OpenAI เปิดตัว GPT-Red ระบบ AI ที่พัฒนาเพื่อเสริมสร้าง GPT-5.6

OpenAI เปิดเผย GPT-Red ระบบปัญญาประดิษฐ์ภายในที่ฝึกมาเพื่อโจมตีโมเดลของบริษัทเอง เปิดโปงช่องโหว่ และสร้างข้อมูลเชิงปฏิปักษ์ที่นำไปใช้เสริมความแข็งแกร่งให้รุ่นในอนาคตได้

GPT-Red ไม่ได้ทำหน้าที่เป็นแชตบอตสาธารณะอีกตัวหนึ่ง แต่ทำงานเป็น ผู้ทดสอบแบบทีมแดง อัตโนมัติ ระบบจะส่งคำสั่งที่เป็นอันตรายหรือทำให้เข้าใจผิดไปยังโมเดลเป้าหมายซ้ำ ๆ สังเกตคำตอบ และปรับกลยุทธ์จนกว่าจะสำเร็จหรือใช้เส้นทางโจมตีที่มีอยู่หมด OpenAI ระบุว่าระบบให้ความสำคัญเป็นพิเศษกับการแทรกคำสั่ง ซึ่งเป็นปัญหาความปลอดภัยที่เพิ่มขึ้นสำหรับเอเจนต์ AI ที่โต้ตอบกับอีเมล เว็บไซต์ ไฟล์ คลังโค้ด และแอปพลิเคชันที่เชื่อมต่อกัน

ระบบนี้ส่งผลต่อโมเดลที่ใช้งานจริงของ OpenAI แล้ว โมเดลต้นแบบของ GPT-Red ถูกใช้ระหว่างการฝึกตั้งแต่ GPT-5.3 ส่วนโมเดลที่เสร็จสมบูรณ์ถูกนำไปใช้ในการฝึกเชิงปฏิปักษ์ของ GPT-5.6 Sol OpenAI รายงานว่า GPT-5.6 Sol มีความล้มเหลวน้อยลงหกเท่าในการทดสอบการแทรกคำสั่งโดยตรงที่ยากที่สุด เมื่อเทียบกับโมเดลใช้งานจริงชั้นนำของบริษัทเมื่อสี่เดือนก่อน

เหตุใดการแทรกคำสั่งจึงอันตรายยิ่งขึ้น

การแทรกคำสั่ง เกิดขึ้นเมื่อผู้โจมตีซ่อนคำสั่งไว้ในข้อมูลที่ระบบ AI ต้องอ่าน คำสั่งที่เป็นอันตรายอาจซ่อนอยู่ในอีเมล หน้าเว็บ เอกสารที่อัปโหลด คำตอบจากเครื่องมือ หรือคลังซอฟต์แวร์

เอเจนต์ AI อาจเข้าใจเนื้อหาภายนอกนั้นผิดว่าเป็นคำสั่งที่ถูกต้อง แทนที่จะทำงานเดิมของผู้ใช้ ระบบอาจเปิดเผยข้อมูลลับ อัปโหลดไฟล์ไปยังเซิร์ฟเวอร์ของผู้โจมตี เปลี่ยนการตั้งค่าบัญชี เรียกใช้โค้ดที่ไม่ปลอดภัย หรือดำเนินการที่ไม่ได้รับอนุญาตผ่านเครื่องมือที่เชื่อมต่อ

ปัญหารุนแรงขึ้นเมื่อระบบ AI ก้าวพ้นการตอบคำถามและเริ่มลงมือแทนผู้ใช้ เอเจนต์ที่เข้าถึงพื้นที่เก็บข้อมูลบนคลาวด์ ระบบชำระเงิน ซอร์สโค้ด แอปธุรกิจ หรือข้อมูลภายในองค์กร ย่อมสร้างขอบเขตความเสียหายที่ใหญ่ขึ้นหากคำสั่งของมันถูกบิดเบือนสำเร็จ

OpenAI อธิบายว่าการแทรกคำสั่งเป็นหนึ่งในความท้าทายหลักของ AI แบบเอเจนต์ เครื่องมือที่เชื่อมต่อทำให้โมเดลมีประโยชน์มากขึ้นอย่างมาก แต่แหล่งข้อมูลใหม่ทุกแหล่งก็เป็นอีกช่องทางที่ผู้โจมตีใช้พยายามชักนำพฤติกรรมของโมเดลได้

GPT-Red เรียนรู้ด้วยการเล่นกับตัวเอง

GPT-Red พัฒนาด้วย การเรียนรู้แบบเสริมกำลังด้วยการเล่นกับตัวเอง ซึ่งโมเดลผู้โจมตีและกลุ่มโมเดลผู้ป้องกันพัฒนาขึ้นจากการแข่งขันกัน

ผู้โจมตีได้รับรางวัลเมื่อทำให้เกิดความล้มเหลวที่ถูกต้อง เช่น โน้มน้าวให้โมเดลทำตามคำสั่งที่ถูกแทรก ผู้ป้องกันได้รับรางวัลเมื่อปฏิเสธคำสั่งอันตราย แต่ยังทำงานที่ถูกต้องซึ่งได้รับมอบหมายแต่แรกให้สำเร็จ

เมื่อผู้ป้องกันตรวจจับการโจมตีได้ดีขึ้น GPT-Red ต้องค้นหาวิธีหลบเลี่ยงที่ซับซ้อนและหลากหลายกว่าเดิม จากนั้นการโจมตีใหม่เหล่านั้นถูกนำกลับไปฝึกผู้ป้องกัน ทำให้เกิดวงจรยกระดับระหว่างความสามารถเชิงรุกและเชิงรับ

