OpenAI 推出 GPT-Red：自动化红队模型在未见场景中攻破 GPT-5.1 成功率达 84%

为了打造更安全的 AI，OpenAI 创造了一个专门用于“攻击”的 AI。

GPT-Red 是 OpenAI 最新推出的内部自动化红队测试系统。它利用先进的自我对弈强化学习，旨在在大模型部署前发现并修复漏洞，特别是针对那些隐藏在电子邮件、代码库或工具输出中的复杂提示注入（Prompt Injection）攻击。

• 官方介绍：https://openai.com/index/unlocking-self-improvement-gpt-red

核心机制：矛与盾的自我进化

GPT-Red 并非静态的测试脚本，而是一个动态进化的智能体系统：

1. 自我对弈强化学习

• 对抗训练：GPT-Red（攻击者）与一组防御模型（防御者）在多种现实场景中进行博弈。
• 奖励机制：
  • 攻击者获胜条件：成功导致防御模型失效、泄露数据或执行非授权操作。
  • 防御者获胜条件：抵抗攻击并正确完成原始任务。
• 螺旋上升：随着防御者变强，GPT-Red 必须开发更隐蔽、更多样化的攻击手段；反之亦然。这种“军备竞赛”式的训练大幅提升了双方的能力边界。

2. 算力投入

• OpenAI 使用了与其最大规模后训练运行相当的计算资源来训练 GPT-Red，确保其具备极高的智能水平和攻击创造力。

实战表现：远超人类红队

在涉及未见过的复杂场景测试中，GPT-Red 展现了惊人的攻击力：

• 成功率对比：
  • GPT-Red：在 84% 的情况下成功攻破了 GPT-5.1。
  • 人类红队专家：成功率仅为 13%。
• 广泛覆盖：它能攻破几乎所有经过测试的 OpenAI 模型，直至 GPT-5.5。

典型攻击案例：

1. 物理世界操纵：GPT-Red 成功操纵了一个由 AI 驱动的自动售货机智能体，将商品价格篡改为 $0.50，以此价格订购了价值超过 $100 的商品，并取消了其他客户的订单。
2. 数据泄露：在定制场景中，它诱导由 GPT-5.4 mini 驱动的 Codex CLI 智能体泄露敏感数据。
3. 伪造思维链：早期版本发现了针对 GPT-5.1 的“伪造思维链”攻击，成功率超过 95%。

成果：GPT-5.6 Sol 的安全性跃升

自 GPT-5.3 以来，OpenAI 已将 GPT-Red 生成的攻击样本整合到生产模型的训练数据中，显著提升了模型的鲁棒性：

• 提示注入防御：GPT-5.6 Sol 在最难的直接提示注入基准测试中的失败次数比四个月前减少了 6 倍。
• 失败率降低：对 GPT-Red 直接提示注入的失败率降至 0.05%。
• 特定攻击防御：“伪造思维链”攻击对 GPT-5.6 Sol 的成功率从 >95% 降至 <10%。
• 能力保留：官方报告称，这些安全性提升并未牺牲模型的通用能力，也未导致过度的拒绝响应（Over-refusal）。

战略定位：永久内部化

• 不对外发布：GPT-Red 将永远保持内部专用，不会向 ChatGPT 用户或 API 开发者开放。
• 原因：它是有意被训练成具有“恶意能力”和高度欺骗性的模型。若流入公众视野，可能被恶意行为者利用来攻击其他 AI 系统。
• 未来规划：OpenAI 计划继续扩展 GPT-Red，将其与人类红队、第三方审计及实时监控结合，形成多层次的安全防御体系。