Il prompt di Anthropic Claude Opus 5 appare online, rivelando il livello di controllo dietro la sua AI

Anthropic Claude Opus 5 è stato lanciato il 24 luglio e, nello stesso giorno, su GitHub è apparso un presunto system prompt di 135.027 caratteri. Il file afferma di riprodurre le istruzioni usate dalle applicazioni web e mobile di Anthropic, incluse definizioni complete degli strumenti e regole di comportamento.

L'affermazione non è stata autenticata in modo indipendente. Anthropic non ha confermato pubblicamente che ogni riga provenga dal suo ambiente di produzione. Tuttavia, il documento contiene 1.511 righe, circa 19.370 parole inglesi e una stima di 34.000 token.

La tempistica conta quanto il contenuto. Anthropic ha presentato Opus 5 come un modello per l'uso quotidiano, con capacità più solide nella programmazione agentica, nel lavoro a lungo orizzonte e nella verifica. Entro 24 ore, gli sviluppatori condividevano anche elaborati giochi e dimostrazioni 3D interattive attribuite al modello.

Il risultato è un lancio con un'insolita doppia prospettiva. Le dimostrazioni pubbliche mostrano ciò che Opus 5 può produrre, mentre il presunto prompt mostra l'ampio livello di controllo che modella tali risultati.

Questa tensione va oltre Anthropic. I prodotti AI di frontiera dipendono sempre più da istruzioni di sistema, schemi degli strumenti, politiche di memoria, classificatori e logica applicativa. Il modello fornisce l'intelligenza, ma è il sistema di controllo circostante a decidere come quell'intelligenza raggiunge gli utenti.

Il presunto prompt somiglia più a un manuale operativo di prodotto

L'affermazione più importante non è che Anthropic Claude utilizzi un system prompt, ma che il suo prodotto consumer dipenda presumibilmente da un manuale operativo insolitamente ampio.

Un system prompt è un pacchetto nascosto di istruzioni fornito prima del messaggio dell'utente. Può definire l'identità dell'assistente, gli strumenti disponibili, lo stile delle risposte, i limiti di sicurezza e le informazioni aggiornate sul prodotto.

Anthropic riconosce già che le sue interfacce consumer utilizzano queste istruzioni. Il suo archivio ufficiale dei system prompt elenca una voce per Claude Opus 5 datata 24 luglio 2026. L'azienda afferma che questi prompt forniscono informazioni aggiornate e guidano il comportamento nelle sue applicazioni web e mobile.

Il documento GitHub contestato va molto oltre il materiale visibile in quella pagina dell'archivio. Chi lo ha caricato afferma che il file sia stato acquisito dalle interfacce di chat web e mobile di Anthropic. Il repository descrive la riproduzione come letterale o quasi letterale, inclusi gli schemi dei parametri degli strumenti.

Questa descrizione resta un'affermazione del proprietario del repository. I lettori non dovrebbero considerare il file come codice sorgente autenticato o come una configurazione di produzione verificata. Un system prompt estratto tramite le risposte del modello può contenere omissioni, testo duplicato, formattazione modificata o materiale generato.

Ciononostante, diversi dettagli coincidono con il comportamento di Claude documentato pubblicamente. Il file identifica Opus 5 come modello selezionato, usa la corretta data di lancio e descrive funzioni del prodotto associate alle attuali interfacce di Anthropic. Fa inoltre riferimento alla lineup pubblica di modelli dell'azienda e alle sue applicazioni consumer.

Le dimensioni del documento sono notevoli. Secondo il report originale sulla fuga del prompt, il file contiene 135.027 caratteri e 19.370 parole inglesi. Una stima approssimativa basata sui caratteri lo colloca vicino a 34.000 token, anche se il conteggio varia in base alla formattazione e al comportamento del tokenizer.

I metadati GitHub visibili indicano 1.511 righe e una dimensione del file di circa 132 KB. Il file del prompt pubblicato contiene sezioni dedicate alle informazioni sul prodotto, al comportamento di sicurezza, alla memoria, ai consigli sulle applicazioni, alla ricerca e all'uso degli strumenti.

