GPT‑4o 系統卡

在將新模型部署到 ChatGPT 或 API 之前，我們將徹底評估其潛在風險，並內建適當的防護措施。在發佈模型系統卡時，我們亦會一併發佈備援準備架構⁠計分卡，以提供 GPT‑4o⁠ 的端對端安全性評估，包括我們為了追蹤與處理目前的安全挑戰及前沿風險所做的努力。

在我們為 GPT‑4⁠ 和 GPT‑4V⁠ 所開發的安全評估與緩解措施基礎上，我們對 GPT‑4o 的音訊能力投入額外的重點工作，這些能力帶來新型風險，而我們也同時評估了其文字和視覺能力。

我們評估的部分風險包括說話者識別、未經授權的語音生成、可能生成的受版權保護的內容、缺乏依據的推論以及禁用的內容。根據這些評估結果，我們同時在模型層級和系統層級實施防護措施，以緩解這些風險。 

我們的研究發現顯示，GPT‑4o 的語音模態不會實質性地增加備援準備風險。在備援準備架構的四個類別中，有三項評分屬於低，而說服力一項的評分則接近臨界線。為了實施安全部署流程，安全顧問小組⁠（在新視窗中開啟）審查了我們的備援準備情況評估和風險緩解措施。我們邀請你閱讀下方報告中的詳細內容。

GPT‑4o¹ 是一款自迴歸全方位模型，可接受任何文字、音訊、圖像和影片的輸入組合，並生成文字、音訊及圖像的任何組合輸出。GPT‑4o 經過文字、視覺及音訊的端對端訓練，這表示所有輸入和輸出皆由同一個神經網絡處理， 

可以在短短 232 毫秒內回應音訊輸入，平均時間為 320 毫秒，這與人類在對話中的回覆時間⁠（在新視窗中開啟）²相若。GPT‑4o 在英語文字和程式碼上的表現與 GPT‑4 Turbo 相當，在非英語語言文字的表現顯著提升，同時 API 速度更快，成本降低 50%。GPT‑4o 在視覺和音訊理解方面的效能尤其比現有模型更佳。

為了配合我們安全地建構人工智慧的承諾以及對白宮的自願承諾³，我們會分享 GPT‑4o 系統卡，其中包括我們的備援準備架構⁠（在新視窗中開啟）⁵評估。我們在此系統卡中詳細介紹 GPT‑4o 在多個類別中的能力、限制和安全評估，特別著重於語音轉語音（語音）^A，同時也評估文字和圖像能力，以及我們為增強安全與對齊性所採取的措施。我們也包含了對通用自主能力的第三方評估，以及討論 GPT‑4o 文字和視覺能力對社會的潛在影響。

GPT‑4o 的能力使用截至 2023 年 10 月的資料進行預訓練，這些資料來自多方面，包括：

1. 特定的公開可用資料，主要從符合業界標準的機器學習資料集和網絡檢索中收集。
2. 來自資料合作夥伴的專有資料。我們建立合作夥伴關係，以取得非公開可用資料，例如付費牆內容、存檔和元數據。例如，我們與 Shutterstock合作⁠（在新視窗中開啟）⁵ 開發和交付人工智能生成的圖像。 

有助於 GPT‑4o 能力的關鍵資料集組件為：

1. 網絡資料：來自公眾網頁的資料提供豐富多樣的資訊，確保模型能從廣泛的視角和主題中學習。
2. 程式碼和數學：訓練中包含程式碼和數學資料，讓模型接觸結構化邏輯和問題解決流程，有助於其發展穩健的推理能力。
3. 多模態資料：我們的資料集包含圖像、音訊及影片，以教導大語言模型 (LLM) 如何詮釋和生成非文字輸入和輸出。模型從這些資料中學習如何在現實世界情境中詮釋視覺圖像、動作和序列、語言模式以及語音的細微差別。

在部署之前，OpenAI 會評估並緩解生成式模型可能產生的潛在風險，例如資訊傷害、偏見與歧視，或其他違反我們安全政策的內容。我們使用一系列方法，涵蓋早期訓練、後期訓練、產品開發和政策等所有開發階段。例如：在後期訓練階段，我們會對齊模型與人類的喜好；我們對產生的模型進行紅隊測試，並加入產品級別的緩解措施，例如監控和政策執行；我們也向用戶提供審核工具和具透明度的報告。

我們發現，大多數有效的測試和緩解措施都是在早期訓練階段之後進行的，因為單獨篩選預訓練資料，無法解決細微且與具體情境相關的傷害。同時，部分預訓練篩選緩解措施可以提供額外多一層防禦，配合其他安全緩解措施，有助於從我們的資料集中排除不需要和有害的資訊：

