OpenAI 发布 GPT-Red 内部自动化红队模型，提示注入攻击成功率 84% 远超人类 13%

一句话看懂

OpenAI 训练了内部红队模型 GPT-Red，用自我对弈 RL 攻击自家模型，在提示注入测试中以 84% 胜率碾压人类红队的 13%，并发现新型“假思维链”攻击。

详细发生了什么

OpenAI 本周公开了 GPT-Red，一个仅供内部使用的自动化红队模型，专门用于发现自家模型的提示注入漏洞。OpenAI 给出两个理由：人类红队耗时且难以规模化，而现有的鲁棒性评估已被最新模型饱和。同时，攻击面在扩大——Agent 通过浏览器、连接应用、本地文件和工具读取第三方数据，这些功能虽必要，但也让攻击者有机会在数据中植入精心构造的指令。

GPT-Red 不是静态基准或提示库，而是一个模型。它像人类红队一样发送提示、观察响应并迭代逼近目标。OpenAI 以接近最大后训练规模的算力训练它，纯粹用于安全。训练采用自我对弈强化学习：攻击者与一群多样化的防御 LLM 同时训练，奖励结构是核心——GPT-Red 因引发有效失败（如成功注入）获得奖励，防御模型则因抵抗攻击并完成原始任务获得奖励。防御者不能简单拒绝一切，必须完成任务。

训练中 GPT-Red 发现了一种新型攻击：“假思维链”（Fake Chain-of-Thought）。它学会在目标模型的推理痕迹中插入虚假条目，让目标基于看似验证过的伪造信息行动。OpenAI 称这是此前未见的新型直接提示注入攻击。

性能测试中，在复现的间接提示注入竞技场上，GPT-Red 对 GPT-5.1 的成功率为 84%，人类红队仅 13%。针对 GPT-5.6 Sol，假思维链攻击成功率从 95% 以上降至 10% 以下。在 OpenAI 最难的直接注入基准上，GPT-5.6 Sol 的失败次数比四个月前的最佳生产模型减少了 6 倍。

OpenAI 还进行了两个真实 Agent 系统的案例研究：一个办公室自动售货机 Agent（Vendy）和 Codex CLI Agent。GPT-Red 成功改变了商品价格、取消订单，并实现了数据窃取。OpenAI 已披露漏洞并正在测试新防护。

中文圈视角

对中文 AI 安全社区意味着什么？ 首先，GPT-Red 本身不会开源，但其训练方法——自我对弈 RL + 任务完成约束——值得国内团队借鉴。目前国产大模型（如 DeepSeek、Kimi、智谱 GLM）在提示注入防护上公开信息较少，GPT-Red 的“假思维链”攻击很可能也适用于中文模型，因为思维链机制是通用的。

国内用户用得上吗？ 直接不能。但 OpenAI 公开的代码片段和训练思路可复现。国内团队可参考其环境设计（如控制文件、网页、工具输出）构建自己的红队测试套件。ModelScope 上已有类似安全评测工具，但缺乏这种对抗性训练框架。

监管与合规角度：中国《生成式人工智能服务管理暂行办法》要求模型具备内容安全能力。GPT-Red 的方法论可用于自动化合规测试，尤其是针对“诱导输出有害内容”的场景。但需注意数据出境问题——若使用 OpenAI 的 API 进行红队测试，可能涉及敏感数据。

中文圈盲点：目前国内讨论多集中在“越狱提示词”而非“自动红队模型”。GPT-Red 的自我对弈训练思路可大幅降低人工成本，但需要大量算力。对于预算有限的团队，可先从小规模场景（如单工具调用）开始。

几条值得记住的细节

GPT-Red 在间接提示注入竞技场对 GPT-5.1 成功率达 84%，人类仅 13%。
它发现的新型“假思维链”攻击，在 GPT-5.1 上成功率超 95%，在 GPT-5.6 Sol 上降至 10% 以下。
OpenAI 最难的直接注入基准上，GPT-5.6 Sol 的失败率比四个月前的最佳模型低 6 倍。
GPT-Red 的训练算力接近 OpenAI 最大的后训练运行规模，纯用于安全。
两个真实案例：自动售货机 Agent 被攻破（改价、取消订单），Codex CLI Agent 被用于数据窃取。

一句话总结

GPT-Red 证明自动化红队可大幅超越人类，中文 AI 团队应关注其训练方法，提前防范“假思维链”等新型攻击。