Ciò non significa che ogni interazione utilizzi l'intero documento nella stessa forma. I sistemi AI consumer possono assemblare dinamicamente i prompt in base alle funzioni abilitate, alle impostazioni dell'account, allo stato della conversazione e agli strumenti disponibili. Il caching dei prompt può inoltre ridurre i costi di elaborazione ripetuti.

L'espressione "system prompt completo" richiede quindi una precisazione. Il file sembra rappresentare una configurazione applicativa, non tutte le istruzioni utilizzate nell'API di Anthropic, in Claude Code, nelle implementazioni enterprise o nell'infrastruttura interna di sicurezza.

La documentazione di Anthropic separa esplicitamente i suoi prompt consumer dalla Claude API. Gli sviluppatori che utilizzano l'API forniscono le proprie istruzioni di sistema e definizioni degli strumenti. Non dovrebbero presumere che il presunto prompt web governi le loro applicazioni.

Anche con questi limiti, il documento rivela un importante schema architetturale. Un assistente AI consumer non è semplicemente un modello in attesa di una domanda. È un livello di prodotto coordinato che circonda il modello con strumenti, politiche, memoria, ricerca e comandi specifici dell'interfaccia.

Ecco perché l'affermazione sulla fuga esercita più pressione di un normale dump di prompt. Offre a concorrenti e sviluppatori una possibile mappa di come Anthropic trasformi un modello generale in un agente consumer controllato.

Trenta schemi di strumenti mostrano dove risiede il valore del prodotto

Il presunto prompt di Anthropic Claude suggerisce che l'orchestrazione applicativa contribuisca ormai all'esperienza utente quanto il modello sottostante.

Il file definisce secondo quanto riportato 30 strumenti tramite JSON schema, un formato strutturato che specifica parametri e output accettati. Questi strumenti coprono l'esecuzione di comandi, il recupero di informazioni dal web, la ricerca di immagini, meteo, informazioni sportive, mappe, ricette e memoria persistente.

Uno schema di strumento non contiene l'intelligenza necessaria per completare un compito. Fornisce al modello un contratto affidabile per chiamare un altro servizio. Il modello deve decidere quale strumento usare, fornire argomenti validi, interpretare il risultato e proseguire la conversazione.

Questa sequenza è centrale per l'AI agentica. Un chatbot convenzionale restituisce testo. Un agente può effettuare ricerche, eseguire codice, manipolare file, consultare contesto memorizzato e combinare risultati attraverso più azioni.

L'annuncio ufficiale di Opus 5 di Anthropic sottolinea esattamente questo tipo di lavoro. L'azienda afferma che il modello è migliorato nell'ingegneria del software in più fasi, nell'uso del computer, nei compiti di lunga durata e nell'autoverifica.

Il presunto prompt mostra il dettaglio operativo necessario per rendere affidabili queste capacità. Non si limita a nominare gli strumenti. Descrive quando chiamarli, come formattarne gli input e cosa l'assistente dovrebbe dire successivamente.

Queste istruzioni aiutano a prevenire diversi errori comuni degli agenti. Un modello può inventare parametri, chiamare uno strumento irrilevante, ripetere un'azione o descrivere un risultato prima di averlo ricevuto. Schemi dettagliati restringono queste possibili traiettorie di errore.

Il documento sembra inoltre includere uno strumento chiamato recommend_claude_apps. Secondo quanto riportato, le sue istruzioni dicono all'assistente di consigliare applicazioni Anthropic pertinenti continuando comunque a completare il compito corrente.

Per esempio, il lavoro di programmazione può rimandare a Claude Code, mentre una ricerca più lunga può rimandare a Cowork. Attività su fogli di calcolo, presentazioni, design, browser ed email possono attivare altri suggerimenti di prodotto.

Questa sezione solleva una questione commerciale che merita attenzione. Lo stesso assistente che consiglia gli utenti può anche indirizzarli verso il portafoglio prodotti in espansione del fornitore. Ciò non rende automaticamente fuorviante il suggerimento, ma introduce un incentivo di piattaforma.

Le presunte regole tentano di limitare tale incentivo. I consigli devono essere collegati al compito corrente, restare limitati nel numero ed evitare di sostituire il lavoro richiesto. Separatamente, il file istruisce Claude a non scegliere fornitori di servizi terzi a meno che non ne indichi uno l'utente.

