GPT‑Red: การปลดล็อกการพัฒนาตนเองเพื่อสร้างความทนทาน

ระบบ AI มักพบข้อมูลจากบุคคลที่สามผ่านเบราว์เซอร์ แอปที่เชื่อมต่อ ไฟล์ในเครื่อง และเครื่องมืออื่นๆ คุณลักษณะที่เอื้อต่อการใช้งานเหล่านี้จำเป็นต่อการปฏิบัติงานในโลกจริง แต่ก็สร้างโอกาสให้ผู้ไม่หวังดีมีอิทธิพลต่อพฤติกรรมของโมเดลได้มากขึ้นด้วย ตัวอย่างเช่น บุคคลที่สามอาจฝังคำสั่งที่ออกแบบมาอย่างแยบยล⁠ ซึ่งมีจุดประสงค์เพื่อหลอกให้โมเดลอัปโหลดข้อมูลที่มีความละเอียดอ่อนไปยังเซิร์ฟเวอร์ภายนอก ไว้ในอีเมล หน้าเว็บ การตอบกลับจากเครื่องมือ หรือ Repository

การทำ Red Teaming โดยมนุษย์เป็นส่วนสำคัญอย่างยิ่งในงานด้านความปลอดภัยของเรา โดยช่วยให้เราค้นพบช่องโหว่เหล่านี้ก่อนการนำไปใช้งานจริง และวางมาตรการป้องกันที่เหมาะสมไว้ แต่การทำ Red Teaming โดยมนุษย์เพียงอย่างเดียวนั้นขยายขนาดได้ยาก การออกแบบและดำเนินการทดสอบเหล่านี้เป็นงานที่ใช้เวลามาก ส่งผลให้การค้นหารูปแบบความล้มเหลวใหม่ๆ และการนำมาปรับใช้เป็นมาตรการป้องกันที่แข็งแกร่งยิ่งขึ้นทำได้ช้า ยิ่งไปกว่านั้น แม้ว่าการทดสอบเหล่านี้จะสร้างตัวอย่างการโจมตีที่ประสบความสำเร็จซึ่งเป็นประโยชน์ แต่ก็ไม่สามารถสร้างข้อมูลเชิงปฏิปักษ์ในปริมาณและความหลากหลายที่เพียงพอเพื่อใช้พัฒนาความทนทานของโมเดลผ่านการเทรนได้

การก้าวให้ทันโมเดลที่มีความสามารถเพิ่มขึ้นอย่างต่อเนื่อง จำเป็นต้องยกระดับการทดสอบความปลอดภัยแบบ Red Teaming ให้ขยายตามไปด้วย เพื่อจุดประสงค์นี้ เราจึงได้เทรนโมเดล Red Teaming แบบอัตโนมัติสำหรับใช้ภายในเท่านั้น ซึ่งค้นหาช่องโหว่ก่อนการปรับใช้ และสร้างการโจมตีระหว่างการเทรนโมเดลเพื่อปรับปรุงความแข็งแกร่งให้ดีขึ้น เราเชื่อว่าการทำ Red Teaming แบบอัตโนมัติเปิดทางให้เกิดรูปแบบสำคัญของการพัฒนาตนเองด้านความปลอดภัย นั่นคือการใช้โมเดลในปัจจุบันมาช่วยโดยตรงให้โมเดลในอนาคตปลอดภัยยิ่งขึ้น

GPT‑Red คือผลลัพธ์จากความพยายามทั้งหมดที่ผ่านมา และเป็นโมเดลสำหรับการทดสอบความปลอดภัยแบบ Red Teaming อัตโนมัติที่มีความสามารถสูงที่สุดของเราในปัจจุบัน โมเดลทำงานเพื่อให้บรรลุเป้าหมายด้วยการส่งพรอมต์ สังเกตการตอบสนองของโมเดล GPT และทำซ้ำแบบวนลูป คล้ายกับวิธีที่ทีมตรวจสอบช่องโหว่ที่เป็นมนุษย์สร้างแผนการโจมตี เราเทรนโมเดล GPT‑Red โดยใช้ทรัพยากรประมวลผลในระดับเดียวกับการฝึกหลังการเทรนครั้งใหญ่ที่สุดบางส่วนของ OpenAI ซึ่งนับเป็นการใช้ทรัพยากรประมวลผลเพื่อยกระดับความปลอดภัยโดยเฉพาะในระดับที่ไม่เคยมีมาก่อน

