Các agent của bạn đọc những văn bản mà bạn không hề viết. Mô tả vấn đề của khách hàng. Một bình luận trên pull request. README của một dependency. HTML của một trang mà một trong số chúng tải về để kiểm tra cách một API hoạt động. Phần thân lỗi mà một dịch vụ bên thứ ba trả về lúc 2 giờ sáng. Tất cả đều là văn bản, và văn bản có thể mang theo chỉ thị.
Claude Opus 5.5 tốt hơn một cách đo lường được trong việc không tuân theo chúng. Anthropic báo cáo số vụ vượt rào thành công giảm 85%. Đó là tiến bộ thực sự và tự thân nó đã đáng để nâng cấp. Nó vẫn không phải là một guardrail, và tuần nó ra mắt cũng chính là tuần mà sự phân biệt ấy trở nên quan trọng hơn chứ không kém đi.
TL;DR
Guardrail là một giới hạn được giữ vững bất kể agent quyết định làm gì. Việc model từ chối không phải là một guardrail: đó là một quyết định, và một quyết định có thể bị thay đổi bởi đúng loại input. Opus 5.5 đưa ra quyết định đó đúng đắn thường xuyên hơn nhiều so với phiên bản tiền nhiệm, và nó không thay đổi việc một lượt chạy được phép chạm vào những gì, ai giữ thông tin xác thực, hay ai đọc diff. Trong khi đó, chi phí chạy nó thấp hơn 40% so với Claude Opus 5, và GPT-6 Sol cùng GPT-6 Luna ra mắt cùng ngày với giá $2/$10 và $0.10/$0.50 mỗi triệu token. Tỷ lệ thất bại trên mỗi lượt chạy đã giảm. Khối lượng lượt chạy của bạn sắp tăng lên. Hãy thiết kế cho tích của hai con số đó.
Khi GPT-6 Astra ra mắt, chúng tôi đã viết về bốn thứ mà một agent dùng máy tính cần có: một host, một ranh giới, một bản ghi, và một người chấp nhận. Bài đó nói về nơi lượt chạy diễn ra. Bài này nói về điều gì xảy ra khi lượt chạy đọc phải thứ gì đó thù địch.
Con số là một tỷ lệ, còn khối lượng của bạn thì không cố định
Sự cố là một tỷ lệ nhân với một số lượng lượt chạy. Chỉ một trong hai số hạng đó được cải thiện vào ngày 2026-09-22.
Số hạng còn lại dịch chuyển mạnh theo hướng ngược lại. Opus 5.5 có giá niêm yết $4 mỗi triệu token input và $20 mỗi triệu token output, so với $5 và $25 của Opus 5, với lượt đọc từ cache ở mức $0.20, và Anthropic cho biết tổng chi phí chạy nó thấp hơn Opus 5 40%. Ở phía bên kia của cùng ngày ra mắt, OpenAI định giá GPT-6 Sol ở mức $2/$10 và GPT-6 Luna ở mức $0.10/$0.50, và báo cáo rằng Sol với suy luận mức cực cao đạt 33.2% trên AutomationBench 1.0.6 với $0.27 mỗi tác vụ, mà OpenAI ước tính chỉ khoảng 9% chi phí mỗi tác vụ của Claude Opus 5 ở suy luận tối đa cho một điểm số thấp hơn.
Vậy hãy làm phép nhân trên đội của chính bạn thay vì trên một benchmark. Nếu tỷ lệ thất bại mỗi lượt chạy giảm 85% và bạn chạy số lượt agent nhiều gấp mười lần vì giờ mỗi lượt chỉ tốn một phần nhỏ so với trước, bạn sẽ rơi vào khoảng 1,5 lần số sự cố tuyệt đối so với trước. Đó không phải là một phép đo về bất cứ điều gì. Đó là số học, và nó chính là hình dạng của vài tháng tới. Một model rẻ hơn và an toàn hơn là lý do để giao phó nhiều hơn. Giao phó nhiều hơn chính là thứ đẩy con số trở lại.