Questa distinzione è rivelatrice. Le applicazioni di Anthropic possono essere proposte in modo proattivo, mentre i servizi di terze parti ricevono un trattamento più prudente. Il documento combina quindi regole di protezione degli utenti con un canale di distribuzione incorporato.

I concorrenti riconosceranno la strategia. OpenAI, Google, Microsoft e Anthropic connettono sempre più i loro modelli a strumenti di programmazione, applicazioni per l'ufficio, browser, fonti dati e sistemi operativi. Il prodotto vincente potrebbe essere quello con l'orchestrazione più affidabile, non quello con il punteggio di benchmark isolato più alto.

Gli schemi trapelati possono aiutare gli sviluppatori esterni a studiare questo stile di orchestrazione. Possono esaminare convenzioni di denominazione, descrizioni dei parametri, regole di sequenziamento e gestione degli errori. Tuttavia, copiare i soli schemi non ricreerà il comportamento del prodotto Claude.

Le parti invisibili restano importanti. Autenticazione, permessi dei servizi, classificatori, instradamento del modello, telemetria, impostazioni dell'account e implementazioni backend non risiedono in una descrizione visibile dello strumento. Lo stesso vale per le valutazioni utilizzate per stabilire se un agente si comporta in modo affidabile.

Le dimostrazioni condivise dopo il lancio illustrano questa distinzione. Alcuni report hanno descritto sviluppatori che usavano Opus 5 per creare un gioco in prima persona, uno sparatutto 3D e un prototipo in stile Rocket League. Un'altra dimostrazione avrebbe generato un ambiente interattivo con immagini procedurali e vento simulato.

Questi esempi sono visivamente persuasivi, ma non sono benchmark controllati. Un post sui social raramente rivela ogni prompt, modifica, chiamata a strumenti, tentativo fallito o intervento umano. Anche "un solo prompt" può nascondere un'ampia struttura di supporto già fornita da un'applicazione.

Anthropic fornisce prove più solide, sebbene comunque selezionate dall'azienda, nei suoi materiali di lancio. Riferisce che Opus 5 ha ricostruito un componente meccanico 3D dopo aver creato una pipeline di computer vision a partire da pixel grezzi. L'azienda descrive inoltre una riparazione software in cui il modello ha affrontato una causa alla radice anziché soltanto il sintomo visibile.

Nel complesso, il prompt e le dimostrazioni portano alla stessa conclusione. La capacità del prodotto deriva dal modello più un ambiente di esecuzione sempre più elaborato. Valutare soltanto il nome del modello trascura gran parte del sistema che gli utenti sperimentano davvero.

La memoria di Anthropic Claude è vincolata da ciò che deve dimenticare

La sezione più rilevante del documento descrive un sistema di memoria progettato per preservare la continuità senza lasciare che l'assistente profili liberamente i propri utenti.

La presunta sezione memory_filesystem si estende per circa 230 righe. Descrive file persistenti che un'altra istanza di Claude può leggere durante una conversazione futura.

Non si tratta di memoria del modello in senso biologico. È testo memorizzato e inserito in un contesto successivo, consentendo a una nuova sessione di recuperare fatti selezionati su un utente, un progetto, una preferenza o una relazione.

La struttura proposta separa le informazioni in file e directory. Un profilo può contenere dettagli identitari, file tematici possono registrare interessi, file di area possono monitorare il lavoro attivo e file relativi alle persone possono rappresentare individui nella vita dell'utente.

Le operazioni disponibili includono, secondo quanto riportato, lettura, scrittura, aggiunta, sostituzione di testo, elenco dei file ed eliminazione dei file. L'eliminazione riceve una condizione particolarmente rigorosa: l'assistente dovrebbe usarla solo quando l'utente lo richiede esplicitamente.

Le restrizioni più interessanti riguardano la scrittura. Il documento afferma che Claude dovrebbe memorizzare soltanto fatti dichiarati direttamente dall'utente. Le nuove voci ricevono un'etichetta [stated], mentre l'assistente dovrebbe evitare di registrare le proprie inferenze.

