OpenAI打造超级黑客GPT-Red，提升模型安全性

OpenAI 最近发布了一款名为 GPT-Red 的“超级黑客”大语言模型，专门用来“陪练”自家其他模型，提升它们抵御网络攻击的能力。上周，OpenAI 推出了旗舰模型 GPT-5.6 的最新版本，并声称正是通过与 GPT-Red 的对抗训练，才让这个版本成为迄今为止最安全、最稳健的模型。GPT-Red 的核心工作是自动化一种名为“红队测试”的安全评估流程，以往这通常需要一整个团队的人类测试员手动完成，目的是尽可能多地找出系统可以被攻破或劫持的方式，然后在最终版本发布前修补这些漏洞。 随着大语言模型变得越来越复杂，应用场景也越来越广泛——尤其是当它们以“智能体”的形式出现，能够操作电脑文件、访问网站、调用第三方代码，甚至与其他智能体交互时——人类团队已经很难跟上所有可能出现的攻击类型。OpenAI 的研究科学家、GPT-Red 的共同创造者 Nikhil Kandpal 表示：“风险面在扩大，爆炸半径也在扩大。”因此，OpenAI 构建 GPT-Red 的初衷，就是为了让安全测试流程能够“面向未来”。另一位共同创造者 Dylan Hunn 补充道：“随着更强大的模型出现，我们已经预先设计好了能够发现新型攻击模式的系统。”研究人员透露，GPT-Red 已经发现了一些前所未见的攻击类型。OpenAI 将大部分精力集中在一种名为“提示注入”的攻击方式上，黑客通过向大语言模型植入特定指令，诱使其执行开发者或用户不希望的操作，比如复制机密信息、破坏公司的代码库，或者生成令人尴尬或有害的内容。理论上，这类指令可以隐藏在模型可能遇到的任何文本中，例如代码或网页里。 为了训练 GPT-Red，OpenAI 的研究人员将一个未经黑客训练的普通大语言模型，放入一个“自我对弈”的循环中，让它与多个其他模型进行对抗。它的目标就是攻击这些模型，而对方的目标则是防御。经过多轮“对练”，GPT-Red 的攻击能力越来越强，而被攻击的模型防御能力也随之提升。整个训练在一个 OpenAI 专门设计的“道场”中进行，模拟了多种大语言模型在现实世界中可能被部署的场景，包括浏览网页、阅读电子邮件或日历应用、以及编辑代码等。当 GPT-Red 发现一种新的攻击方式时，它会探索该攻击的多种变体，以找出在特定场景下最有效的那一种。Hunn 解释说：“与人类红队测试员相比，这个模型非常擅长精确地找出什么方法能奏效、什么方法最有效。对于它发现的攻击，它会极其执着地深挖下去。” 特别值得一提的是，OpenAI 声称 GPT-Red 发现了一种研究人员此前从未见过的提示注入攻击，他们称之为“虚假思维链”。思维链是大语言模型在处理问题时，用来记录中间步骤和部分结果的一种“日记”。GPT-Red 找到了一种方法，可以向另一个模型的思维链中插入一条虚假记录，从而诱骗该模型根据伪造的信息采取行动。团队成员 Chris Choquette-Choo 打了个比方：“这就像我告诉你 1+1=3，并且说你已经验证过了。模型就会想‘哦，好吧，当然是这样’，然后直接输出 3。” 乔治城大学安全与新兴技术中心（CSET）的高级研究分析师 Jessica Ji 认为，OpenAI 采用的这种自我对弈循环是一个很好的方法，并表示“结果看起来非常有前景”。OpenAI 还通过重演 2025 年的一项实验来测试 GPT-Red 的攻击能力，当时那项实验是由人类红队测试员来寻找模型弱点。