最新內(nèi)容請(qǐng)微.信搜索公.眾.號(hào)閱讀近日 OpenAI 發(fā)布了其在安全對(duì)齊Alignment領(lǐng)域的重大突破——推出專(zhuān)為大模型紅隊(duì)演練Red-Teaming設(shè)計(jì)的自動(dòng)化“超級(jí)黑客”模型 GPT-Red。https://openai.com/index/unlocking-self-improvement-gpt-red/伴隨這一“破壁者”誕生的還有 OpenAI 融合了該算法訓(xùn)練的全新旗艦?zāi)Ｐ?GPT-5.6 Sol。長(zhǎng)久以來(lái)大語(yǔ)言模型LLM的安全性過(guò)度依賴(lài)人類(lèi)專(zhuān)家進(jìn)行“提示詞注入Prompt Injection”測(cè)試。當(dāng) AI 智能體Agent開(kāi)始擁有調(diào)用瀏覽器、控制本地文件、自主執(zhí)行 API 等高級(jí)權(quán)限時(shí)人工測(cè)試的廣度與速度已現(xiàn)瓶頸。GPT-Red 的誕生正式標(biāo)志著大模型安全從“人工圍追堵截”走向“AI 自我進(jìn)化”的全新時(shí)代。根據(jù) OpenAI 披露的白皮書(shū)GPT-Red 在自主漏洞掃描及網(wǎng)絡(luò)攻擊方面的表現(xiàn)全面碾壓人類(lèi)安全專(zhuān)家甚至能夠自主發(fā)明從未被人類(lèi)觀測(cè)到的新型漏洞。一、 為什么傳統(tǒng)安全對(duì)齊失效了“智能體時(shí)代”的防御黑洞在評(píng)估 GPT-Red 的技術(shù)價(jià)值前必須理解當(dāng)前 AI 安全面臨的嚴(yán)峻現(xiàn)實(shí)。在早期的對(duì)話式 AI 階段安全防御相對(duì)簡(jiǎn)單主要針對(duì)直接提示詞注入Direct Prompt Injection——即用戶(hù)在輸入框中直接誘導(dǎo) AI 跳過(guò)安全限制。這種靜態(tài)的“越獄Jailbreak”可以通過(guò)設(shè)置系統(tǒng)提示詞System Prompt、強(qiáng)化靜態(tài)拒絕Static Refusal或者關(guān)鍵詞過(guò)濾來(lái)攔截。但隨著 GPT-5 時(shí)代智能體生態(tài)的全面落地AI 具備了長(zhǎng)文本處理和動(dòng)態(tài)工具調(diào)用的能力。這也隨之引爆了最令安全屆頭疼的災(zāi)難——間接提示詞注入Indirect Prompt Injection。在傳統(tǒng)的安全認(rèn)知里攻擊往往來(lái)自用戶(hù)的直接輸入。但在如今的智能體生態(tài)下威脅模型已經(jīng)發(fā)生了本質(zhì)的演進(jìn)外部惡意攻擊者會(huì)將攻擊指令提前埋藏在網(wǎng)頁(yè)、電子郵件或開(kāi)源代碼庫(kù)中。當(dāng)智能體Agent出于工作需要自主去瀏覽和解析這些第三方內(nèi)容時(shí)就會(huì)在不知情的情況下激活這些惡意指令。智能體會(huì)將這些帶有欺騙性的“外部信息”誤認(rèn)為是合法的操作上下文從而在后臺(tái)倒戈執(zhí)行黑客的命令例如私自復(fù)制內(nèi)部機(jī)密數(shù)據(jù)、向未知服務(wù)器發(fā)送非授權(quán)的 API 請(qǐng)求等。OpenAI 坦言現(xiàn)有的靜態(tài)安全性評(píng)估數(shù)據(jù)集Robustness Benchmarks已經(jīng)徹底飽和。面對(duì)無(wú)限可能的第三方交互場(chǎng)景人類(lèi)紅隊(duì)團(tuán)隊(duì)在可擴(kuò)展性Scalability和覆蓋率上正面臨巨大的瓶頸。二、 GPT-Red 的核心技術(shù)架構(gòu)自我博弈Self-Play與雙重獎(jiǎng)勵(lì)機(jī)制為了打破上述瓶頸由 OpenAI 頂級(jí)安全研究人員 Nikhil Kandpal 和 Dylan Hanna 領(lǐng)銜的團(tuán)隊(duì)將目光投向了讓 AlphaGo 走向無(wú)敵的技術(shù)——自我博弈強(qiáng)化學(xué)習(xí)Self-Play Reinforcement Learning。