.
- Codersera — Claude Opus 5 Benchmarks Explained (2026) — Analyse complète des benchmarks avec méthodologie.
- Anthropic Engineering — How we built Claude Code auto mode — Architecture de la défense à deux couches et conception du classifieur.
- XenoSpectrum — Has Claude Opus 5 Solved Prompt Injection? — Tableau comparatif complet des modèles et résultats des évaluations adaptatives.
- AI Release Tracker — Claude Opus 5 — Tous les 23 scores de benchmarks suivis.
- Creati.ai — Auto Mode drove browser prompt injection success to zero — Perspective du développeur sur les achats d’entreprise.
- WalletInvestor — Claude Opus 5 reports zero prompt injection rate — Tarification et implications pour le marché.