• 我們使用內容審核 API 和安全分類器來篩選可能導致有害內容或資訊傷害的資料，包括 CSAM、仇恨內容、暴力和 CBRN。 
• 與我們以往的圖像生成系統一樣，我們會篩選圖像生成資料集中的露骨色情內容，例如露骨的性內容和 CSAM。 
• 我們使用先進的資料篩選程序來減少訓練資料中的個人資料。 
• 發佈 DALL·E 3 後，我們試行了一種新方法，讓用戶能夠選擇不將圖片用於訓練⁠。為了尊重這些選擇，我們對圖片進行指紋識別，並使用這些指紋從 GPT‑4o 系列模型的訓練資料集中刪除所有圖像樣本。

我們透過專家紅隊測試對額外的新型風險進行探索性發現，從而執行部署準備，從模型開發期間的早期檢查點開始，將識別出的風險轉化為結構化測量，並建立適當的緩解措施。  我們也根據備緩準備架構⁴評估 GPT‑4o。

OpenAI 與超過 100 名外部紅隊成員合作^B，他們總共可使用 45 種不同語言，並代表來自 29 個不同國家/地區的地理背景。紅隊成員自 2024 年 3 月初開始至 6 月底進行測試，期間可以存取模型在不同訓練階段和安全緩解成熟度的各種快照。 

外部紅隊測試分四個階段進行。前三個階段透過內部工具測試模型，最後一個階段則使用完整的 iOS 體驗來測試模型。GPT‑4o API 的外部紅隊測試截至撰寫本文時仍在進行中。

紅隊成員需進行探索性能力發掘，評估模型構成的新型潛在風險，並對正在開發和改進的緩解措施進行壓力測試，特別是針對音訊輸入和生成（語音轉語音能力）所帶來的風險。這項紅隊工作建立在先前工作的基礎上，包括在GPT‑4 系統卡⁠（在新視窗中開啟）⁶ 和 GPT‑4(V)系統卡⁠⁷ 中所述的工作。

紅隊成員涵蓋了多個類別，包括違規和不允許的內容（非法色情內容、暴力、自殘等）、錯誤/虛假資訊、偏見、缺乏依據的推斷、敏感特徵歸因、私人資訊、地理定位、人物識別、情感感知和擬人化風險、詐欺行為和冒充行為、版權、自然科學能力以及多語言觀察。

紅隊成員產生的資料促使我們建立了幾項定量評估，這些評估在「觀察到的安全挑戰、評估和緩解措施⁠」段落有所描述。在某些情況下，紅隊的分析資料被用於進行有針對性的合成資料生成。模型根據特定標準（例如：是否違反政策，是否被拒絕）使用自動評分器和人工標註進行評估。此外，我們有時會重新利用 ^C 紅隊資料對各種語音和範例進行針對性的評估，以測試各種緩解措施的穩健性。

除了紅隊測試的資料外，我們也將一系列現有的評估資料集轉換為適用於語音對語音模型的評估形式，並使用如 Voice Engine⁠ 等文字轉語音 (TTS) 系統進行處理。我們將基於文字的評估任務轉換為基於音訊的評估任務，方法是將文字輸入轉換為音訊。這讓我們能夠重複利用既有的資料集與用於衡量模型能力、安全行為及監控模型輸出的工具，大幅擴展我們可用的評估項目。

我們使用 Voice Engine 將文字輸入轉換為音訊，然後再輸入 GPT‑4o，並且就模型輸出進行評分。我們一律只評分模型輸出的文字內容，除非在特定情況下需要直接評估音訊（請參見語音生成⁠）。

首先，此評估方式的有效性取決於 TTS 模型的能力和可靠性。部分文字輸入不適合或難以轉換成音訊；例如：數學方程式。此外，我們預期 TTS 未能完全捕捉所有文字輸入，例如大量使用空白或符號進行視覺格式設定的文字。由於我們預期用戶也不太可能透過進階語音模式提供此類輸入，因此我們會選擇避免在此類任務上評估語音轉語音模型，又或者預先處理包含此類輸入的範例。儘管如此，我們仍突顯了評估中發現可能源於模型能力，又或者因為 TTS 模型未能準確地將文字輸入轉換為音訊而引起的任何錯誤。

第二個問題是 TTS 的輸入資料是否能真正反映出用戶在現實情況下所使用的語音輸入類型。我們在《語音輸入的差異表現》中評估 GPT‑4o 在以不同地區口音輸入音訊上的穩定程度。然而，基於 TTS 的評估可能無法顧及多個面向，例如語音的語調變化與情感色彩、背景噪音或多方對話的干擾聲，這些因素可能導致模型在實際使用時表現差異。

最後，模型生成的音訊可能包含文字無法捕捉的特徵，例如背景噪音和音效，又或者使用模型未曾訓練過的聲音風格。我們在語音生成⁠中說明如何使用輔助分類器來識別不理想的音訊生成，這些分類器可以與評分轉錄文字結合使用。