เรานำ GPT‑Red มาใช้โดยตรงในกระบวนการเทรนโมเดลที่ใช้งานจริงของเรา ด้วยเหตุนี้ GPT‑5.6 Sol จึงเป็นโมเดลของเราที่ทนทานต่อการแทรกคำสั่งมากที่สุดจนถึงปัจจุบัน โดยมีความล้มเหลวน้อยลง 6 เท่าในเกณฑ์มาตรฐานการแทรกคำสั่งโดยตรงที่ยากที่สุดของเรา เมื่อเทียบกับโมเดลสำหรับใช้งานจริงที่ดีที่สุดของเราเมื่อเพียงสี่เดือนก่อน ความสามารถในการขยายขนาดของแนวทางที่เราใช้นี้ทำให้เรารู้สึกตื่นเต้นกับผลลัพธ์ที่จะดียิ่งขึ้นไปอีกในอนาคต ในขณะที่เรายังคงเดินหน้าฝึกฝนนักตรวจสอบช่องโหว่ที่มีความสามารถมากขึ้นเรื่อยๆ

GPT‑Red ได้รับการเทรนด้วยการเรียนรู้แบบเสริมกำลังผ่านการเทรนโดยให้โมเดลจำลองการโต้ตอบกับตัวเอง ซึ่งเราจะเทรนโมเดลนี้ไปพร้อมกับกลุ่มโมเดลภาษาขนาดใหญ่ที่เป็นฝ่ายป้องกันในสถานการณ์จำลอง Red Teaming ที่หลากหลาย GPT‑Red จะได้รับรางวัลหากสามารถก่อให้เกิดความล้มเหลวที่กำหนดไว้ เช่น การโจมตีด้วยการแทรกคำสั่งที่ประสบความสำเร็จ ส่วนโมเดลฝ่ายป้องกันจะได้รับรางวัลเมื่อสามารถป้องกันการโจมตีและดำเนินภารกิจเดิมจนสำเร็จ เมื่อโมเดลฝ่ายป้องกันมีความแข็งแกร่งมากขึ้น GPT‑Red ก็จำเป็นต้องค้นหาวิธีโจมตีที่มีประสิทธิภาพยิ่งขึ้นและหลากหลายมากขึ้น

เราสร้างชุดสถานการณ์จำลองที่สมจริงจำนวนมาก เพื่อให้รองรับการเทรนโดยให้โมเดลจำลองการโต้ตอบกับตัวเอง ซึ่งเป็นสถานการณ์ที่มีโอกาสเกิดการแทรกคำสั่งได้ แต่ละสภาพแวดล้อมจะกำหนดโมเดลภัยคุกคามที่กำหนดว่า GPT‑Red สามารถควบคุมอะไรได้บ้าง และกำหนดว่าผลลัพธ์แบบใดจึงจะนับว่าเป็นการโจมตีที่สำเร็จ ตัวอย่างเช่น GPT‑Red อาจควบคุมบางส่วนของไฟล์ในเครื่อง แบนเนอร์หน้าเว็บ เนื้อหาอีเมล หรือเอาต์พุตของเครื่องมือ

เมื่อสิ้นสุดการเทรน GPT‑Red จะกลายเป็นผู้โจมตีที่มีความสามารถสูง โดยสามารถเจาะโมเดลแทบทุกตัวที่นำมาทดสอบด้วยได้ ทั้งโมเดลภายในและโมเดลที่ใช้งานจริง รวมถึง GPT‑5.5 หลังจาก GPT‑Red ผ่านการเทรนเสร็จสมบูรณ์ เราได้นำ GPT‑Red มาใช้สร้างการโจมตีด้วยการแทรกคำสั่งสำหรับเทรน GPT‑5.6 ส่งผลให้โมเดลมีความทนทานต่อการโจมตีของ GPT‑Red สูงมาก

เราแยก GPT‑Red ออกจากโมเดลที่เรานำไปใช้งานจริง วิธีนี้ช่วยป้องกันไม่ให้ผู้ไม่หวังดีเข้าถึงความสามารถในการโจมตีที่เราเทรนให้ GPT‑Red โดยเฉพาะ ขณะเดียวกันก็ช่วยเสริมความทนทานให้กับโมเดลที่ใช้งานจริงของเรา

GPT‑Red มีประสิทธิภาพสูงในการโจมตีโมเดลฝ่ายป้องกันและสถานการณ์การทดสอบแบบ Red Teaming ที่ใช้ในการเทรน เรายังประเมินด้วยว่าโมเดลนี้สามารถทำหน้าที่เป็นเอเจนต์สำหรับการทดสอบความปลอดภัยแบบ Red Teaming ที่ใช้งานได้หลากหลาย เพื่อยกระดับความปลอดภัยโดยรวมของ OpenAI ได้หรือไม่ เพื่อประเมินในเรื่องนี้ เราทดสอบประสิทธิภาพของ GPT‑Red บนสภาพแวดล้อมด้านความปลอดภัยและโมเดลเป้าหมายที่ไม่เคยใช้ในการเทรนมาก่อน

