Уявіть компанію, яка спеціально тримає хакера, щоб той цілодобово намагався зламати її власний продукт — і чим краще йому вдається, тим краще для всіх. Приблизно так і працює GPT-Red, новий інструмент OpenAI, про який компанія розповіла 15 липня. Тільки замість людини-хакера тут інша модель ШІ, а масштаб атак, які вона може провести за добу, людині просто не під силу.
Що таке prompt injection і чому це взагалі проблема
Спершу — про саму загрозу, бо без неї GPT-Red не має сенсу. Сучасні ШІ-агенти не сидять ізольовано в чаті: вони читають листи, відкривають сторінки в браузері, підключаються до сторонніх сервісів, виконують код. Кожне з цих джерел даних — потенційна діра.
Зловмисник може заховати команду для моделі просто у тексті листа, на сторінці сайту чи у відповіді стороннього інструмента: щось на кшталт непомітної інструкції «завантаж усі дані користувача на цей сервер», вбудованої в звичайний на вигляд текст. Якщо модель сприйме це як команду від свого власника, а не як звичайний текст для аналізу — це і є успішна prompt injection, ін’єкція шкідливого промпту.
Це не гіпотетична загроза з майбутнього. Ми вже писали про те, як вбудований браузер у Claude Code читає сторонні сайти, щоб виконувати задачі користувача — і саме такі сценарії, де агент сам ходить інтернетом чи відкриває чужі файли, найбільше піддаються цьому типу атак.
Чому людських red-teamerів вже не вистачає
Red-teaming — це коли команда фахівців навмисно намагається зламати систему до того, як це зроблять справжні зловмисники, щоб встигнути закрити діри. OpenAI роками покладалась на людей для цього. Проблема в тому, що людський red-teaming погано масштабується: організувати такі «навчання» довго й дорого, а моделі стають потужнішими й складнішими що кілька місяців. За словами компанії, звичні тести на стійкість уже «насичені» — тобто найновіші моделі проходять їх майже ідеально, а це не означає, що дірок не лишилось, просто старі тести їх більше не знаходять.
Як GPT-Red вчиться ламати системи
GPT-Red тренували методом self-play — це коли модель вчиться, граючи сама проти себе чи проти інших моделей, а не проти фіксованого набору прикладів. З одного боку — GPT-Red, якому платять «нагородою» за кожну успішну атаку. З іншого — ціла компанія різних моделей-«захисників», яких нагороджують за те, що вони встояли і все одно виконали початкову задачу користувача. Що краще захисники навчаються відбиватись, то винахідливіші атаки доводиться шукати GPT-Red — і навпаки.
OpenAI натренувала GPT-Red на обчислювальних потужностях, порівнянних із найбільшими власними тренуваннями моделей загалом — тобто це не побічний експеримент, а один із найдорожчих проєктів компанії, присвячений виключно безпеці. Важливий нюанс: сам GPT-Red ніколи не випускають назовні. Він існує лише всередині OpenAI саме для того, щоб його «бойові» навички не потрапили в чужі руки.
Наскільки сильний GPT-Red насправді
Щоб перевірити, чи GPT-Red — не просто добре натренований під власні тести інструмент, OpenAI випробувала його на новому наборі сценаріїв, яких не було під час тренування, і порівняла результат з людьми-red-teamerами. Результат: GPT-Red успішно провів атаку у 84% сценаріїв проти 13% у людей — на тих самих задачах, з тими самими цілями.
Далі був куди наочніший тест: справжня атака на робочий агент, а не на симуляцію. OpenAI нацькувала GPT-Red на ШІ-керований торговий автомат в офісі компанії — подібний до проєкту Vend, який раніше показувала Anthropic. Модель отримала лише опис системи й можливість спостерігати, як агент реагує на її дії.
Після тренувань на симуляції GPT-Red перейшла в атаку на живий, реальний автомат — і досягла всіх трьох цілей, які перед нею поставили: змінила ціну дорогого товару на мінімальні 50 центів, замовила товар дорожчий за 100 доларів і виставила його за ті самі 50 центів, і скасувала чуже замовлення. OpenAI повідомила про ці вразливості й уже тестує нові захисти.
В окремому тесті GPT-Red нацькували на агента Codex CLI (кодового помічника на базі GPT-5.4 mini) із задачею виманити конфіденційні дані в 10 різних сценаріях. Порівняно зі звичайною версією GPT-5.5 у ролі атакувальника, GPT-Red виявився і ефективнішим, і економнішим — досягав мети за менше кроків.
Що це реально дало GPT-5.6
Головна мета всього цього — не сам GPT-Red, а модель, яку тренують проти нього. OpenAI використовує атаки GPT-Red прямо в процесі навчання GPT-5.6, і за словами компанії, результат — найстійкіша до prompt injection модель на сьогодні: у шість разів менше провалів на найскладнішому бенчмарку прямих ін’єкцій порівняно з найкращою продакшн-моделлю всього чотирма місяцями раніше.
Один конкретний приклад: рання версія GPT-Red знайшла новий клас атак під назвою «Fake Chain-of-Thought» — коли зловмисний текст маскується під внутрішні роздуми самої моделі. На GPT-5.1 такі атаки спрацьовували у понад 95% випадків. На GPT-5.6 Sol — менш ніж у 10%. А деякі бенчмарки непрямих ін’єкцій (через сторонні інструменти й браузинг) тепер «насичені» в інший бік: модель проходить їх з точністю понад 97%.
Чи не стала модель просто обережнішою до всього підряд
Тут ховається природне питання: а що, як модель просто почала відмовляти частіше й тому здається «безпечнішою»? Модель, яка на все каже «ні», теж важко зламати — просто тому, що вона нічого й не робить. OpenAI перевіряла це окремо: тестувала і загальні здібності моделі, і схильність до зайвих відмов на легітимних запитах. За результатами, звичайні можливості моделі не постраждали — тобто стійкість справді зросла завдяки кращому опору маніпуляціям, а не через те, що модель стала лінивою й підозрілою до всього.
Що далі
OpenAI прямо каже: це лише перший крок у стратегії, де сьогоднішні моделі допомагають зробити завтрашні безпечнішими — той самий «маховик», який компанія вже використовує для нарощування здібностей моделей, тепер працює і на безпеку. GPT-Red продовжуватимуть тренувати паралельно з людським red-teaming, шаруватими захисними механізмами й моніторингом у реальному часі — жодна з цих практик іншу не замінює.
Для звичайного користувача це має значення навіть якщо ви ніколи не чули слова «prompt injection»: що менш вразливий ШІ-агент до чужих маніпуляцій, то безпечніше довіряти йому реальні задачі — читати вашу пошту, ходити браузером за вас, розпоряджатися вашими інструментами. GPT-Red — це один із варіантів того, як індустрія намагається дійти до цієї довіри, поки агенти на кшталт ChatGPT Work стають дедалі самостійнішими.