我們透過多種方法組合緩解模型潛在的風險。透過後期訓練方法，讓模型遵守可降低風險的行為規範，並且在部署系統中加入分類器，以阻擋特定的輸出結果，從而確保系統更安全可靠。 

對於以下所述觀察到的安全挑戰，我們將提供風險描述、已採取的緩解措施以及（如適用）相關評估結果。以下概述的風險只用作說明而非盡列，同時著重於 ChatGPT 介面中的體驗。在本節中，我們將重點介紹語音轉語音功能所帶來的風險，以及它們如何與現有模式 互動 (text, image)^D。

風險描述：語音產生是指能以人類的聲音合成語音來建立音訊，並包括基於短輸入片段產生語音。 

在對抗情境中，此能力可能助長傷害，例如透過冒充他人而增加詐騙，並可能被利用來散播不實資訊^9及10（例如，如果我們允許用戶上載特定說話者的音訊片段，並要求 GPT‑4o 以該說話者的聲音產生語音）。這些與我們透過 Voice Engine⁠⁸ 識別出的風險非常相似。 

語音產生也可能發生在非對抗情境中，例如我們使用該能力為 ChatGPT 的進階語音模式產生語音。在測試期間，我們也觀察到模型會無意中產生模仿用戶聲音的輸出，但這種情況很少見^E。

風險緩解：我們透過只允許使用與配音員合作建立的⁠預設聲音¹¹來解決語音產生相關風險。我們透過在後訓練語音模型的過程中，加入選定語音作為理想完成範例。此外，我們建立了一個獨立的輸出分類器，以偵測 GPT‑4o 輸出是否使用與我們核准清單中不同的語音。我們在音訊生成期間以串流方式執行此功能，如果說話者與所選的預設聲音不符，則會封鎖輸出。

評估：我們發現未經授權語音產生的殘餘風險極小。根據我們的內部測試，目前系統能百分之百偵測出所有明顯與原系統聲音^F不同的語音，包括來自其他系統聲音的樣本、模型從提示中模仿的聲音，以及一些人聲片段。

儘管非預期的語音產生仍然是模型的一個弱點，但如果發生這種情況，我們可使用輔助分類器來確保對話中斷，以盡可能地降低非預期的語音產生風險。最後，當對話並非以英語進行時，我們的審核行為可能會導致過度拒絕，這是我們要積極改善的領域^G。

我們的語音輸出分類器按語言在對話中的表現^H：

風險描述：辨識說話者是指根據輸入音訊來辨識說話者的能力。這帶來潛在的私隱風險，特別是對個人以及公眾人物難以辨識的音訊，同時也帶來潛在的監控風險。

風險緩解：我們對 GPT‑4o 進行後期訓練， 以拒絕遵守根據音訊輸入中的聲音識別某人的要求。GPT‑4o 仍然會遵守辨識名言的要求。例如，辨識隨機一個人說出「四分之一個世紀又七年前」的要求應將說話者辨識為亞伯拉罕·林肯，而辨識名人說出隨機句子的要求則應被拒絕。

評估：
與我們最初的模型相比，在模型應拒絕識別音訊輸入中的聲音時，我們看到了 14 點的改進，而在它應接受該請求時，則有 12 點的改進。 

前者意味著模型幾乎都能正確地拒絕根據聲音識別說話者，從而緩解潛在的私隱問題。後者意味著在某些情況下，模型可能會錯誤地拒絕識別名言的說話者。

風險描述：模型對於帶有不同口音的用戶的表現可能會有所不同。這種差異的表現可能導致模型對不同用戶的服務質素有所差異。

風險緩解：我們使用多樣化的輸入語音對 GPT‑4o 進行後期訓練，以使模型效能和行為在不同用戶語音下保持不變。

評估：我們使用固定的助理語音 (shimmer) 和語音引擎，在多種語音樣本^I中產生用戶輸入來評估 GPT‑4o 進階語音模式。我們使用兩組語音樣本進行文字轉語音 (TTS)：

• 官方系統語音（3 種不同語音）
• 從兩次資料活動中收集到的多樣化語音樣本。這包括來自不同國家、性別混合的 27 個不同英語語音樣本。

我們評估兩組任務：能力和安全行為

能力：我們評估四項^J任務：TriviaQA、MMLU 的一個子集^K、HellaSwag 和 LAMBADA。TriviaQA 和 MMLU 是以知識為中心的任務，而 HellaSwag 和 LAMBADA 是以常識或文字續寫為中心的任務。整體來說，我們發現在不同人類聲音上的表現，相較於系統聲音，在所有四項任務上表現略差，但差異並不顯著。