Vượt rào không phải là prompt injection
Cần nói cho chính xác, bởi vì hai thứ này bị gộp làm một trong mọi luồng thảo luận về lần ra mắt này. Vượt rào bao gồm việc một agent vượt qua một quy tắc mà nó được trao, bất kể nguyên nhân là gì: chỉ thị của chính bạn, lý luận của nó, hay văn bản nó đọc được trên đường đi. Prompt injection là một con đường dẫn tới điều đó, và đó là con đường mà kiến trúc của bạn phơi nhiễm nhiều nhất, bởi vì nó đến từ bên trong nội dung mà các agent của bạn được cho là phải đọc.
Việc giảm 85% ở vế đầu là tin tốt cho vế sau. Nó không phải là tỷ lệ phòng thủ cho vế sau và không ai nên trích dẫn nó như thể là vậy. Hãy đối xử với nó giống như cách bạn đối xử với việc một trình biên dịch trở nên giỏi hơn trong việc bắt lỗi kiểu dữ liệu. Ít lỗi đến được tay bạn hơn. Nhưng lớp lỗi đó vẫn tồn tại.
Một model tốt hơn loại bỏ được gì, và không thể loại bỏ được gì
Nó loại bỏ công việc thật sự, và điều đó cần được nói thẳng ra. Ít lượt chạy bị chệch hướng bởi một README bị đầu độc hơn. Ít trang web được tải về và thành công trong việc dụ dỗ agent chạy một lệnh mà không ai yêu cầu hơn. Giá trị kỳ vọng cao hơn trên mỗi lượt chạy không giám sát, điều càng quan trọng hơn khi Anthropic báo cáo Opus 5.5 duy trì tập trung nhiệm vụ trong 18 giờ hoặc hơn. Một lượt chạy kéo dài ngoài ngày làm việc của bạn là một lượt chạy không ai đang theo dõi.
Thứ nó không thể loại bỏ là quyền hạn. Một agent ít có khả năng bị thuyết phục đi lệch hơn nhiều thì vẫn nắm giữ đúng bộ thông tin xác thực, quyền truy cập mạng, và phạm vi ghi repository mà bạn đã trao cho nó. Injection không cần leo thang quyền. Nó chỉ cần dùng những quyền đã có sẵn, theo một thứ tự mà bạn không hề dự tính. Bán kính ảnh hưởng là thuộc tính của host và của token, chứ không phải của model.
| Lớp | Thứ nó ngăn được | Thứ nó không thể ngăn |
|---|---|---|
| Model | Nội dung cố gắng đẩy agent vượt qua các quy tắc của nó. Opus 5.5 báo cáo số vụ thành công giảm 85%. | Những vụ vẫn lọt qua, và bất cứ thứ gì nó đọc như một yêu cầu hợp lệ từ bạn. |
| Phê duyệt lúc chạy | Các hành động nằm sau một lời nhắc phê duyệt hoặc một lần từ chối tự động. | Mọi thứ nằm trong những quyền đã được cấp. |
| Máy tính và thông tin xác thực | Mọi thứ mà host không nắm giữ. Một token staging không thể chạm tới production. | Mọi thứ mà host nắm giữ. |
| Ranh giới tác vụ | Các thay đổi thoát ra ngoài thư mục hoặc worktree biệt lập của lượt chạy này. | Một thay đổi sai được thực hiện gọn gàng bên trong nó. |
| Con người chấp nhận | Một kết quả sai lọt vào nhánh main. | Không ngăn được gì cả, nếu một người review chỉ đóng dấu duyệt với khối lượng gấp mười lần. |
Chỉ hàng đầu tiên được cải thiện trong tuần này. Hàng cuối cùng chính là hàng vừa bị các đợt giảm giá đặt dưới áp lực.
Hãy dùng bản nâng cấp model khi lỗi bạn liên tục gặp là agent làm sai hoặc bị dụ dỗ làm điều gì đó. Hãy thay đổi cấu trúc khi lỗi bạn liên tục gặp là không ai phát hiện ra cho tới thứ Năm. Vế đầu là vấn đề của model và Opus 5.5 là câu trả lời thực sự tốt cho nó. Vế sau chưa bao giờ là vấn đề của model và không bản phát hành nào sửa được nó.
Ba thiết lập đáng thay đổi trong tuần này
Sharkly là lớp nằm trên các agent. Nó nắm giữ Task, Computer, thông tin xác thực, bản ghi thực thi, và người chấp nhận. Ba trong số đó đáng được điều chỉnh ngay khi các lượt chạy trở nên rẻ.
