2026年7月27日的AI Agent日报披露，Anthropic的Claude Opus 5在多项基准上表现突出：reported intelligence score 达61，成本约为Fable 5的一半，编码与分析尤为强劲。更受Agent落地团队关注的是其安全表现——在Auto Mode下，Opus 5把浏览器场景的prompt injection（提示注入）成功率压到0%（覆盖129个测试场景），为会自己上网操作的Agent提供了一套可参照的防御蓝图。同一轮动态还提到llama.cpp对MCP式工具协议的原生支持、以及NVIDIA的NOOA面向对象Agent框架，指向本地优先、标准化工具接口正成为安全Agent的默认底座。
一、Auto Mode：输入扫描 + 任务阻断
Opus 5的Auto Mode把防御拆成两层：输入扫描与任务阻断。输入扫描在Agent读取网页、邮件、文档等内容时，先识别其中可能挟带指令的片段（比如伪装成报错、要求执行某操作的文本）；任务阻断则在Agent即将调用浏览器、文件、支付等敏感动作前，对来源与意图做二次校验，可疑即拦下。在129个测试场景里，这套组合把prompt injection成功率打到0%，意味着即便网页里埋了恶意指令，Agent也不会照做。对部署浏览器使用类Agent的团队，这是一个具体可落地的范式：不是指望模型更聪明地忽略攻击，而是用工程化的扫描加阻断在动作发生前兜底。
二、0% 背后的工程含义
0%不是模型突然变乖，而是把安全做成系统能力而非模型玄学。过去prompt injection难防，是因为Agent信任它读到的所有内容，而网页、邮件天生不可信。Opus 5的做法把不信任外部内容写进运行时的执行路径：凡是要触发动作的输入，先过扫描与阻断。这对行业有两层启示：其一，评价一个Agent是否可上生产，安全基准应和智能基准同等权重；其二，prompt injection防御是可工程化、可度量的——129个场景的0%说明它能被测试、被回归、被持续监控。安全从锦鲤式祈祷变成可验收的工程质量。
三、客观看：本地优先 + 标准化工具协议成为默认
同一轮动态里，llama.cpp原生支持MCP式工具协议、NVIDIA NOOA把Agent建模为Python对象（方法在运行时由LLM补全），指向另一条互补趋势：本地优先（local-first）与标准化工具接口，正成为安全Agent的默认底座。把Agent跑在本地、用统一协议暴露工具，好处是调试、日志、追踪自主行为都更可控，数据不必全出海，攻击面更收敛。客观看，Opus 5的0%是重要里程碑，但不是终点：129个场景覆盖有限，真实网页的攻击手法会演进；Auto Mode也可能误拦正常任务，需要每周复盘被阻断事件来调策略。对团队的可执行建议很具体——在自己的浏览器Agent里实现输入扫描加任务阻断，再每周审一遍阻断日志，在进生产前把风险工作流先找出来。