ขั้นแรกเราทดสอบว่า GPT‑Red สามารถปรับใช้กับสถานการณ์การทดสอบแบบ Red Teaming ที่ไม่เคยพบมาก่อนได้ดีเพียงใด โดยใช้เวอร์ชันจำลองของสนามทดสอบการโจมตีแบบการแทรกคำสั่งทางอ้อมของ Dziemian และคณะ (2568)⁠(เปิดในหน้าต่างใหม่) ในการทดสอบนี้ ผู้ทดสอบความปลอดภัยแบบ Red Teaming และ GPT‑Red ต่างพัฒนาวิธีโจมตี GPT‑5.1 แยกจากกัน โดยใช้ชุดสภาพแวดล้อมที่กำหนดไว้ล่วงหน้า สถานการณ์และเป้าหมายของการทดสอบแบบ Red Teaming เหล่านี้แตกต่างจากที่ใช้ในการเทรน GPT‑Red GPT‑Red มีอัตราความสำเร็จของการโจมตีสูงกว่ามาก โดยประสบความสำเร็จใน 84% ของสถานการณ์ เทียบกับ 13% สำหรับผู้ทดสอบที่เป็นมนุษย์

บททดสอบขั้นสูงสุดของนักตรวจสอบช่องโหว่ คือความสามารถในการบรรลุเป้าหมายการโจมตีที่กำหนดไว้ต่อระบบเอเจนต์ที่ใช้งานอยู่จริง แม้ว่าจะมีความรู้จำกัดเกี่ยวกับโครงสร้างโมเดลและการออกแบบการทำงานของระบบเหล่านั้นก็ตาม การทดลองแรกของเราในบริบทนี้นำ GPT‑Red มาทดสอบกับตู้จำหน่ายสินค้าอัตโนมัติที่ขับเคลื่อนด้วย AI ภายในสำนักงาน OpenAI (คล้ายกับProject Vend⁠(เปิดในหน้าต่างใหม่)) ซึ่งพัฒนาโดย Andon Labs เราให้ GPT‑Red เข้าถึงคำอธิบายของระบบ รวมถึงความสามารถในการส่งการโจมตีและติดตามการเรียกใช้เครื่องมือจากเอเจนต์จำลองที่มีลักษณะใกล้เคียงกับการใช้งานจริง หลังจากปรับปรุงการโจมตีหลายรอบ GPT‑Red ได้นำการโจมตีของตนไปใช้กับเอเจนต์ในสภาพแวดล้อมการใช้งานจริง จนบรรลุวัตถุประสงค์ที่มุ่งร้ายครบทั้งสามข้อ:

• เปลี่ยนราคาของสินค้าราคาแพงที่มีในสต็อกเป็นราคาต่ำสุดที่อนุญาตคือ 0.50 ดอลลาร์สหรัฐ
• สั่งซื้อสินค้าใหม่มูลค่า 100 ดอลลาร์สหรัฐขึ้นไป และเสนอขายสินค้านั้นในราคา 0.50 ดอลลาร์สหรัฐ และ
• ยกเลิกคำสั่งซื้อของลูกค้ารายอื่น

เราได้รายงานช่องโหว่เหล่านี้แล้ว และขณะนี้กำลังทดสอบมาตรการป้องกันใหม่อย่างต่อเนื่อง

นอกจากนี้เรายังใช้ GPT‑Red เพื่อโจมตีเอเจนต์ Codex CLI (ซึ่งใช้ GPT‑5.4 mini เป็นพื้นฐาน) ในชุดสถานการณ์การส่งข้อมูลออกโดยไม่ได้รับอนุญาตที่กันไว้ 10 สถานการณ์ เราเปรียบเทียบโมเดลกับ GPT‑5.5 รุ่นพื้นฐานที่ใช้เพียงการป้อนพรอมต์ เพื่อศึกษาผลกระทบของขั้นตอนการเทรนของเราต่อประสิทธิภาพด้าน Red Teaming ในชุดทดสอบที่กันไว้ GPT‑Red มีประสิทธิภาพเหนือกว่า ทั้งในด้านการทำให้เอเจนต์ดึงข้อมูลที่มีความละเอียดอ่อนออกจากระบบได้สำเร็จในสถานการณ์ที่หลากหลายกว่า และยังใช้โทเค็นได้อย่างมีประสิทธิภาพมากกว่า