Gắn thông tin xác thực theo từng Agent, không phải theo từng Computer. Biến môi trường thường và biến môi trường bí mật là các thiết lập của Agent. Các lượt chạy rẻ nghĩa là nhiều Agent hơn, và nhiều Agent hơn nghĩa là nhiều cơ hội hơn để một trong số chúng mang theo một token mà nó không có việc gì phải mang. Agent phân loại đọc các vấn đề khách hàng gửi đến là đối tượng dễ bị injection nhất trong toàn bộ hệ thống của bạn, và nó chỉ nên nắm giữ phạm vi đọc mà thôi. Hướng dẫn của chúng tôi về quyền của coding agent trình bày cách quyết định danh sách cấp quyền.
Coi phạm vi đọc là một phần của Task, chứ không phải một sự tiện lợi. Việc một Agent được phép tải dữ liệu từ đâu giờ đây là một quyết định thiết kế. Bất cứ thứ gì nó đọc đều có thể mang theo chỉ thị, nên “kiểm tra cách API của nhà cung cấp này hoạt động” và “làm theo hướng dẫn cài đặt trên trang này” là hai Task khác nhau mang theo hai rủi ro khác nhau. Bài Phát hiện trên web của agent nên đáp xuống đâu đi sâu vào vấn đề này.
Viết ra rõ ràng những thay đổi nào mà con người phải đọc từng dòng một. Không phải một thói quen, mà là một quy tắc trên Workflow: migration schema, bất cứ thứ gì chạm tới auth, bất cứ thứ gì thêm một dependency, bất cứ thứ gì một Agent tạo ra trong lúc không ai thức. Mọi thứ còn lại có thể thông qua dựa trên bằng chứng. Các cổng phê duyệt là nơi quy tắc đó trú ngụ, và việc viết nó ra chính là thứ giữ sự tập trung vào những hàng mà sự tập trung đáng giá.
Hàng đợi là thứ đã không trở nên rẻ hơn
Mọi thông báo ngày 2026-09-22 đều làm cho công việc của agent rẻ hơn, an toàn hơn, hoặc cả hai, tính trên mỗi lượt chạy. Không có thông báo nào làm cho con người đọc nhanh hơn. Sự bất đối xứng đó chính là bài toán thiết kế thực sự, và đó là lý do tại sao review của con người là nút thắt cổ chai chứ không phải chất lượng model.
Đó là lý do tại sao câu trả lời mang tính cấu trúc chứ không mang hình dạng của model. Mỗi lượt chạy có một thư mục biệt lập, nên một lượt bị xâm phạm sẽ bị cô lập thay vì bị tranh cãi. Quá trình thực thi, các điểm tắc nghẽn, kết quả, và thảo luận tiếp theo đều quay về Task thay vì trôi qua trên terminal của ai đó, đây là cách duy nhất để người review phân biệt được một lượt chạy bị lái lệch hướng với một lượt chạy đơn thuần thất bại. Các mục cần chú ý đáp xuống một Inbox duy nhất để những quyết định cần con người không bị chôn vùi dưới những lượt chạy đã hoàn thành sạch sẽ. Ngữ cảnh, tiến độ, điểm tắc nghẽn, kết quả, và review của con người luôn hiển thị từ lúc yêu cầu đến lúc phát hành.
Khi đó giao kèo vẫn đứng vững, không bị thay đổi bởi bất cứ thứ gì mà hai phòng lab ra mắt trong tuần này. Agent nghiên cứu, thực thi, kiểm thử, và báo cáo. Con người định hướng, cấp quyền, và chấp nhận kết quả. Opus 5.5 làm cho câu đầu tiên đáng tin cậy hơn. Nó không chạm tới câu thứ hai.
Nếu bạn đang chạy nhiều agent và bản nâng cấp này sắp dụ bạn chạy nhiều hơn nữa, thứ cần thêm vào không phải là một model tốt hơn. Hãy kết nối một Computer, trao cho một Agent bộ thông tin xác thực hẹp nhất mà vẫn đủ để nó làm việc, và giao cho nó một việc nhàm chán.