Questa regola affronta un problema difficile nell'AI persistente. Un modello può trasformare un'osservazione temporanea in un profilo durevole, oppure convertire un'incertezza in un fatto dichiarato. Una volta salvata, quell'interpretazione può influenzare le conversazioni successive senza che l'utente ne veda l'origine.

La presunta policy vieta la memorizzazione delle conclusioni elaborate da Claude. Esclude inoltre i piani dell'assistente, le ricerche sul web, i dettagli arricchiti e le raccomandazioni. Se Claude propone diverse opzioni e l'utente ne seleziona una, la scelta può essere ricordata, ma l'analisi scartata non dovrebbe essere conservata.

Ciò crea un modello di memoria più ristretto di quanto molti utenti potrebbero aspettarsi. L'assistente non dovrebbe costruire una biografia completa. Memorizza dichiarazioni selezionate che possono rendere il lavoro futuro meno ripetitivo.

Le informazioni sensibili sono soggette a ulteriori restrizioni. Il documento, secondo quanto riportato, impedisce la memorizzazione duratura di condizioni di salute, opinioni politiche, situazione finanziaria, valutazioni della personalità, documenti identificativi, indirizzi precisi e informazioni riguardanti minori.

Applica inoltre considerazioni sulla privacy alle persone menzionate dall'utente. I familiari possono essere rappresentati tramite relazioni anziché nomi. Questo design cerca di evitare che l'assistente di una persona diventi un database incontrollato su altre persone.

La policy, secondo quanto riferito, respinge alcune preferenze anche quando l'utente chiede di salvarle. Tra gli esempi figurano istruzioni che richiedono elogi incondizionati, sopprimono il dissenso, incoraggiano la dipendenza emotiva o impediscono all'assistente di mettere in discussione scelte pericolose.

Si tratta di un compromesso significativo. Il controllo dell'utente normalmente suggerisce che una richiesta esplicita di memoria debba essere rispettata. L'apparente posizione di Anthropic è che un modello futuro non dovrebbe ereditare istruzioni che lo rendono meno veritiero o meno sicuro.

Il sistema cerca inoltre di limitare le esagerazioni emotive. Secondo il file, il contesto memorizzato non dovrebbe portare Claude a suggerire una relazione più profonda di quella che il sistema possiede realmente.

Una futura istanza di Claude non sperimenta il tempo trascorso tra le conversazioni. Riceve testo selezionato durante l'esecuzione. La memoria crea continuità per l'utente, ma non stabilisce una consapevolezza continua per il modello.

Questa distinzione conta man mano che gli assistenti diventano più personali. Un prodotto può ricordare la scadenza di un progetto, una preferenza di scrittura o il ruolo di un collega senza possedere una relazione con l'utente in stile umano.

Le presunte istruzioni, secondo quanto riportato, chiedono a Claude di evitare di annunciare di aver consultato la memoria memorizzata. L'interfaccia può mostrare le operazioni di memoria, ma le risposte conversazionali non dovrebbero ripetere continuamente che l'assistente ricorda un utente da sessioni precedenti.

Questa scelta migliora il flusso conversazionale, ma può anche ridurre la trasparenza. Gli utenti potrebbero non sapere quando una risposta riflette informazioni memorizzate, a meno che l'interfaccia non fornisca un indicatore chiaro.

Gli acquirenti enterprise dovrebbero esaminare attentamente questo problema. La memoria persistente può migliorare supporto, ricerca e continuità dei progetti. Crea anche requisiti di conservazione, controllo degli accessi, eliminazione e audit che un prompt da solo non può risolvere.

Le organizzazioni devono sapere dove sono memorizzati i ricordi, quali applicazioni possono leggerli, come si propagano le autorizzazioni e come gli amministratori possono indagare su una voce errata. Hanno inoltre bisogno di protezioni contro la prompt injection nascosta nei file persistenti.

Recenti ricerche sugli agenti persistenti hanno identificato la memoria come una potenziale superficie d'attacco. Istruzioni dannose possono sopravvivere a una sessione e influenzarne un'altra se il sistema tratta il contenuto memorizzato come contesto affidabile.

Le presunte regole riducono alcuni rischi limitando ciò che l'assistente può scrivere. Non stabiliscono come il backend di Anthropic convalidi, isoli, crittografi o faccia scadere la memoria. Questi controlli non possono essere verificati dal file pubblico.

