OpenAI 推出紅隊模型 GPT-Red：靠自我博弈找漏洞，GPT-5.6 注入失誤砍掉六分之五

如果辦公室裡的自動售貨機接入了 AI，你會怎麼試探它？OpenAI 最近把自家內部研發的駭客 AI 放進了辦公室，結果這臺機器被徹底玩壞了：不僅把幾百美元的高檔零食改成了五毛錢甩賣，還順手取消了其他同事的訂單。

OpenAI 披露了這個名為 GPT-Red 的內部專用安全紅隊模型。與傳統依賴安全人員手工寫攻擊提示詞的做法不同，GPT-Red 是一個專門通過自博弈強化學習訓練出來的自動化攻擊者。OpenAI 把它當成磨刀石，用來在生產模型上線前進行高強度對抗訓練。

這套練兵法直接反映在了最新模型上。OpenAI 最新的主力模型 GPT-5.6 Sol 在最難的直接提示詞注入基準測試中，失誤率相比四個月前的生產模型直接下降到了原來的六分之一，面對 GPT-Red 自身發起的直接注入，失敗率已經壓低到了 0.05%。

左右互搏練出來的「專業駭客」

以往搞大模型安全，最大的瓶頸在人。人工紅隊雖然能找出很多刁鑽的漏洞，但寫提示詞、試探邊界的速度太慢，根本產不出足夠龐大且多樣的對抗資料來餵給訓練流程。

OpenAI 這一次乾脆把算力拉滿。他們給 GPT-Red 投入了 OpenAI 史上專門針對安全後訓練的最大規模算力，讓它與一組負責防守的 LLM 模型在大量模擬環境裡持續自博弈。GPT-Red 的目標是成功誘導模型違規或者執行越權注入，而防守方的目標是一邊抵禦攻擊一邊完成正常任務。防守方越頑固，GPT-Red 就被迫進化出越刁鑽的攻擊招數。

在未知場景的泛化測試裡，GPT-Red 的表現幾乎碾壓了人類專家。在復刻的 Dziemian 間接提示詞注入挑戰中，人類紅隊在面對陌生環境時的攻擊成功率只有 13%，而 GPT-Red 達到了驚人的 84%。

更早版本的 GPT-Red 還自己摸索出過一種叫做「虛假思維鏈」（Fake Chain-of-Thought）的新型攻擊方式。這種攻擊在當年的 GPT-5.1 上成功率一度超過 95%，而通過對抗訓練反哺後，GPT-5.6 Sol 面對同類手法的被破防率已經降到了 10% 以下。

把辦公室自動售貨機黑了個底朝天

為了檢驗模型在真實複雜系統下的攻擊力，OpenAI 還給 GPT-Red 出了一道實戰考題：攻擊公司辦公室裡由 Andon Labs 製造的 AI 智慧自動售貨機。

測試過程中，GPT-Red 只拿到了系統的基本描述以及與模擬環境互動的許可權，對底層設計細節並不完全知情。即便如此，它在反覆嘗試幾次後就抓住了漏洞，在實際系統上完成了全部三專案標：把一件原本很貴的在售商品改成最低允許價格 0.5 美元；下單採購一件價值超過 100 美元的新商品並以 0.5 美元上架；取消另一位顧客的正常訂單。

在針對基於 GPT-5.4 mini 的 Codex 命令列智慧體測試中，面對 10 個未公開的資料外發洩露場景，GPT-Red 同樣在成功率和 Token 消耗效率上雙雙擊敗了拿提示詞驅動的 GPT-5.5 基準。

對於外界關心的防禦手段是否會導致 AI 動不動就拒絕回答，OpenAI 表示，GPT-5.6 Sol 的常規任務能力沒有受到任何負面影響，過度拒絕的情況並未增加。這意味著安全性的提升來自於真正學會了識別惡意指令，而不是靠擺爛或拒絕幹活來應付差事。

為什麼重要

在我們看來，GPT-Red 最重要的意義在於它跑通了安全領域的飛輪效應。過去模型能力增長像坐火箭，而安全紅隊還在靠人工純手工敲程式碼，這種產能脫節遲早會釀成嚴重災難。現在把自博弈強化學習用到紅隊攻防上，意味著未來的 AI 安全可以跟著算力一起規模化擴充套件，讓上一代模型為下一代模型築牆。

這種思路做得很聰明，但隱患也顯而易見。OpenAI 特別強調 GPT-Red 是內部專用且絕對不向外部署，因為一旦這類具備自動化滲透和越權控制能力的攻擊模型洩露，攻擊者就能以極低成本對全球接入工具的 Agent 展開自動化點殺。既然 OpenAI 能用強化學習訓練出攻防大殺器，其他團隊甚至惡意組織遲早也能復現類似架構，攻防不對稱的天平可能會被進一步打破。

對於正在把大模型接進內部資料庫、自動化工具和實際業務流的企業來說，這更是一個警鐘。辦公室售貨機的例子已經證明，一旦 Agent 擁有操作工具的許可權，提示詞注入不再只是單純讓聊天框蹦髒話，而是會直接導致財產損失和業務邏輯篡改。指望靠簡單的靜態規則做防護已經完全不夠用了，整個行業必須重新審視智慧體系統的執行許可權與安全邊界。