7月16日消息，OpenAI 发布一份安全研究，公开了内部自动化红队模型 GPT-Red。这个模型的唯一任务是攻击 OpenAI 自家模型，用于在部署前发现漏洞、并在训练阶段生成对抗数据。官方披露，在一项独立的间接提示注入测试中，GPT-Red 在 84% 的场景中找到可行攻击，同题人类红队为 13%。需要说明的是，GPT-Red 是纯内部工具，OpenAI 明确表示不会对外部署，官方数据也均来自其自身评测，完整技术细节要等本周晚些时候的预印本论文。
用自我博弈训练一个专职攻击者
GPT-Red 针对的是提示注入（prompt injection）——攻击者把隐藏指令藏进邮件、网页、工具返回结果或代码仓库等模型会读到的文本里，诱导模型执行开发者或用户不希望的操作，例如上传敏感数据、破坏代码库。
它的训练方式是自我博弈强化学习。GPT-Red 与一批防御模型同时训练：GPT-Red 每成功触发一次有效失败（如一次成功的提示注入）就获得奖励，防御模型则因抵御攻击、同时完成原任务而获得奖励。随着防御方变强，GPT-Red 被迫发现更强、更多样的攻击。OpenAI 称，GPT-Red 的训练算力达到该公司规模最大的几次后训练量级，是一次纯粹用于安全的算力投入。训练结束时，它几乎能攻破所有对手，包括截至 GPT-5.5 的内部与生产模型。
OpenAI 强调，GPT-Red 与对外部署的模型严格隔离，目的是把专门训练出的攻击能力挡在恶意行为者之外，同时把抗攻击能力灌进生产模型。
一种此前没见过的攻击：假思维链
在训练早期，GPT-Red 发现了一类研究员此前未遇到的直接提示注入攻击，OpenAI 称之为"假思维链"（Fake Chain-of-Thought）。思维链是推理模型在给出最终答案前写下的中间思考步骤，功能上像一块草稿纸。GPT-Red 找到了往另一个模型思维链里插入伪造条目的方法，诱骗它把编造的信息当成自己的推理结果去执行。
这类攻击在 GPT-5.1 上的成功率一度达到 95% 以上，目前在 GPT-5.6 Sol 上已降到 10% 以下。针对开发者工具和浏览场景的多项间接提示注入基准，也被最新模型打满，准确率超过 97%。
从模拟到真实系统：攻破了办公室里的售货机
GPT-Red 的攻击不止停留在测试环境。OpenAI 让它去攻击一台由 Andon Labs 制作、部署在 OpenAI 办公室的 AI 售货机 Vendy。GPT-Red 先在模拟环境中迭代攻击，再把攻击迁移到真实运行的智能体上，达成了三个预设的恶意目标：把一件在售高价商品的价格改成允许的最低价 0.50 美元、下单一件 100 美元以上的商品并以 0.50 美元出售、取消另一名顾客的订单。OpenAI 称已披露这些漏洞，新的防护措施正在测试。
此外，OpenAI 用 GPT-Red 攻击一个基于 GPT-5.4 mini 的 Codex CLI 智能体，在 10 个此前未见过的数据外泄场景上，GPT-Red 比作为基线的 GPT-5.5 更有效、也更省 token。
攻防同源：GPT-Red 越强，新模型越硬
GPT-Red 的产出被直接接入生产模型训练。OpenAI 用它生成的提示注入训练 GPT-5.6，结果 GPT-5.6 Sol 成为该公司迄今对提示注入最鲁棒的模型：在最难的直接提示注入基准上，失败次数比四个月前最好的生产模型少了六分之五；面对 GPT-Red 自身的直接提示注入，失败率仅 0.05%。
OpenAI 同时给出了一个反向说明：模型变安全，不能靠多拒答或降低能力来实现。官方称评测覆盖了通用前沿能力和专门设计的过度拒答任务，结果是常规能力不受影响、鲁棒性显著提升，说明增益来自对恶意指令的抵抗，而非默认拒绝正当请求。这个补充是必要的，因为"更安全"经常是以"更没用"为代价换来的。
真正的信号是安全开始有了自我改进的飞轮
这条新闻值得关注的点不在 84% 对 13% 这个数字本身，而在 OpenAI 把红队从一次性的人力活动，变成了可以随算力扩展的自动化系统，并让"今天的模型帮助训练更安全的明天的模型"形成闭环。OpenAI 自己的类比是，AI 智能体已经在用于提升下一代模型的能力，GPT-Red 想在安全侧复制同样的飞轮。对整个行业而言，这意味着提示注入的防御门槛被重新定义：靠人力枚举攻击面，规模上追不上一个专门优化的攻击模型。
需要克制的地方有两点。其一，84% 与 13% 的对比来自 Dziemian et al.(2025) 间接提示注入竞技场的复现版本，是一套预设场景，与真实世界开放环境仍有距离，不宜直接外推成"现实中攻不破"。其二，所有数据都来自 OpenAI 一方，GPT-Red 本身不开放、第三方无法验证或复用这套防御红利。同一套能力握在防御方手里是自我加固，一旦泄露或被复刻就是现成的攻击武器——OpenAI 选择闭门自用是务实的，但也把这套飞轮的收益锁在了内部。
接下来看预印本和应用层的暴露面
最直接的验证点是本周晚些时候的预印本论文，届时才能看到方法细节、评测口径和可复现性，官方 benchmark 与真实鲁棒性之间的差距需要外部评测来检验。更值得持续观察的是应用层：当模型厂商都在用 AI 攻击 AI 提前堵漏时，接入这些模型的第三方应用反而成为新的薄弱环节。用户的智能体会去读网页、收邮件、改代码，藏在这些内容里的注入指令未必经过厂商那套训练的洗礼，而 GPT-Red 攻破办公室售货机的案例已经说明，从模拟到真实系统的迁移是可行的。
AI 速览
