OpenAI 发布 Deep research 系统卡：o3 驱动，四项前沿风险评为中等

让一个 AI 能够自主在互联网上漫游、扒网页、读 PDF 甚至自己写代码分析数据，听起来是打工人的终极救星，但对安全团队来说，这几乎是一场噩梦。

OpenAI 针对旗下刚面向 Pro 用户推出的深度研究功能，正式发布了一份系统安全卡，首次拆解了背后的模型底座与潜在风险。

披着 o3 外衣的自主调研员

这份系统卡首先揭开了这个新功能的真实底座。它并不是普通的 GPT-4o 联网，而是由专门针对网络浏览优化过的早期版本 OpenAI o3 驱动。

与以往一问一答的搜索不同，Deep Research 具备很强的代理能力。它会在互联网上进行多步骤的复杂任务检索，面对海量文本、图片和 PDF 时，能利用推理能力去理解内容，并在发现线索不符合预期时随时调整策略。

如果遇到数据处理需求，它还能读取用户上传的文件，现场编写并执行 Python 代码来完成计算和制图。官方表示，这项能力是为了在广泛的复杂场景下替人类分担工作。

四项前沿风险全部达到中级

然而，当 AI 学会自己上网找资料，最大的隐患往往不是模型本身想学坏，而是互联网本身充满了陷阱。

OpenAI 依据其防范框架进行了前沿风险评估，在四个核心维度上，化学生物放射性核风险、网络安全、说服力以及模型自主性，Deep Research 的评级全部达到了中等水平。

在具体的安全威胁中，最棘手的是提示词注入攻击。由于模型需要抓取不受控的公开网页，攻击者完全可以在网页隐藏恶意指令，诱骗正在抓取内容的 AI 偏离任务甚至窃取数据。

为此，OpenAI 在正式扩大推送前，专门引入了外部红队测试以及额外的人工探测与自动化测试。安全团队重点加强了对公开个人信息的隐私过滤，并专门针对网络搜索中的恶意注入指令训练了模型的防御抵抗力。

为什么重要

对于需要频繁搜集行业情报、梳理学术文献或分析财报的人来说，这种具备自主调整路径和代码能力的调研代理，确实能把几天的工作压缩到几十分钟。但现阶段它依然是 Pro 用户的专属工具，并且在涉及高度精确的事实判断时，依然不能忽视幻觉风险。

从行业角度看，OpenAI 将早期 o3 的强推理能力与多步工具调用结合，直接拉高了下一代 AI 代理的及格线。未来的竞争不再是谁家检索更快，而是谁的代理能在面对脏数据和复杂逻辑时，懂得像人类研究员一样及时转向。

我们认为，OpenAI 这次在安全卡里把四项核心风险都标为中等，其实是非常诚实的做法。当 AI 拥有了执行代码和网络漫游的权力，安全边界就已经从单纯的输出合规，变成了复杂的动态对抗。单纯依靠模型对齐来抵御网页里的恶意注入，在未来更开放的网络环境下依然存在隐患，这场攻防战才刚刚拉开序幕。