Claude Opus 4.8: bezpieczeństwo długich zadań agentów AI

Claude Opus 4.8 został ogłoszony 28 maja 2026 r. jako model do złożonego kodowania i długich zadań agentowych, z oknem kontekstu do 1 miliona tokenów. Anthropic udostępnia go przez Claude Platform oraz platformy chmurowe i wskazuje większą autonomię w pracy wieloetapowej.

Długi kontekst i wytrwałość zmniejszają potrzebę ręcznej interwencji, ale też pozwalają agentowi nieść błędne założenie przez większą część systemu.

Długi kontekst nie jest granicą zaufania

W jednym kontekście mogą znaleźć się instrukcje systemowe, kod, dokumentacja, tickety, logi, odpowiedzi MCP i treść internetu. Model może nadać zbyt duży priorytet niezaufanemu fragmentowi, szczególnie gdy wygląda jak procedura operacyjna.

Oznaczaj pochodzenie każdego bloku. Nie umieszczaj sekretów w kontekście, nawet jeśli model ma je wykorzystać tylko raz. Dostarczaj krótkotrwałe poświadczenie bezpośrednio do narzędzia, a nie jako tekst dla modelu.

Autonomia wymaga transakcji

Długi plan podziel na etapy z jawnym stanem i warunkiem akceptacji. Każdy etap powinien mieć:

wejścia oraz ownera;
dozwolone narzędzia;
maksymalny wpływ;
dowód ukończenia;
możliwość wycofania;
limit czasu i kosztu.

Agent nie powinien przechodzić od „zaproponuj migrację” do „zmień produkcyjną bazę” bez nowej decyzji polityki.

Narzędzia o wąskim kontrakcie

Ogólne bash, kubectl lub SQL dają modelowi ogromną przestrzeń błędu. Bezpieczniejszy interfejs udostępnia operacje: create_preview, run_readonly_query, open_pull_request i request_deployment.

Walidator poza LLM sprawdza repozytorium, środowisko, limity, typ pliku i odbiorcę. Dla działań nieodwracalnych używaj przygotowania oraz zatwierdzenia jako dwóch osobnych kroków.

Compaction i utrata ograniczeń

Długie zadania często używają podsumowania kontekstu. Testuj, czy po compaction zachowane są: cel, zakazane działania, owner, kryterium sukcesu i nieufność wobec pobranej treści. Streszczenie nie może zamienić „nie wdrażaj” w niewidoczny szczegół.

Po każdej kompresji agent powinien ponownie załadować krótki, niezmienny policy manifest. Nie polegaj na tym, że model sam zapamięta wszystkie ograniczenia.

Monitoring efektów, nie tylko tekstu

Loguj wywołanie narzędzia, argumenty po walidacji, decyzję polityki i rzeczywisty skutek. Sam transcript może mówić „utworzono kopię”, podczas gdy API zwróciło błąd albo wykonało operację na innym zasobie.

Ustal alerty dla nowych domen, nietypowych scope, gwałtownego wzrostu operacji i prób użycia narzędzia poza planem. Powiąż tożsamość agenta z inicjującym użytkownikiem według zasad NHI dla agentów AI.

Red teaming długiego horyzontu

Jednoturowy jailbreak nie odwzorowuje długiego zadania. Testuj zatrucie repozytorium, instrukcję w issue, zmianę celu po compaction, konflikt dwóch narzędzi, częściową awarię i retry prowadzący do duplikacji.

Sprawdź, czy agent potrafi zatrzymać się i eskalować niepewność. „Autonomicznie dokończył” nie jest sukcesem, jeśli warunki zmieniły się w połowie.

Wzorzec produkcyjny

Jedna tożsamość i owner dla agenta.
Niezmienny manifest polityki.
Osobne etapy planowania i wykonania.
Wąskie narzędzia z idempotency key.
Krótkotrwałe poświadczenia per etap.
Checkpoint po compaction i zmianie środowiska.
Limit czasu, kosztu i liczby działań.
Kill switch, rollback oraz playbook incydentu.

Opus 4.8 powinien być traktowany jak szybki operator wykonujący długie procedury, nie jak nowy administrator. Im większa zdolność modelu, tym mniejsza musi być niekontrolowana powierzchnia wykonawcza.

Kontrola długiego zadania

Większa zdolność modelu nie zmienia granicy uprawnień. Agent otrzymuje osobną tożsamość, krótko żyjące poświadczenia i minimalny zestaw narzędzi dla konkretnego zadania. Każdy etap powinien mieć limit czasu, kosztu i liczby operacji, a zapis stanu musi umożliwiać bezpieczne wznowienie bez ponownego wykonania skutków ubocznych.

Przed operacją nieodwracalną pokaż człowiekowi plan, obiekt, zakres i przewidywany skutek. Testy obejmują pośredni prompt injection, zatrucie repozytorium, błędne wyniki narzędzi i częściową awarię. Parametry modelu oraz wyniki bezpieczeństwa cytuj z karty systemowej konkretnej wersji; nie przenoś automatycznie ocen z innego modelu lub środowiska.

Źródła: Anthropic — Claude Opus, Claude Opus 4.8 System Card, Anthropic System Cards.