Agen Anda membaca teks yang tidak Anda tulis. Deskripsi masalah dari pelanggan. Komentar pada sebuah pull request. README sebuah dependensi. HTML halaman yang diambil salah satu agen untuk memeriksa perilaku sebuah API. Body error yang dikembalikan layanan pihak ketiga pukul 2 pagi. Semuanya adalah teks, dan teks bisa membawa instruksi.
Claude Opus 5.5 secara terukur lebih baik dalam menolak mematuhinya. Anthropic melaporkan 85% lebih sedikit upaya penembusan batas yang berhasil. Itu kemajuan nyata, dan peningkatan ini layak dilakukan atas dasar kemampuannya sendiri. Meski begitu, ia tetap bukan guardrail, dan minggu saat model ini dirilis justru membuat perbedaan itu makin penting, bukan makin tidak.
TL;DR
Guardrail adalah batas yang tetap berlaku apa pun yang diputuskan agen. Penolakan sebuah model bukanlah guardrail: itu sebuah keputusan, dan keputusan bisa diubah oleh input yang tepat. Opus 5.5 mengambil keputusan itu dengan benar jauh lebih sering daripada pendahulunya, tapi itu tidak mengubah apa yang boleh disentuh sebuah run, siapa yang memegang kredensial, atau siapa yang membaca diff. Sementara itu, biaya menjalankannya 40% lebih murah daripada Claude Opus 5, dan GPT-6 Sol serta GPT-6 Luna hadir di hari yang sama dengan harga $2/$10 dan $0.10/$0.50 per juta token. Tingkat kegagalan per run turun. Volume run Anda sebentar lagi naik. Rancanglah dengan memperhitungkan hasil kali keduanya.
Saat GPT-6 Astra dirilis, kami menulis tentang empat hal yang dibutuhkan agen pengguna komputer: host, batas, catatan, dan penerima hasil. Tulisan itu membahas di mana run berlangsung. Tulisan ini membahas apa yang terjadi ketika run membaca sesuatu yang bersifat menyerang.
Angkanya adalah rasio, dan volume Anda tidak tetap
Insiden adalah laju dikalikan jumlah run. Hanya satu dari dua variabel itu yang membaik pada 2026-09-22.
Variabel lainnya bergerak kencang ke arah sebaliknya. Opus 5.5 dipatok $4 per juta token input dan $20 per juta token output, dibandingkan Opus 5 yang $5 dan $25, dengan cached read $0,20, dan Anthropic menyebut total biaya menjalankannya 40% lebih rendah dari Opus 5. Di sisi lain hari peluncuran yang sama, OpenAI memasang harga GPT-6 Sol di $2/$10 dan GPT-6 Luna di $0.10/$0.50, serta melaporkan Sol pada extra-high reasoning mencetak 33,2% di AutomationBench 1.0.6 dengan biaya $0,27 per tugas, yang menurut OpenAI sekitar 9% dari biaya per tugas Claude Opus 5 pada max reasoning untuk skor yang lebih rendah.
Jadi lakukan perkalian itu pada tim Anda sendiri, bukan pada benchmark. Jika tingkat kegagalan per run turun 85% dan Anda menjalankan sepuluh kali lebih banyak run agen karena setiap run kini hanya berbiaya sebagian kecil dari sebelumnya, Anda berakhir dengan sekitar 1,5 kali jumlah insiden absolut yang Anda alami sebelumnya. Itu bukan hasil pengukuran apa pun. Itu aritmetika, dan itulah gambaran beberapa bulan ke depan. Model yang lebih murah dan lebih aman adalah alasan untuk mendelegasikan lebih banyak. Mendelegasikan lebih banyak itulah yang menaikkan angkanya kembali.
Penembusan batas tidak sama dengan prompt injection
Perlu ketelitian di sini, karena keduanya sering disamakan di setiap diskusi tentang peluncuran ini. Penembusan batas mencakup agen yang berhasil melewati aturan yang diberikan kepadanya, apa pun penyebabnya: instruksi Anda sendiri, penalarannya, atau teks yang dibacanya di tengah jalan. Prompt injection adalah salah satu jalur menuju hal itu, dan itulah jalur yang paling rentan bagi arsitektur Anda, karena ia datang di dalam konten yang justru seharusnya dibaca oleh agen Anda.
Penurunan 85% pada yang pertama adalah kabar baik bagi yang kedua. Tapi itu bukan tingkat pertahanan untuk yang kedua, dan tidak ada yang boleh mengutipnya sebagai angka itu. Perlakukan itu seperti Anda memperlakukan compiler yang makin jago menangkap type error. Yang sampai ke Anda lebih sedikit. Tapi kelas bug-nya masih ada.
Apa yang dihilangkan model yang lebih baik, dan apa yang tidak bisa dihilangkannya
Model ini betul-betul menghilangkan pekerjaan nyata, dan itu patut dikatakan secara terang-terangan. Lebih sedikit run yang tergelincir karena README berisi racun. Lebih sedikit halaman yang berhasil membujuk agen menjalankan perintah yang tidak diminta siapa pun. Nilai harapan yang lebih tinggi pada setiap run tanpa pengawasan, dan ini makin penting karena Anthropic melaporkan Opus 5.5 mampu bertahan mengerjakan tugas selama 18 jam atau lebih. Run yang berlangsung melewati jam kerja Anda adalah run yang tidak diawasi siapa pun.