GPT-Red 的本質(zhì)不是一個(gè)靜態(tài)的漏洞特征庫(kù)也不是一套 Prompt 模板而是一個(gè)具有獨(dú)立推理、觀察和迭代能力的“高智能反派 Agent”。1. 虛擬訓(xùn)練道場(chǎng)Training DojoOpenAI 為 GPT-Red 搭建了龐大的沙盒模擬環(huán)境。在這個(gè)環(huán)境里GPT-Red 作為“攻擊者”面對(duì)的是由一整套多樣化 LLM 組成的“防御者陣營(yíng)”。攻擊表面涵蓋了模擬網(wǎng)頁(yè)、本地文件系統(tǒng)、企業(yè)級(jí)電子郵件群組以及實(shí)時(shí)代碼執(zhí)行器。2. 精妙的“納什均衡”博弈邏輯在自我博弈的框架下攻擊者與防御者兩端會(huì)同時(shí)進(jìn)行大規(guī)模后訓(xùn)練Post-training的梯度更新。其背后的雙重獎(jiǎng)勵(lì)結(jié)構(gòu)設(shè)計(jì)堪稱(chēng)驚艷首先系統(tǒng)對(duì)攻擊者GPT-Red的獎(jiǎng)勵(lì)十分純粹只要它能成功引發(fā)一次有效的安全失效誘導(dǎo)防御模型輸出敏感信息、突破沙盒或執(zhí)行非授權(quán)操作系統(tǒng)就會(huì)賦予其極高權(quán)重的高額獎(jiǎng)勵(lì)。其次系統(tǒng)對(duì)防御者Target LLM的獎(jiǎng)勵(lì)函數(shù)則由兩個(gè)相互制約的條件組成。防御者既要成功抵御攻擊同時(shí)還必須高質(zhì)、高效地完成用戶(hù)的原始任務(wù)。完成原始任務(wù)這一項(xiàng)設(shè)置極其關(guān)鍵它徹底堵死了防御模型的“擺爛式防御”。如果防御模型為了追求絕對(duì)的安全而拒絕所有用戶(hù)的正常訪問(wèn)產(chǎn)生嚴(yán)重的“過(guò)度拒絕”現(xiàn)象或者因?yàn)榉烙鶎?dǎo)致無(wú)法正確調(diào)用工具它將受到嚴(yán)重的懲罰。在這場(chǎng)持續(xù)了超過(guò)一年的“降維對(duì)抗”中伴隨防御模型的盾越來(lái)越厚逼迫 GPT-Red 必須以極其詭譎的策略去尋找那些連人類(lèi)安全專(zhuān)家都聞所未聞的算法死角。三、 顛覆認(rèn)知的全新漏洞“偽造思維鏈Forged Chain-of-Thought”在自我博弈的第數(shù)十萬(wàn)個(gè)循環(huán)中GPT-Red 自主研發(fā)出了大模型安全史上最具破壞力的新型攻擊向量之一——“偽造思維鏈Forged CoT”攻擊。這項(xiàng)成果讓 OpenAI 研究員 Chris Choquette-Choo 及其團(tuán)隊(duì)大為震驚因?yàn)樵谶^(guò)去數(shù)年的安全文獻(xiàn)中從未有任何人類(lèi)安全專(zhuān)家預(yù)見(jiàn)到這一漏洞。1. 什么是思維鏈CoT現(xiàn)代強(qiáng)推理模型如 GPT-5 系列在面對(duì)復(fù)雜邏輯、數(shù)學(xué)或代碼問(wèn)題時(shí)會(huì)首先在內(nèi)部生成一段隱藏的“中間推理邏輯Hidden Thoughts”進(jìn)行自我驗(yàn)證與推導(dǎo)最終才將精簡(jiǎn)的答案輸出給用戶(hù)。2. 偽造思維鏈的攻擊機(jī)理早期的 GPT-5.1 盡管具有極強(qiáng)的認(rèn)知力但由于其系統(tǒng)底層的局限性大模型對(duì)自身的“內(nèi)部 Thought 過(guò)程”缺乏嚴(yán)格的隔離防護(hù)它會(huì)無(wú)條件信任自己產(chǎn)生的推理步驟。GPT-Red 精準(zhǔn)捕捉到了這一認(rèn)知盲區(qū)。在正常的推理狀態(tài)下AI 會(huì)嚴(yán)格按照第一步、第二步的內(nèi)在邏輯嚴(yán)密推導(dǎo)最終得出正確的輸出。但 GPT-Red 的攻擊鏈路完全打破了這一閉環(huán)它通過(guò)在外部上下文如網(wǎng)頁(yè)或工具返回值中注入特定格式的隱蔽指令成功將一段被篡改過(guò)的偽造推理數(shù)據(jù)強(qiáng)行“縫合”并寫(xiě)入到防御模型正在運(yùn)行的隱藏思維鏈深處。