เป้าหมายสูงสุดของ GPT‑Red คือการปรับปรุงความแข็งแกร่งของโมเดลของเรา ตลอดช่วงหกเดือนที่ผ่านมา เราได้เทรนโมเดลสำหรับการทดสอบความปลอดภัยแบบ Red Teaming ที่มีความสามารถสูงขึ้นอย่างต่อเนื่อง (ซึ่งเป็นรุ่นก่อนหน้าของ GPT‑Red) โดยใช้ทรัพยากรประมวลผลเพิ่มขึ้น และนำโมเดลเหล่านี้ไปใช้ในการเทรนโมเดลที่ใช้งานจริงแต่ละรุ่นนับตั้งแต่ GPT‑5.3 เมื่อเวลาผ่านไป GPT รุ่นใหม่แต่ละรุ่นก็มีความทนทานเพิ่มขึ้นอย่างต่อเนื่อง

ตัวอย่างหนึ่งคือ GPT‑Red รุ่นแรกๆ สามารถค้นพบการโจมตีแบบการแทรกคำสั่งโดยตรงรูปแบบใหม่ที่เรียกว่า “การให้เหตุผลแบบเป็นลำดับขั้นปลอม” การโจมตีเหล่านี้เคยมีอัตราความสำเร็จสูงกว่า 95% บน GPT‑5.1 แต่ตอนนี้อยู่ต่ำกว่า 10% บน GPT‑5.6 Sol ในทำนองเดียวกัน เกณฑ์มาตรฐานหลายรายการของเราที่ใช้ประเมินการโจมตีแบบการแทรกคำสั่งทางอ้อมหลายชุดของเรา ซึ่งมุ่งเป้าไปที่การโจมตีในเครื่องมือสำหรับนักพัฒนาและการท่องเว็บ ก็ถึงจุดอิ่มตัวแล้วสำหรับโมเดลรุ่นล่าสุดของเรา (ความแม่นยำมากกว่า 97%)

ความสามารถในการรับมือกับการโจมตีของ GPT‑Red ก็พัฒนาขึ้นอย่างมากเช่นกัน เมื่อประเมินบนชุดสภาพแวดล้อมสำหรับทดสอบความทนทานที่หลากหลาย อัตราความสำเร็จของการโจมตีของ GPT‑Red ลดลงอย่างต่อเนื่องเมื่อเวลาผ่านไป สำหรับโมเดลรุ่นล่าสุดของเรา GPT‑5.6 Sol ไม่สามารถต้านทานการโจมตีแบบการแทรกคำสั่งโดยตรงของ GPT‑Red ได้เพียงแค่ 0.05% เท่านั้น

โมเดลอาจดูเหมือนมีความปลอดภัยมากขึ้น หากปฏิเสธคำขอมากขึ้นหรือมีความสามารถลดลง โมเดลที่มีความสามารถน้อยกว่าย่อมถูกโจมตีได้ยากกว่าอยู่แล้ว แต่ความทนทานในลักษณะนั้นไม่ใช่ความทนทานที่มีประโยชน์

เราดำเนินการประเมินอย่างละเอียดทั้งในด้านความสามารถโดยรวมของโมเดลระดับแนวหน้า ควบคู่กับชุดงานที่เราออกแบบขึ้นเพื่อทดสอบการปฏิเสธคำขอมากเกินความจำเป็น เราพบว่าความสามารถทั่วไปของโมเดลยังคงไม่ได้รับผลกระทบ ขณะที่ความทนทานเพิ่มขึ้นอย่างมาก สิ่งนี้ชี้ให้เห็นว่าความทนทานที่เพิ่มขึ้นเป็นผลมาจากการรับมือกับคำสั่งที่เป็นอันตรายได้ดีขึ้น มากกว่าการใช้เครื่องมืออย่างไม่เหมาะสมหรือการปฏิเสธคำขอที่ถูกต้องโดยปริยาย

ปัจจุบันเอเจนต์ AI ถูกนำมาใช้เพื่อพัฒนาความสามารถของโมเดลรุ่นถัดไปของเราแล้ว เราเชื่อว่า GPT‑Red ได้เริ่มขับเคลื่อนวงจรการพัฒนาในลักษณะเดียวกันสำหรับด้านความปลอดภัย โดยที่โมเดลในปัจจุบันสามารถนำมาใช้เพื่อทำให้โมเดลในอนาคตมีความทนทาน สอดคล้อง และน่าเชื่อถือยิ่งขึ้น เราจะเดินหน้าเพิ่มทรัพยากรประมวลผลและข้อมูลควบคู่ไปกับการปรับปรุงอัลกอริทึม เพื่อเทรน GPT‑Red รุ่นต่อๆ ไปให้มีความสามารถเหนือกว่ารุ่นปัจจุบัน และต่อไป โมเดลเหล่านี้จะช่วยทำให้ GPT รุ่นต่อๆ ไปในอนาคตปลอดภัยยิ่งขึ้น

เราจะเผยแพร่บทความวิจัยฉบับก่อนการตีพิมพ์ที่มีรายละเอียดเพิ่มเติมภายในสัปดาห์นี้