Yang tidak bisa dihilangkannya adalah otoritas. Agen yang jauh lebih kecil kemungkinannya dibujuk untuk melewati batas tetap memegang persis kredensial, akses jaringan, dan cakupan tulis repositori yang Anda berikan padanya. Injection tidak perlu meningkatkan hak akses. Ia hanya perlu memakai izin yang sudah ada, dalam urutan yang tidak Anda maksudkan. Radius dampak adalah sifat dari host dan token, bukan dari model.
| Lapisan | Yang bisa dihentikan | Yang tidak bisa dihentikan |
|---|---|---|
| Model | Konten yang berusaha menggiring agen melewati aturannya. Opus 5.5 melaporkan 85% lebih sedikit upaya yang berhasil. | Upaya yang masih berhasil, dan apa pun yang dibacanya sebagai permintaan sah dari Anda. |
| Persetujuan saat runtime | Tindakan yang berada di balik prompt persetujuan atau penolakan dari auto-review. | Semua hal di dalam izin yang sudah diberikan. |
| Computer dan kredensial | Semua yang tidak dipegang host. Token staging tidak bisa menjangkau production. | Semua yang dipegang host. |
| Batas Task | Perubahan yang keluar dari direktori terisolasi atau worktree milik run ini. | Perubahan yang salah tapi dilakukan dengan mulus di dalamnya. |
| Penerimaan oleh manusia | Hasil yang salah sampai ke main. | Tidak ada sama sekali, jika satu reviewer hanya menstempel sepuluh kali lipat volume. |
Hanya baris paling atas yang membaik minggu ini. Baris paling bawah justru yang kini tertekan oleh pemotongan harga.
Manfaatkan peningkatan model ini ketika kegagalan yang terus Anda alami adalah agen yang salah atau yang dibujuk melakukan sesuatu. Ubahlah strukturnya ketika kegagalan yang terus Anda alami adalah tidak ada yang menyadarinya sampai hari Kamis. Yang pertama adalah masalah model, dan Opus 5.5 adalah jawaban yang benar-benar bagus untuk itu. Yang kedua tidak pernah menjadi masalah model, dan tidak ada rilis yang bisa memperbaikinya.
Tiga pengaturan yang layak diubah minggu ini
Sharkly adalah lapisan di atas para agen. Ia menyimpan Task, Computer, kredensial, catatan eksekusi, dan orang yang menerima hasilnya. Tiga di antaranya layak disesuaikan begitu run menjadi murah.
Ikat kredensial per Agent, bukan per Computer. Environment variable biasa maupun rahasia adalah pengaturan Agent. Run yang murah berarti lebih banyak Agent, dan lebih banyak Agent berarti lebih banyak peluang salah satunya membawa token yang seharusnya tidak dipegangnya. Agent triage yang membaca keluhan pelanggan yang masuk adalah objek paling rentan terkena injection di seluruh setup Anda, dan sebaiknya ia hanya memegang cakupan baca saja, tidak lebih. Panduan kami tentang izin agen coding membahas cara menentukan daftar izin yang diberikan.
Perlakukan cakupan baca sebagai bagian dari Task, bukan sebagai kemudahan belaka. Dari mana Agent boleh mengambil data kini menjadi keputusan desain. Apa pun yang dibacanya bisa membawa instruksi, jadi “periksa bagaimana perilaku API vendor ini” dan “ikuti instruksi penyiapan di halaman ini” adalah dua Task berbeda dengan dua risiko yang berbeda. Ke mana temuan web agen sebaiknya bermuara membahasnya secara rinci.
Tuliskan perubahan mana yang harus dibaca baris per baris oleh manusia. Bukan sekadar kebiasaan, tapi aturan pada Workflow: migrasi skema, apa pun yang menyentuh auth, apa pun yang menambah dependensi, apa pun yang dihasilkan Agent saat tidak ada orang yang terjaga. Sisanya bisa lolos berdasarkan bukti. Gerbang persetujuan adalah tempat aturan itu berada, dan menuliskannya adalah cara menjaga perhatian tetap pada baris-baris yang perhatiannya memang berbuah.
Antrean adalah hal yang tidak jadi lebih murah
Setiap pengumuman pada 2026-09-22 membuat pekerjaan agen lebih murah, lebih aman, atau keduanya, per run. Tidak satu pun membuat manusia membaca lebih cepat. Asimetri itulah masalah desain yang sebenarnya, dan itulah sebabnya tinjauan manusia menjadi hambatan, bukan kualitas model.
Karena itu pula jawabannya bersifat struktural, bukan berbentuk model. Setiap run mendapat direktori terisolasi, sehingga run yang terkompromi bisa ditahan, bukan diajak berdebat. Eksekusi, penghambat, hasil, dan diskusi lanjutan kembali ke Task alih-alih lewat begitu saja di terminal seseorang — dan hanya dengan begitu seorang reviewer bisa membedakan run yang dibelokkan dari jalurnya dengan run yang sekadar gagal. Item yang butuh perhatian masuk ke satu Inbox agar keputusan yang memerlukan manusia tidak terkubur di bawah run yang selesai dengan mulus. Konteks, kemajuan, penghambat, hasil, dan tinjauan manusia tetap terlihat dari permintaan hingga rilis.
Dengan begitu kontraknya tetap berlaku, tidak berubah oleh apa pun yang dirilis kedua lab minggu ini. Agen meneliti, mengeksekusi, menguji, dan melaporkan. Manusia menetapkan arah, memberikan otoritas, dan menerima hasilnya. Opus 5.5 membuat kalimat pertama lebih andal. Ia tidak menyentuh kalimat kedua.
Jika Anda sudah menjalankan beberapa agen dan peningkatan ini membuat Anda tergoda untuk menjalankan lebih banyak, yang perlu Anda tambahkan bukanlah model yang lebih baik. Hubungkan satu Computer, beri satu Agent set kredensial tersempit yang masih memungkinkannya menjalankan tugasnya, dan beri ia pekerjaan yang membosankan.