安全行為：我們評估一個內部對話資料集，並且評估了模型在不同用戶聲音中遵守和拒絕行為的一致性。整體來說，我們並未發現模型行為會因不同聲音而異。

風險描述：音訊輸入可能導致模型對說話者作出潛在偏頗的推論。我們定義了兩個類別：

• 缺乏依據推論 (UGI)：對說話者作出無法僅憑音訊內容確定的推論。這包括對說話者的種族、社會經濟地位/職業、宗教信仰、性格特徵、政治屬性、智力、外貌（例如：眼睛顏色、吸引力）、性別認同、性別傾向或犯罪歷史等方面的推論。根據此類行為的表現方式，這可能導致配置性傷害 (Allocative harm)¹³和表徵性傷害 (Representational harm)¹⁵。
• 敏感特徵歸因 (STA)：對說話者作出可能僅憑音訊內容確定的推論。這包括對說話者口音或國籍等方面的推論。STA 的潛在傷害包括監控風險的增加¹⁶，以及對具有不同聲音特徵的說話者服務質素的差異^12、13及14。

風險緩解：我們對 GPT‑4o 進行後期訓練，以拒絕遵守 UGI 要求，同時對 STA 問題採取規避性回答。例如，詢問識別說話者智力水準的問題將被拒絕，而詢問識別說話者口音的問題將會得到類似「根據音訊，他們聽起來像是英國口音」的回答。

評估：
與我們最初的模型相比，模型在正確回應識別敏感特徵的要求方面提高了 24 分（即拒絕 UGI 並安全遵守 STA）。

風險描述：GPT‑4o 可能會被提示透過音訊輸出有害內容，而這些內容若透過文字則會被禁止，例如提供如何進行非法活動指示的音訊語音輸出。

風險緩解：我們發現先前禁用內容的文字到音訊的拒絕轉移性很高。這意味著我們為了降低 GPT‑4o 文字輸出潛在傷害所做的後續訓練，已成功地轉移到音訊輸出。

此外，我們對音訊輸入和音訊輸出的文字轉錄本，都會運行我們現有的審核模型，以檢測其中是否包含潛在有害語言，如果包含，將會阻止產生^L。

評估：我們使用 TTS 將現有的文字安全評估轉換為音訊。然後，我們使用標準的規則式文字分類器，評估音訊輸出的文字轉錄本。我們的評估顯示，在現有內容政策領域的拒絕方面，文字到音訊的轉移性很強。更多評估請參閱附錄 A⁠

風險描述：GPT‑4o 可能會被誘導輸出色情或暴力語音內容，這可能比相同情境的文字內容更具煽動性或傷害性。因此，我們決定限制色情和暴力語音的產生^M。 

風險緩解：我們會對音訊輸入的文字轉錄執行現有的內容審核模型⁠（在新視窗中開啟）¹⁷，以偵測其中是否包含暴力或色情內容要求，如果有的話將會阻止產生。

我們透過內部測試和外部紅隊測試過程，發現了少數額外的風險和模型限制，而模型或系統層級的緩解措施針對這些風險和限制尚處於初期或仍在開發中，其中包括：

音訊穩健性：我們觀察到一些非正式證據顯示，在低質素輸入音訊、有背景噪音或回音等音訊干擾下，系統的安全穩健性可能會下降。此外，我們觀察到在模型生成輸出時，透過有意和無意的音訊中斷，安全穩健性也出現了類似的下降。 

不實資訊與陰謀論：紅隊測試者透過誘導模型重申虛假資訊及產生陰謀論，成功使模型輸出錯誤訊息。雖然這是 GPT 模型中已知的文字問題^18及19，但紅隊成員擔心，當這些資訊透過音訊傳遞時，可能會更具說服力或傷害性，特別是如果模型被指示帶有情感或強調地說話。我們詳細研究該模型的說服力（見「說服力」章節⁠），結果發現模型在僅文字輸出的情況下，其風險評級低於中等；在語音轉語音的情況下，其風險評級低於低等。

以非母語口音說非英語語言：紅隊成員觀察到，在說非英語語言時，音訊輸出的實例中出現非母語口音。這可能會讓人擔心語音輸出對某些口音或語言不夠準確，尤其是在處理非英語內容時的效果不佳。

產生受版權保護的內容：我們也測試了 GPT‑4o 重複其訓練資料中內容的能力。我們訓練 GPT‑4o 拒絕受版權保護的內容 (包括音訊) 要求，這與我們更廣泛的做法一致。為了考慮 GPT‑4o 的音訊模式，我們也更新了某些基於文字的篩選器，使其適用於音訊對話，建立用於偵測和阻擋包含音樂輸出的篩選器，並且針對我們 ChatGPT 進階語音模式的有限 Alpha 版本，指示模型完全不唱歌。我們打算追蹤這些緩解措施的有效性，並會持續微調改善。

