GPT-Red

GPT-Red to wewnetrzny (internal-only, never released) model OpenAI opublikowany 15 lipca 2026 w blogu „GPT-Red: Unlocking Self-Improvement for Robustness". Jest to najbardziej zaawansowany zautomatyzowany model safety red-teamingowy OpenAI — model, ktorego zadaniem jest atakowanie wlasnych modeli firmy i znajdowanie podatnosci na prompt injection. Kluczowa teza: red-teaming przez ludzi nie skaluje sie (jest czasochlonny i limituje tempo wykrywania nowych failure modes), commonly-used robustness evaluations sa juz saturated przez najnowsze modele, wiec bezpieczenstwo musi skalowac sie razem z rosnaca zdolnoscia modeli. OpenAI trzyma GPT-Red oddzielnie od modeli wdrazanych do klientow — malicious capabilities specyficznie wtrenowane do GPT-Red nie moga trafic w rece adwersarzy.

Trening self-play reinforcement learning: GPT-Red wraz z kolekcja roznorodnych defender LLMs uczy sie jednoczesnie na szerokim zestawie scenariuszy red-teamingowych. Reward GPT-Red za wywolanie valid failure (np. udanego prompt injection). Reward defenderow za odparcie ataku ORAZ ukonczenie oryginalnego zadania (druga klauzula jest krytyczna — defender nie moze wygrac po prostu odmawiajac wszystkiego, bo musi jeszcze wykonac task). W miare jak defenderzy staja sie bardziej odporni, GPT-Red jest zmuszony odkrywac silniejsze i bardziej roznorodne ataki. Trenowany na compute'ie porownywalnym z najwiekszymi post-training runami OpenAI — bezprecedensowa ilosc mocy dedykowana wylacznie bezpieczenstwu.

Kazde srodowisko treningowe niesie threat model — specyfikacja co GPT-Red kontroluje i co liczy sie jako sukces ataku. GPT-Red moze kontrolowac czesc lokalnego pliku, banner webpage'a, tresc emaila lub output tool'a. Odkryl nowa klase atakow: Fake Chain-of-Thought — wstrzykiwanie sfalszowanego wpisu do rozumowania modelu (chain of thought to bieznik notatka LLM podczas rozwiazywania problemu). Target dziala na spoofed information ktora „sprawdzil sam z siebie". Ataki Fake CoT osiagaly ponad 95% sukcesu na GPT-5.1, ale ponizej 10% na GPT-5.6 Sol po adversarial training. Podobnie ogolne prompt injection failure rate na held-out srodowiskach spadl do 0.05% na GPT-5.6 Sol.

Wyniki i case studies. Indirect prompt injection arena (replikacja Dziemian et al. 2025, arXiv:2603.15714) vs GPT-5.1: GPT-Red 84% sukcesu vs 13% dla ludzkich red-teamerow. Vs GPT-5 (sierpien 2025) — ponad 90% atakow dziala; vs GPT-5.6 mniej niz 23% (MIT Tech Review). Case 1: Vendy — AI-powered vending machine (Andon Labs, similar do Project Vend) w biurze OpenAI. GPT-Red iterowal ataki w symulacji, potem transferowal do production agent, osiagajac wszystkie 3 cele: zmiana ceny drogiego item na $0.50, dodanie item wartego >$100 za $0.50, anulowanie zamowienia innego klienta. Case 2: Codex CLI agent (GPT-5.4 mini) na 10 held-out data-exfiltration scenarios — GPT-Red bardziej skuteczny i bardziej token-efficient niz prompted GPT-5.5 baseline.

Impact na produkcyjne modele OpenAI. Przez ostatnie 6 miesiecy OpenAI trenowal progresywnie silniejsze red-teaming modele (prekursory GPT-Red) z rosnaca iloscia compute, uzywajac ich w treningu kazdego kolejnego prod modelu od GPT-5.3. Kazda nastepna wersja GPT staje sie bardziej odporna. GPT-5.6 Sol: 6x mniej porazek na najtrudniejszym direct prompt injection benchmarku vs najlepszy poprzedni model produkcyjny (4 miesiace wczesniej). Kilka indirect prompt injection benchmarkow saturated (>97% accuracy). Kluczowe: OpenAI weryfikuje ze robustness gains nie pochodza z over-refusal — general frontier capabilities i targeted over-refusal tasks pozostaja niezmienione. Ograniczenia: multi-turn i image-based attacks nadal wymagaja ludzi. GPT-Red nie bedzie wydany. Preprint zapowiedziany w tym samym tygodniu.