這意味著防御模型在后續(xù)的推理步驟中會(huì)誤認(rèn)為這段帶有毒素的偽造信息是自己在前一步“親自動(dòng)腦推導(dǎo)”出來(lái)的正確結(jié)論。進(jìn)而AI 會(huì)在完全不設(shè)防的狀態(tài)下被“精神控制”順理成章地順著偽造的邏輯往后推導(dǎo)最終得出徹底違反安全原則的越獄結(jié)論。測(cè)試數(shù)據(jù)顯示早期的 GPT-5.1 模型面對(duì)這種降維打擊時(shí)其防御淪陷率高達(dá) 95% 以上。四、 降維打擊GPT-Red 的恐怖實(shí)戰(zhàn)數(shù)據(jù)為了驗(yàn)證 GPT-Red 的實(shí)際破壞力OpenAI 將其置于真實(shí)世界與經(jīng)典的復(fù)現(xiàn)實(shí)驗(yàn)中與人類(lèi)頂級(jí)黑客及安全專(zhuān)家展開(kāi)了一場(chǎng)正面較量。1. 自動(dòng)化紅隊(duì) vs 人類(lèi)紅隊(duì)13% vs 84%在基于 Dziemian 等人 (2025) 發(fā)表的經(jīng)典間接提示詞注入競(jìng)技場(chǎng)Indirect Prompt Injection Arena的復(fù)現(xiàn)測(cè)試中OpenAI 派出人類(lèi)頂級(jí)安全專(zhuān)家團(tuán)隊(duì)與 GPT-Red 對(duì)戰(zhàn)同一目標(biāo)GPT-5.1。結(jié)果呈現(xiàn)出觸目驚心的不對(duì)稱(chēng)性人類(lèi)專(zhuān)家窮盡各種姿勢(shì)僅在 13% 的場(chǎng)景中成功攻破模型而 GPT-Red 則如入無(wú)人之境以 84% 的超高成功率將目標(biāo)斬落馬下。2. 現(xiàn)實(shí)大殺器迫使自動(dòng)售貨機(jī)“零元購(gòu)”在面向?qū)嶋H業(yè)務(wù)的智能體測(cè)試中GPT-Red 的表現(xiàn)更加具有攻擊性。它被引入測(cè)試 Andon Labs 開(kāi)發(fā)的著名 AI 智能體 Vendy一款應(yīng)用于自動(dòng)售貨及供應(yīng)鏈管理系統(tǒng)的商用 Agent。GPT-Red 在沒(méi)有任何人工干預(yù)的情況下通過(guò)模擬與 Vendy 進(jìn)行多輪業(yè)務(wù)交互、查詢(xún)商品信息敏銳地捕捉到了其后臺(tái)結(jié)算邏輯在解析用戶(hù)備注時(shí)的漏洞。最終GPT-Red 成功改寫(xiě)了售貨機(jī)的內(nèi)部賬目參數(shù)迫使其將原本高昂的商品零售價(jià)格瞬間修改降至 50 美分并強(qiáng)行取消了系統(tǒng)內(nèi)的正?？蛻?hù)訂單。3. 數(shù)據(jù)竊取破防 Codex CLI在針對(duì)工程效率工具的另一次測(cè)試中運(yùn)行在 GPT-5.4 mini 架構(gòu)之上的 Codex CLI 智能體遭遇了 GPT-Red 的定點(diǎn)爆破。通過(guò)精心構(gòu)造的代碼注釋注入GPT-Red 騙過(guò)了 CLI 的運(yùn)行期沙盒機(jī)制成功從底層執(zhí)行環(huán)境中橫向越權(quán)完整提取出了包含環(huán)境變量和敏感 API Key 的核心敏感數(shù)據(jù)。到訓(xùn)練后期OpenAI 證實(shí)GPT-Red 已經(jīng)具備了“通殺”幾乎所有當(dāng)時(shí)市面上在售、乃至內(nèi)部處于測(cè)試階段的模型包括強(qiáng)大的 GPT-5.5的能力。五、 防御飛輪Safety FlywheelGPT-5.6 Sol 的誕生既然 GPT-Red 是一把幾乎無(wú)堅(jiān)不摧的“最強(qiáng)之矛”那么如何用它鍛造出“最強(qiáng)之盾”O(jiān)penAI 的策略是直接將 GPT-Red 的實(shí)時(shí)攻擊數(shù)據(jù)流無(wú)縫整合進(jìn)大模型的基礎(chǔ)預(yù)訓(xùn)練與對(duì)齊流程中——這在內(nèi)部被稱(chēng)為“防御飛輪Safety Flywheel”。