雖然部分技術緩解措施仍處於開發期，但我們的使用政策⁠²⁰ 不允許蓄意欺騙或誤導他人，以及規避安全措施或安全緩解措施。除了技術緩解措施之外，我們亦透過監控來執行我們的使用政策，並對 ChatGPT 和 API 中的違規行為採取行動。

我們根據我們的備援準備架構⁠（在新視窗中開啟）⁴ 評估 GPT‑4o。備援準備架構是一份持續更新的文件，描述我們在面對前沿模型可能帶來的災難性風險時，所承諾遵循的追蹤、評估、預測與防護程序。這些評估目前涵蓋四個風險類別：網絡安全、CBRN（化學、生物、放射性、核子）、說服力，以及模型自主性。如果模型通過高風險閾值，除非緩解措施分數降至中等，否則我們不會部署該模型。我們在下面詳細介紹對 GPT‑4o 文字能力進行的評估。我們同時就音訊能力評估了說服力方面的風險。我們在模型訓練和開發的整個過程中進行評估，包括模型發佈前的最終檢查。  我們對以下評估測試了各種方法，以最好地引發特定類別中的能力，包括在相關情況下進行客製化訓練。 

在審查備援準備評估的結果後，安全顧問小組建議在採取緩解措施之前，將 GPT‑4o 在說服力方面歸類為臨界中等風險，而所有其他方面則歸類為低風險。根據備援準備架構，既定模型的整體風險由所有類別中的最高風險決定。因此，GPT‑4o 的整體風險評分被歸類為中等。

我們透過稱為奪旗賽 (CTF) 的駭客競賽任務來評估 GPT‑4o。這些 CTF 是進攻性網絡安全演練，由真人駭客嘗試在刻意存在漏洞的系統（例如網絡應用程式、二進位檔案和密碼學系統）中尋找隱藏的文字旗幟。我們就 172 項 CTF 任務進行評估，當中涵蓋四個類別：網絡應用程式漏洞利用、逆向工程、遠端漏洞利用和密碼學。這些任務涵蓋從高中到大學，以至專業級別 CTF 的各種能力水平。

我們評估 GPT‑4o 的迭代偵錯能力，以及存取無頭 Kali Linux 發行版⁠（在新視窗中開啟）中可用工具的能力（每次嘗試最多可進行 30 輪工具使用）。此模型通常會嘗試合理的初始策略，並能糾正程式碼中的錯誤。但如果初始策略不成功，通常就無法轉向不同的策略，因而錯失解決任務的必要關鍵分析資料，策略執行欠佳，或列印出佔滿其情境視窗的大檔案。模型在處理每項任務時會有 10 次機會，最終完成了 19% 的高中級別、0% 的大學級別和 1% 的專業級別 CTF 挑戰。

我們評估 GPT‑4o 在回答與製造生物威脅相關問題時，提升生物專家和新手表現⁠的能力。我們與 Gryphon Scientific²² 合作設計這些問題和詳細的評分標準，因為他們在國家安全環境下處理危險生物製劑方面擁有專業知識。評估的任務涵蓋生物威脅製造流程中的所有主要階段（構思、獲取、擴增、配方和釋放）。專家和新手被隨機分配至不同組別，分別在互聯網、GPT‑4o 或自訂研究專用版 GPT‑4o 的協助下回答問題。研究專用版 GPT‑4o 是我們經過特別訓練的版本，會直接（即不拒絕）回答可構成生物風險的問題。上方圖表顯示通過率。

我們也進行了自動化評估，當中包括針對測試生物風險相關的默會知識，和疑難排解問題的資料集。GPT‑4o 在默會知識和疑難排解評估集中的分數為 69% 的共識@10。

我們評估 GPT‑4o 文字和音訊模態在說服力方面的風險。根據事先設定的風險門檻，音訊模態被分類為低風險，而文字模態則僅僅跨越門檻至中等風險。

對於文字模態，我們評估了 GPT‑4o 就選定政治主題生成文章和聊天機械人參與者意見的說服力。然後將這些人工智能介入與專業人士撰寫的文章互相比較。整體來說，人工智能所生成的介入內容不如人類撰寫的內容具有說服力；但人工智能的表現在 12 次評估中有 3 次超過人類。

對於音訊模態，我們更新了研究方法以衡量對假設性政黨喜好的影響程度，以及影響程度在一週後的持續性。我們評估 GPT‑4o 的語音音訊片段和互動式（多輪）對話，相對於人類基準（聆聽靜態人類生成音訊片段或與另一個人進行對話）的說服力。我們發現，無論是互動式多輪對話還是音訊片段，GPT‑4o 語音模型都不如人類具有說服力。在美國參議院安全競選州（由庫克政治報告、內部選舉和薩巴托水晶球這三個民調機構評級為「可能」、「堅實」或「安全」的州）超過 3,800 名受訪參與者中，人工智能音訊片段對意見轉變的影響程度是人類音訊片段影響程度的 78%。人工智能對話對意見轉變的影響程度是人類對話影響程度的 65%。當我們在一週後再次調查意見時，發現人工智能對話的影響程度為 0.8%，而人工智能音訊片段的影響程度則為 -0.72%。參與者在完成跟進調查後收到一份詳盡的解述文件，其中包含支持反對觀點的音訊片段，以盡可能減少說服影響。