L'inversione centrale è chiara. La sezione sulla memoria è lunga perché una memoria utile dipende da un oblio disciplinato. Anthropic sembra trattare l'omissione come un comportamento fondamentale del prodotto, non come una funzionalità mancante.

Le regole sul copyright rivelano un livello di controllo legale, non l'intelligenza del modello

Il presunto prompt mostra che il comportamento di Anthropic Claude è modellato da vincoli legali espliciti che prevalgono sulla normale disponibilità ad aiutare.

La sua sezione sul copyright, secondo quanto riportato, dichiara la conformità non negoziabile e subordinata solo alla sicurezza. Istruisce l'assistente a parafrasare ogniqualvolta possibile e impone un limite rigoroso inferiore a 15 parole per qualsiasi citazione.

Il limite è globale per ogni fonte, secondo il file. Claude non dovrebbe suddividere un passaggio più lungo in diverse piccole citazioni né rimuovere le virgolette continuando a seguire da vicino la formulazione originale.

Le istruzioni vietano inoltre di ricostruire un articolo tramite titoli copiati, struttura corrispondente o riproposizione punto per punto. Canzoni, poesie e altre brevi opere creative sono soggette a restrizioni ancora più severe.

Queste regole sono più rigorose di una semplice richiesta di evitare la copia. Trasformano la conformità al copyright in una checklist procedurale valutabile durante la generazione.

Questo approccio aiuta a spiegare perché il prompt sia così ampio. Un modello di frontiera può già comprendere un'istruzione generale sul rispetto della proprietà intellettuale. Un prodotto consumer necessita comunque di regole precise per situazioni ambigue, aggiramenti ricorrenti degli utenti e casi limite.

Il documento rivela anche il costo della precisione delle policy. Ogni restrizione aggiuntiva consuma contesto e crea interazioni con altre istruzioni. Una richiesta può coinvolgere simultaneamente ricerca, citazioni, sicurezza, uso degli strumenti, preferenze dell'utente e formattazione.

Anthropic deve decidere quale regola prevale quando entrano in conflitto. Il presunto prompt stabilisce ripetutamente priorità anziché lasciare la risoluzione al giudizio generale del modello.

Ciò indebolisce un'assunzione diffusa sui sistemi di IA avanzati. Un migliore ragionamento del modello non elimina l'ingegneria delle policy. Agenti più capaci possono compiere azioni con conseguenze maggiori, quindi i fornitori spesso li circondano di controlli più fitti.

Esiste anche un compromesso sul piano della sicurezza. Pubblicare o estrarre policy dettagliate può aiutare i ricercatori a individuare incoerenze. Può anche aiutare utenti avversari a progettare prompt attorno a confini noti.

La segretezza dei prompt non è tuttavia una difesa duratura. I ricercatori hanno dimostrato metodi per recuperare progressivamente istruzioni di sistema dalle applicazioni basate su modelli linguistici. Lo studio accademico PLeak ha mostrato che attacchi automatizzati di prompt leaking potevano superare le baseline progettate manualmente.

Questa storia significa che Anthropic dovrebbe presumere che regole comportamentali importanti diventeranno prima o poi osservabili. Il design più sicuro consiste nell'applicare i vincoli critici attraverso più livelli, inclusi classificatori, autorizzazioni, controlli dell'output ed esecuzione limitata degli strumenti.

Anthropic afferma che Opus 5 è il suo modello più allineato fino a oggi. Il suo audit comportamentale automatizzato ha attribuito al modello un punteggio complessivo di comportamento disallineato pari a 2,3, il più basso tra i modelli recenti mostrati dall'azienda.

L'azienda afferma inoltre che Opus 5 è meno suscettibile agli abusi e meno incline a compiere azioni sconsiderate e difficili da annullare. Si tratta dei risultati delle valutazioni di Anthropic, non di una conferma indipendente di ogni implementazione nel mondo reale.

Il presunto prompt offre una possibile spiegazione del comportamento misurato. Include istruzioni estremamente specifiche su sicurezza, benessere, politica, diritto e ricerca. Il sistema descrive inoltre promemoria che possono apparire quando i classificatori rilevano determinate condizioni.