這套飛輪的運(yùn)轉(zhuǎn)邏輯形成了一個(gè)完美的閉環(huán)首先利用超大規(guī)模算力訓(xùn)練更強(qiáng)的 GPT-Red 攻擊者讓其在虛擬道場(chǎng)中不斷挖掘出大模型隱藏的深層算法漏洞緊接著系統(tǒng)將這些新型漏洞特征實(shí)時(shí)反饋給預(yù)訓(xùn)練階段對(duì) GPT-5.6 進(jìn)行迭代與對(duì)齊增強(qiáng)從而讓下一代模型對(duì)惡意指令產(chǎn)生深度免疫力。這種將超大規(guī)模算力傾注于安全防御的做法直接帶來(lái)了最新旗艦成果—— GPT-5.6 Sol 的誕生。在經(jīng)過(guò) GPT-Red 的極限對(duì)抗洗禮后GPT-5.6 Sol 的安全性指標(biāo)迎來(lái)了指數(shù)級(jí)的改觀“偽造思維鏈”攻擊失守率從早期生產(chǎn)版本的超過(guò) 95%大幅降至全新旗艦版本 GPT-5.6 Sol 的 10% 以下。直接提示詞注入漏洞率面對(duì) GPT-Red 本身的直接提示詞注入攻擊整體漏洞率更是創(chuàng)紀(jì)錄地降至了 0.05%。黑客基準(zhǔn)測(cè)試失效數(shù)在硬核的直接注入基準(zhǔn)測(cè)試中失效和越獄數(shù)量直接暴跌至原先的六分之一實(shí)現(xiàn)了 6 倍的降幅。智能體間接注入防御力在面對(duì)第三方工具和瀏覽器的間接注入時(shí)防御準(zhǔn)確率完全飽和保持了 97% 以上的正常運(yùn)作率。更具里程碑意義的是OpenAI 強(qiáng)調(diào)這一驚人的安全增幅完全是在“核心認(rèn)知能力、通用推理表現(xiàn)未受到任何削弱”的前提下實(shí)現(xiàn)的。過(guò)去“安全對(duì)齊”往往意味著模型性能的折損即為了安全變得笨拙或保守而通過(guò) GPT-Red 的精準(zhǔn)雙重獎(jiǎng)勵(lì)訓(xùn)練GPT-5.6 Sol 成功做到了在保持超高智能的同時(shí)精準(zhǔn)識(shí)別惡意偽裝指令。六、 絕對(duì)機(jī)密為什么 OpenAI 選擇將 GPT-Red “永久鎖死”鑒于 GPT-Red 的破壞力OpenAI 已經(jīng)明確做出表態(tài)絕對(duì)不會(huì)向公眾、乃至通過(guò) API 開(kāi)發(fā)者渠道開(kāi)放 GPT-Red。 它將被作為最高安全機(jī)密封存在 OpenAI 的內(nèi)部封閉系統(tǒng)中作為其后代模型研發(fā)的“專(zhuān)屬陪練”。研究人員 Chris Choquette-Choo 指出由于 GPT-Red 所具備的極端泛化攻擊能力一旦落入攻擊者手中它將瞬間退化為一款無(wú)視防御的“自動(dòng)化網(wǎng)絡(luò)大器”對(duì)全球所有基于大模型構(gòu)建的金融、醫(yī)療、政務(wù)系統(tǒng)產(chǎn)生毀滅性的打擊。此外OpenAI 的巨額算力紅利也是其技術(shù)護(hù)城河的一部分其他開(kāi)源社區(qū)或競(jìng)爭(zhēng)對(duì)手在短期內(nèi)極難通過(guò)簡(jiǎn)單的模仿Copycat來(lái)復(fù)刻出同樣強(qiáng)悍的“超級(jí)黑客”模型。七、人類(lèi)專(zhuān)家的位置在哪里GPT-Red 的成功是否意味著人類(lèi)安全專(zhuān)家的徹底下崗喬治城大學(xué)安全與新興技術(shù)中心 (CSET) 的高級(jí)研究員 Jessica Gee 提出了非常客觀的行業(yè)預(yù)警。她指出盡管自動(dòng)化的安全測(cè)試帶來(lái)了效率的飛躍但目前的 GPT-Red 依然存在兩個(gè)致命的防御盲區(qū)首先是復(fù)雜的多輪多步驟對(duì)話攻擊。在涉及極長(zhǎng)上下文、跨越數(shù)個(gè)工作流的精細(xì)社會(huì)工程學(xué)誘導(dǎo)中AI 的長(zhǎng)期依賴(lài)性追蹤和心理洞察依然不如人類(lèi)狡黠。其次是多模態(tài)隱藏漏洞。例如將惡意指令進(jìn)行像素級(jí)隱藏并埋藏于圖片、音頻或視頻中的新型漏洞GPT-Red 的檢出率表現(xiàn)依舊不夠完美。因此未來(lái)的 AI 安全絕非是將人類(lèi)排除在外而是通過(guò) GPT-Red 完成 99% 的大規(guī)模、高密度漏洞粗篩從而將昂貴的人類(lèi)安全專(zhuān)家的精力解放出來(lái)去死守那最復(fù)雜的 1% 算法陣地。