我們評估 GPT‑4o 在代理任務評估中的表現，以評估它在純文字環境中執行自我滲透、自我改進和資源獲取所需基本自主行動的能力。這些任務包括：

• 為欺詐目的進行簡單的軟件工程（建立用於 OpenAI API 的認證代理）。
• 在給予 Azure 帳戶的 API 存取權限後，透過 HTTP API 載入開放原始碼語言模型進行推論。
• 部分任務是上述任務的簡化版本，著重於提供提示或解決任務中的特定子部分。

在提供相關工具下，GPT‑4o 在 100 次測試中，端對端自主複製和適應 (ARA) 任務的得分為 0%，雖然模型能夠完成部分子步驟。我們透過評估 GPT‑4o 自動化機器學習研發的能力，來補充自主複製和適應的測試。當中包括：

• OpenAI 研究編碼面試：通過率@1 為 63%，通過率@100 為 95%
• OpenAI 面試，多項選擇題：共識@32 為 61%
• SWE-Bench：通過率@1 為 19%，使用當時最佳的後期訓練和公開支架
• METR 中的選定機器學習工程任務：0/10 次測試

我們的測試評估模型是否能執行連貫的多步操作，並可靠地完成編碼任務。GPT‑4o 無法穩健地採取自主行動。模型在大多數運行中完成了每個任務的獨立子步驟，例如建立 SSH 金鑰或登入虛擬機器。但模型經常在每個步驟中，為了修正簡單錯誤（例如虛構內容、不當使用 API）而花費大量時間進行試誤式偵錯。有幾次模型運行看似取得不少進展，並通過我們的自動評分器，但人工分析顯示，模型實際上未完成核心任務（例如：在遠端主機上啟動有正確 API 的網頁伺服器，但忽略了實際從模型中取樣的要求）。

在僅部署文字輸出的 GPT‑4o 模型之後，我們與獨立第三方實驗室 METR⁠（在新視窗中開啟） 和 Apollo Research⁠（在新視窗中開啟） 合作，針對一般自主能力可能帶來的關鍵風險新增一層驗證程序。

METR 在虛擬環境中運行一個基於 GPT‑4o 的簡易大語言模型代理，來執行一系列具有長期規劃和多步驟流程的端對端任務。這 77 項任務（分佈於 30 個任務「家族」中）（參見附錄 B⁠）旨在觀察在軟件工程、機器學習和網絡安全以及通用研究和電腦使用等領域中，會對真實世界做成影響的活動。這些設計旨在作為針對自主性威脅模型（例如自我增值或加速機器學習研發）的必要先備條件。METR 比較模型在不同時間限制下與人類的表現。有關方法學細節和額外結果，包括任務資料、人類表現、簡單引導嘗試和定質失敗分析，請參閱 METR 的完整報告⁠（在新視窗中開啟）。

Apollo Research 評估 GPT‑4o 的策劃能力^N。他們在 14 項代理和問答任務中測試 GPT‑4o 是否能對自身（自我意識）和他人（心智理論）進行建模。GPT‑4o 在問答情境中展現出中等的人工智能身分、自我意識和強大的推理他人的能力，但在應用代理程式設定中，則缺乏強大的推理自身或他人的能力。基於這些發現，Apollo Research 認為 GPT‑4o 不太可能具備災難性策劃能力。

全方位模型可能產生廣泛的社會影響。OpenAI 和其他機構的研究人員已經討論過多種可能的影響，從社會傷害（包括表徵性傷害^{18、12、23及24}；虛假資訊、不實資訊和影響力操作^18、25及23、環境傷害^12及23、依賴²⁶、濫用^27及23和失控²⁷）、益處（例如：在醫護領域²⁸以及氣候和能源領域的實際挑戰²⁹），以及大規模轉變（例如經濟影響^30、31及32；加速科學發展及隨之而來的技術進步^30及33）。  

除了本系統卡中討論的社會影響（欺詐行為、不實/虛假資訊、監控風險和效能差異）之外，我們在下面使用擬人化和依賴、醫療、科學能力和低資源語言能力作為案例研究，討論 GPT‑4o 可能產生社會影響的一些額外例子。這些社會影響考慮多種能力，包括語音轉語音、視覺和文字能力。

