揭秘 GPT-Red：OpenAI 打造的“AI 超级黑客”，专为训练最安全大模型而生

在人工智能技术日新月异的今天，大语言模型（LLM）正逐渐从简单的对话工具演变为能够操作文件、浏览网页、甚至协同工作的“AI 智能体（Agents）”。然而，随着功能和应用场景的拓展，AI 面临的安全风险也在呈指数级增长。面对庞大的安全漏洞隐患，单纯依赖人类安全专家进行排查已显得捉襟见肘。

为此，人工智能巨头 OpenAI 研发了一款专门用于寻找安全漏洞的 LLM 超级黑客——GPT-Red。它作为 OpenAI 其他大模型的“陪练”，通过无休止的模拟攻击，帮助最新发布的旗舰模型 GPT-5.6 构建起前所未有的坚固防线。

什么是“红队测试”与 GPT-Red？

在软件安全领域，**“红队测试”（Red-Teaming）**是指安全专家扮演恶意攻击者的角色，尝试用尽各种手段去攻破或劫持系统，以便在产品正式发布前找出并修复这些安全漏洞。

然而，随着 AI 系统变得越来越复杂，人类红队已经很难跟上潜在攻击的演变速度。OpenAI 的研究科学家、GPT-Red 的共同创造者 Nikhil Kandpal 指出：“AI 的风险暴露面正在扩大，其潜在的破坏范围也在随之增长。”

为了让安全评估流程“面向未来”，OpenAI 打造了 GPT-Red。它能够自动执行红队测试，甚至在测试过程中自主发现人类未曾设想过的新型攻击手段。

训练秘籍：“自我博弈”的 AI 练兵场

为了将一个普通的 LLM 培养成“超级黑客”，OpenAI 的研究人员采用了一种被称为**“自我博弈（Self-play）循环”**的训练方法：

1. 构建虚拟沙盒（Dojo）：研究人员设计了一个高度逼真的模拟环境，模仿大模型在真实世界中可能遇到的各种场景，如浏览网页、读取电子邮件或日历应用、编辑代码等。
2. 红蓝对抗：在这个“练兵场”中，GPT-Red 作为攻击方，目标是想方设法攻破其他模型；而其他模型作为防守方，目标是抵御攻击。
3. 迭代进化：经过无数轮的激烈交锋，GPT-Red 的攻击技巧变得愈发精妙，而防守方的防御能力也水涨船高。

“与人类红队成员相比，该模型极其擅长精准锁定最有效的攻击路径，”GPT-Red 的另一位联合创造者 Dylan Hunn 表示，“一旦它发现某种攻击方式见效，就会极其执着地对该路径进行深挖和变体测试。”

突破性发现：“伪造思维链”攻击

在开发过程中，GPT-Red 展现出了惊人的创造力，它独立发现了一种此前从未被公开的安全漏洞——“伪造思维链（Fake Chain of Thought）”攻击。

“思维链”是大模型在解决复杂问题时，用于记录中间推导步骤和局部结果的“草稿本”。GPT-Red 发现，可以通过某种方式在其他模型的思维链中插入一条虚假信息，从而诱导该模型基于错误的假设得出结论并执行错误指令。

研究团队成员 Chris Choquette-Choo 用了一个通俗的比喻：“这就像我告诉你 1+1=3，并且对你说你之前已经亲自验证过这个结论了。模型就会想：‘哦，好吧，确实如此。’ 然后它就直接输出了 3。”

此外，在针对第三方自动售货机 AI 智能体“Vendy”的测试中，GPT-Red 成功通过黑客手段修改了商品售价并取消了客户订单，展现了其在现实应用场景中的强大杀伤力。

显著的防御成效与局限性

得益于 GPT-Red 的魔鬼训练，OpenAI 的新一代模型在安全性上取得了飞跃：

• 在面对 GPT-Red 设计的最强攻击时，旧版 GPT-5 的失守率高达 90% 以上。
• 而经过针对性训练的最新版 GPT-5.6，其失守率降至 23% 以下。

尽管表现亮眼，但 GPT-Red 并非完美无缺。目前，它在处理需要黑客与目标进行反复多轮对话的攻击场景时仍显吃力，且在利用图像进行“多模态提示词注入”方面的能力也有待提升。因此，OpenAI 强调，GPT-Red 的角色是辅助而非取代人类红队专家。

为什么我们不用担心它被“开源”？

如此强大的“黑客工具”一旦落入不法分子之手，后果不堪设想。对此，OpenAI 明确表示不会向公众发布 GPT-Red。

同时，由于该模型背后凝聚了 OpenAI 团队一年多的研发心血，并消耗了极其庞大的算力资源，外界想要复制一个同等威力的“超级黑客”模型绝非易事。GPT-Red 将继续作为 OpenAI 的内部专属安全利器，在幕后为 AI 的安全应用保驾护航。