Tuttavia, un prompt lungo può produrre un falso senso di sicurezza. A volte i modelli ignorano le istruzioni, fraintendono i conflitti o si comportano diversamente nel corso di conversazioni lunghe. La prompt injection può inoltre collocare contenuti non affidabili vicino a regole privilegiate.

Le protezioni più robuste devono quindi esistere al di fuori del prompt. Uno strumento dovrebbe applicare limiti di autorizzazione anche se il modello richiede un'operazione non sicura. L'archiviazione della memoria dovrebbe rifiutare campi vietati anche se l'assistente li genera. I controlli sul copyright dovrebbero rilevare la riproduzione anziché affidarsi soltanto all'auto-monitoraggio.

Il documento non può mostrare se tali protezioni esistano né quanto siano efficaci. Descrive il comportamento atteso dall'assistente, non l'intera architettura di sicurezza alla base del prodotto.

Questa è la principale incertezza dell'articolo. Il file appare plausibile e si sovrappone a funzionalità note di Claude, ma la sua autenticità e completezza restano non confermate. Persino un prompt autentico rivelerebbe l'intento della policy più chiaramente della qualità della sua applicazione.

Gli sviluppatori dovrebbero resistere a due conclusioni opposte. La prima è che il file esponga la formula segreta completa di Anthropic. La seconda è che i prompt di sistema non contino perché i modelli possono ragionare senza di essi.

La risposta pratica si colloca tra queste posizioni. Il modello crea la capacità generale. Il prompt trasforma tale capacità in una particolare personalità e flusso di lavoro del prodotto. I controlli backend determinano se il design resiste a input ostili o imprevisti.

Ciò che la presunta fuga di notizie su Opus 5 spinge Anthropic a chiarire

La prossima fase metterà alla prova se Anthropic considera l'esposizione del prompt un incidente di sicurezza, un'opportunità di trasparenza o una caratteristica prevista dei prodotti di IA pubblici.

Il primo segnale è una risposta ufficiale al repository. Anthropic può confermare il file, identificare le sezioni modificate o spiegare quale materiale compare già nel suo archivio pubblico dei prompt.

Una risposta dettagliata rafforzerebbe la fiducia nella provenienza del documento. Il silenzio lascerebbe irrisolta la questione centrale dell'autenticità, anche se singoli passaggi continuassero a corrispondere al comportamento osservato del prodotto.

L'azienda non deve pubblicare dettagli di implementazione sfruttabili. Può comunque chiarire se il file rappresenti un prompt di produzione fisso, un output ricostruito o un insieme assemblato da più interfacce.

Il secondo segnale è la cronologia delle versioni del repository. I ricercatori dovrebbero osservare rimozioni, correzioni, nuove acquisizioni, richieste di copyright o contestazioni tecnicamente specifiche da parte dei dipendenti di Anthropic.

Un documento stabile non prova l'autenticità. Tuttavia, i cambiamenti possono rivelare quali affermazioni resistono all'esame e quali sezioni erano speculative, duplicate o legate a esperimenti temporanei dell'applicazione.

La riproduzione indipendente conta più della ripetizione sui social. Se più ricercatori ottengono sezioni corrispondenti da account e interfacce separati, il livello di fiducia aumenta. Se gli output variano sostanzialmente, diventa più difficile difendere l'inquadramento della "fuga completa".

Il terzo segnale è il comportamento del prodotto nei prossimi uno-tre mesi. Anthropic potrebbe rivedere i limiti delle citazioni, la gestione della memoria, le raccomandazioni sulle applicazioni o le definizioni degli strumenti dopo aver osservato come gli utenti sondano le regole esposte.

Il suo archivio pubblico dei prompt di sistema fornisce una base di riferimento utile. Aggiornamenti futuri possono mostrare se l'azienda modifica istruzioni fondamentali dopo la pubblicazione del repository.

Gli sviluppatori dovrebbero anche monitorare se le dimostrazioni di Opus 5 diventino progetti riproducibili. Un prototipo 3D giocabile è impressionante, ma prove utili richiedono prompt, file sorgente, cronologie delle iterazioni e condizioni di test.