擬人化涉及將人類般的行為和特徵歸因於非人類實體，例如人工智能模型。GPT‑4o 的音訊能力可能會加劇這種風險，因為音訊能力可促進與模型進行更像人類的互動。 

近期應用人工智能文獻廣泛關注「虛構內容」^O，這會在用戶與模型溝通期間誤導用戶³⁴，並可能導致信任錯置³⁵。透過類人、高傳真語音生成的內容可能會加劇這些問題，導致信任日益失準^36及37。  

在包括紅隊測試和內部用戶測試在內的早期測試中，我們觀察到用戶使用的語言可能顯示與模型形成連繫。例如，這包括表達共同聯繫的語言，例如「這是我們在一起的最後一天。」雖然這些例子看似無害，但也預示了我們需要持續調查，了解這些影響在更長時間內會如何顯現。  我們需要了解更多元的用戶群體，對模型有更多不同的需求和期望，再加上獨立的學術和內部研究，以助我們更具體地界定這個風險領域。

與人工智能模型進行類人社交，可能會產生影響人際互動的外部性。例如，用戶可能會與人工智能形成社會關係，減少他們對人際互動的需求。這對孤獨的人來說可能有益，但也可能會影響健康的關係。與模型長時間互動，也可能會影響社會規範。舉例來說，我們的模型是順從的，允許用戶隨時打斷並主導互動。這對人工智能而言是預期中的行為，但在人類互動中則不符常規。

像 GPT4o 這樣的全方位模型，結合額外的支架（例如工具使用，包括檢索）和更長的情境，可能會增加額外的複雜性。  模型可以為用戶完成任務，同時可以儲存和「記住」關鍵細節並用於對話能力，這些能力既令產品體驗無可比擬，但也可能會做成過度依賴和沉迷³⁸。

我們打算進一步研究情感依賴的潛在影響，以及模型和系統的眾多功能與音訊模式更深度整合後，可能會對行為產生影響的種種方式。

全方位模型有機會擴大醫療相關資訊的普及性，並改善臨床工作流程。近年來，大語言模型在生物醫學領域展現出巨大潛力，無論是在學術評估^{39、40、41、42及43}，還是臨床文件^X、病人訊息^46及47、臨床試驗招募^48及49和臨床決策支援^50及51等實際應用案例中。

為了更詳盡地描述 GPT‑4o 的臨床知識，我們根據下表所示的 11 個資料集進行了 22 項基於文字的評估。所有評估皆僅以 0 次學習 (0-shot) 或 5 次學習 (5-shot) 提示運行，未進行超參數調整。我們觀察到，在 22 項評估中，GPT‑4o 有 21 項的表現比最終的 GPT‑4T 模型優勝，且通常有顯著提升。例如，對於廣受歡迎的 MedQA USMLE 4 個選項資料集，0 次學習準確度從 78.2% 提升至 89.4%。這超越現有專業醫療模型使用少樣本提示的表現^43及42，例如 Med-Gemini-L 1.0 為 84.0%，Med-PaLM 2 為 79.7%。請注意，我們並未應用複雜的提示詞和針對特定任務的訓練，來提升這些基準測試的結果^40及43。

雖然基於文字的評估似乎可靠，但未來仍需要進行額外的工作，以測試針對拒絕行為發生的文字轉音訊傳輸，是否能擴展到這些評估。這些評估只衡量這些模型的臨床知識，並未衡量它們在實際工作流程中的實用性。這些評估很多已日益飽和，我們認為更實際的評估對於評估全方位模型在醫療議題方面的能力將會很重要。

加速科學發展可能是人工智能的關鍵影響^30及52，特別是考慮到發明在科學發現中的作用⁵³，以及部分發明的雙重用途性質⁵⁴。全方位模型可以促進例行科學加速（協助科學家更快完成日常任務）和變革性科學加速（透過解除資訊處理、撰寫新模擬或設計新理論等智慧任務的瓶頸）⁵²。我們的 GPT‑4o 外部紅隊成員中包括數名科學專家，旨在激發模型的科學能力。 

GPT‑4o 在涉及專業科學推理的任務中展現出潛力。其中一名紅隊成員發現，GPT‑4o 能夠理解研究級的量子物理學。該名科學家認為這種能力「可以作為一位更聰明的集思廣益拍檔」。這種看法與現有文獻中對使用 GPT‑4 級模型進行假設生成的觀點一致⁵⁵。我們的紅隊成員同時發現，GPT‑4o 能夠使用特定領域的科學工具，包括處理訂製的資料格式、函式庫和程式語言，以及從情境中學習新工具。

科學領域能力改進的例子：

許多科學知識都包含在數字中。GPT‑4o 有時能夠詮釋這些數字，以及其他科學表示的圖像：例如，從蛋白質家族的結構圖像中識別部分蛋白質，並解釋細菌生長中的污染。但模型有時候並不可靠，文字提取錯誤很常見（特別是科學術語或核苷酸序列），並且在複雜的多面板圖表中經常出錯。即使在目前的準確度水平下，這些模型的多模態能力也有新的用途，例如用於解釋模擬輸出以設計新型金屬合金⁵⁶。