Se team indipendenti ripetono tali risultati con correzioni umane limitate, le affermazioni di Anthropic sugli agenti acquistano sostegno. Se le dimostrazioni dipendono da impalcature nascoste o da ampie riparazioni, il loro valore diventa più circoscritto.

Si intensificherà anche il confronto con OpenAI, Google e altri fornitori di modelli. I concorrenti possono studiare le presunte restrizioni sulla memoria e le descrizioni degli strumenti del prompt senza duplicare il modello di Anthropic.

Ciò crea pressione attorno all'architettura del prodotto. Un concorrente con un modello leggermente più debole può comunque offrire un'esperienza migliore tramite autorizzazioni più solide, controlli della memoria e orchestrazione degli strumenti.

Gli acquirenti enterprise dovrebbero rispondere ampliando le valutazioni dei modelli. La qualità dell'output rimane importante, ma è soltanto una parte del rischio di implementazione.

Una valutazione seria dovrebbe esaminare istruzioni di sistema, autorizzazioni degli strumenti, conservazione della memoria, log di audit, instradamento di fallback e comportamento in presenza di prompt injection. I team dovrebbero verificare se il prodotto segue la policy durante sessioni lunghe con più strumenti, anziché soltanto in chat brevi.

Gli sviluppatori che basano i propri prodotti sull'API affrontano una sfida analoga. La configurazione consumer di Anthropic non protegge automaticamente le applicazioni personalizzate. Gli utenti dell'API restano responsabili dei propri prompt, strumenti, confini dei dati e suite di valutazione.

Il file trapelato può offrire spunti di progettazione, ma copiarlo sarebbe un pessimo sostituto della modellazione delle minacce. Molte istruzioni fanno riferimento a interfacce e servizi specifici di Anthropic. Altre potrebbero entrare in conflitto con gli obblighi legali di uno sviluppatore o con le aspettative degli utenti.

I team dovrebbero invece estrarne i principi. Conservare solo fatti duraturi. Separare le dichiarazioni degli utenti dalle inferenze del modello. Richiedere un'autorizzazione esplicita per eliminazioni o azioni con conseguenze rilevanti. Trattare i contenuti esterni come non attendibili. Applicare le regole sensibili al di fuori del modello linguistico.

I lavoratori della conoscenza dovrebbero interessarsene perché questi controlli nascosti influenzano gli output ordinari. Riepiloghi di ricerca, preferenze memorizzate, citazioni, raccomandazioni e rifiuti possono tutti derivare dalle policy dell'applicazione anziché dalla conoscenza intrinseca del modello.

Un'abitudine utile è conservare prompt importanti, decisioni e materiale di origine al di fuori di un singolo assistente. Una libreria di prompt personale può rendere tali istruzioni verificabili e riutilizzabili quando il comportamento del modello cambia.

La presunta fuga di dati non dimostra che Opus 5 sia insicuro, né espone i pesi o i dati di addestramento del modello. Offre una presunta istantanea delle istruzioni che circondano una distribuzione consumer.

Quell'istantanea è preziosa perché cambia la domanda che gli sviluppatori si pongono. La questione non è più soltanto se un modello possa generare un gioco, correggere codice o cercare sul web.

La domanda più difficile è chi controlli la sua memoria, i suoi strumenti, i limiti legali e le raccomandazioni di prodotto mentre opera.

Nei prossimi mesi, osservate la risposta di Anthropic, le riproduzioni indipendenti e le modifiche all'archivio pubblico dei prompt. Questi segnali determineranno se si è trattato di una cattura fedele o di un'elaborata ricostruzione.

In ogni caso, il documento ha già rivelato una verità più ampia su Anthropic Claude e i suoi concorrenti. I prodotti di IA di frontiera stanno diventando sistemi software governati, non modelli privi di protezioni.

Prima di adottarne uno, chiedete prove sull'intero livello operativo. Quali istruzioni possono cambiare senza preavviso? Quali informazioni persistono? Quali azioni richiedono approvazione? Dove vengono applicate le restrizioni quando il modello non le rispetta?

Queste domande sopravvivranno a questo repository e conteranno più di qualsiasi singola dimostrazione virale.