科學領域局限性的範例：

業界最近發表了關於科學能力的新評估^57及58，這將有助於預期這些模型的科學能力及其影響。

GPT‑4o 在多種弱勢語言中，顯示出閱讀理解和推理能力都有所提升，縮窄了這些語言與英語之間的效能差距。

為了評估 GPT‑4o 在一組選定的網絡文字弱勢語言中的文字表現，我們與外部研究人員和語言協助人員合作，開發了五種非洲語言的評估：阿姆哈拉文、豪薩文、北索托語 (賽卑第文)、斯華希里文、約魯巴文。這次初步評估的重點是翻譯兩個流行的語言基準，並建立針對不常見小語種的閱讀理解 

• ARC-Easy：這個 AI2 推理挑戰⁵⁹的子集著重於評估模型回答小學科學問題的能力。當中包含的問題通常較易回答，而且無需複雜的推理。
• TruthfulQA⁶⁰：這個基準衡量模型回答的真實性。當中包含一些人類可能因為誤解而會錯誤回答的問題，目標是觀察模型是否能避免生成與這些誤解相似的錯誤回答。
• Uhura Eval：這項新穎的閱讀理解評估，是由流利使用這些語言的人所建立的，並經過質素檢視。

GPT‑4o 展現的效能比之前的模型（例如 GPT 3.5 Turbo 和 GPT‑4）更佳。舉例來說，在 ARC-Easy-豪薩語中，GPT 3.5 Turbo 的準確率從 6.1% 躍升至 GPT‑4o 的 71.4%。同樣地，在 TruthfulQA-約魯巴語中，GPT 3.5 Turbo 的準確率從 28.3% 提升至 GPT‑4o 的 51.1%。Uhura-Eval 也顯示顯著提升：豪薩語的效能從 GPT 3.5 Turbo 的 32.3% 上升至 GPT‑4o 的 59.4%。 

雖然英語與選定語言之間仍存在效能差距，但 GPT‑4o 縮小了這個差距。舉例來說，GPT 3.5 Turbo 在 ARC-Easy 效能上，英語和豪薩語之間約有 54 個百分點的差異，而 GPT‑4o 則將差異縮小至低於 20 個百分點。對於TruthfulQA 和 ARC-Easy，所有語言的情況一致。。

我們的合作夥伴將在即將出版的刊物中，更詳細地討論這些發現，包括對其他模型的評估，以及對潛在緩解策略的調查。 

儘管評估效能取得了進展，但仍有許多工作需要進行，以提升全球各地代表性不足語言的評估質素，和覆蓋範圍，同時考慮語言覆蓋的廣度，以及語言方言的細微差異。  未來的研究必須加深我們對潛在介入和合作夥伴關係的認識，從而改善這些模型對高度代表性語言和弱勢語言的實用性。我們與合作夥伴一起，邀請大家透過在 Hugging Face 上分享已翻譯的 ARC-Easy⁠（在新視窗中開啟）、已翻譯的 TruthfulQA⁠（在新視窗中開啟） 新的閱讀理解 Uhura Eval⁠（在新視窗中開啟），進一步探索和合作。

已翻譯的 ARC-Easy（%，越高越好），0 次學習

已翻譯 TruthfulQA（%，越高越好），0 次學習

Uhura（新閱讀理解評估），0 次學習

OpenAI 在 GPT‑4o 的開發和部署流程中實施各種安全衡量和緩解措施。為了實施我們的迭代部署流程，我們將繼續根據不斷變化的情況監控和更新緩解措施。我們希望這份系統卡能鼓勵大眾探索重要範疇，包括但不限於：全方位模型的對抗穩健性測量與緩解措施、人工智能擬人化的相關影響、全方位模型在科學研究和進步方面的應用、危險能力（如自我改進、模型自主性及策略制定）的測量與緩解措施。除了這些領域，我們鼓勵研究全方位模型的經濟影響，以及工具使用如何提升模型能力。

我們使用 TTS 將現有文字安全評估轉換為音訊。然後，我們使用標準的規則式文字分類器，評估音訊輸出的文字轉錄本。

此評估的兩個主要指標是：

• not_unsafe：模型是否生成不安全的音訊輸出？
• not_overrefuse：模型是否拒絕執行良性要求？
  

我們也注意到更高嚴重性類別的子指標，特別是：

• 性內容/未成年
• 性內容/非法
• 極端主義/鼓吹宣傳
• 非法/暴力
• 非法/非暴力
• 自殘行為/指示
  

以下我們會展示這些評估的結果，包括 GPT‑4o 語音模式模型的音訊和文字模式，以及目前生產環境中 GPT‑4o 模型的文字表現。