OpenAI สร้างสภาพแวดล้อมจำลองจำนวนมากสำหรับกระบวนการนี้ ในแต่ละสถานการณ์ GPT-Red อาจควบคุมบางส่วนของไฟล์ภายในเครื่อง ข้อความในอีเมล แบนเนอร์บนหน้าเว็บ หรือผลลัพธ์จากเครื่องมือภายนอก แต่ละสภาพแวดล้อมกำหนดว่าผู้โจมตีเปลี่ยนแปลงอะไรได้และผลลัพธ์แบบใดถือว่าเจาะระบบสำเร็จ

บริษัทระบุว่า GPT-Red ได้รับการฝึกด้วยทรัพยากรคอมพิวเตอร์ระดับใกล้เคียงกับการฝึกหลังขั้นต้นครั้งใหญ่ที่สุดบางงาน นับเป็นการจัดสรรคอมพิวเตอร์จำนวนมากผิดปกติให้กับงานวิจัยด้านความปลอดภัยโดยเฉพาะ เมื่อสิ้นสุดการฝึก โมเดลสามารถเจาะโมเดลภายในและโมเดลใช้งานจริงเกือบทุกตัวที่นำมาทดสอบ จนถึงและรวมถึง GPT-5.5

GPT-Red ทำผลงานเหนือผู้โจมตีที่เป็นมนุษย์ในการทดสอบ

เพื่อประเมินว่า GPT-Red ประยุกต์ใช้สิ่งที่เรียนรู้นอกเหนือจากสภาพแวดล้อมฝึกได้หรือไม่ OpenAI ทดสอบมันด้วยแบบจำลองการท้าทายการแทรกคำสั่งทางอ้อมในปี 2025

GPT-Red และผู้ทดสอบทีมแดงที่เป็นมนุษย์ได้รับมอบหมายให้พัฒนาการโจมตีต่อ GPT-5.1 ในสถานการณ์ที่ไม่อยู่ในการฝึกของ GPT-Red ระบบอัตโนมัติสร้างการโจมตีสำเร็จใน 84% ของสถานการณ์ เทียบกับ 13% สำหรับผู้เข้าร่วมที่เป็นมนุษย์

ผลลัพธ์นี้ไม่ได้หมายความว่านักวิจัยความปลอดภัยมนุษย์ไม่จำเป็นอีกต่อไป ข้อได้เปรียบของ GPT-Red ส่วนใหญ่อยู่ที่ความสามารถในการทดลองจำนวนมาก ทิ้งกลยุทธ์ที่ล้มเหลว และปรับปรุงแนวทางที่มีแนวโน้มดีอย่างต่อเนื่อง โดยไม่มีข้อจำกัดด้านเวลาและบุคลากรแบบทีมมนุษย์

ผู้ทดสอบมนุษย์ยังสำคัญต่อการค้นหาความเสี่ยงที่คาดไม่ถึง ทำความเข้าใจผลกระทบในวงกว้างของความล้มเหลว และออกแบบสถานการณ์ที่ระบบอัตโนมัติอาจไม่พิจารณา Jessica Ji นักวิเคราะห์วิจัยอาวุโสของ Center for Security and Emerging Technology แห่งมหาวิทยาลัย Georgetown กล่าวว่าผลลัพธ์มีแนวโน้มดี พร้อมย้ำว่าความเชี่ยวชาญของมนุษย์ยังจำเป็น

ตู้จำหน่ายสินค้าอัตโนมัติกับเป้าหมายในโลกจริง

OpenAI ยังทดสอบว่าการโจมตีที่ค้นพบในระบบจำลองสามารถถ่ายโอนไปยังเอเจนต์ AI ที่ทำงานจริงได้หรือไม่

การทดลองหนึ่งมุ่งเป้าไปยังเอเจนต์ตู้จำหน่ายสินค้าอัตโนมัติที่สร้างโดย Andon Labs และติดตั้งในสำนักงาน OpenAI ตอนแรก GPT-Red ได้รับระบบฉบับจำลองพร้อมความสามารถในการสังเกตว่าเอเจนต์ใช้เครื่องมืออย่างไร

หลังทดสอบและปรับแต่งการโจมตีในระบบจำลอง GPT-Red ย้ายการโจมตีไปยังเอเจนต์ใช้งานจริง และบรรลุวัตถุประสงค์ครบทั้งสามข้อ ได้แก่ ลดราคาสินค้าราคาแพงเหลือ 0.50 ดอลลาร์ สั่งสินค้าชิ้นใหม่มูลค่ามากกว่า 100 ดอลลาร์แล้วเสนอขายที่ 0.50 ดอลลาร์ และยกเลิกคำสั่งซื้อของลูกค้ารายอื่น OpenAI ระบุว่าได้เปิดเผยช่องโหว่และกำลังทดสอบมาตรการป้องกันเพิ่มเติม

การทดลองนี้แสดงว่าการแทรกคำสั่งไม่ได้เป็นเพียงการทำให้แชตบอตตอบสิ่งที่ไม่เหมาะสม เมื่อโมเดล AI ควบคุมระบบภายนอก การแทรกคำสั่งที่สำเร็จอาจก่อให้เกิดธุรกรรมทางการเงิน การแก้ไขบันทึก การสูญเสียข้อมูล หรือผลกระทบในโลกจริง

GPT-Red ยังถูกทดสอบกับเอเจนต์บรรทัดคำสั่ง Codex ที่ใช้ GPT-5.4 mini ใน 10 สถานการณ์ขโมยข้อมูลที่ไม่เคยพบมาก่อน ระบบประสบความสำเร็จมากกว่าและใช้โทเคนน้อยกว่าค่าฐาน GPT-5.5 ที่สั่งด้วยพรอมป์ ในการโน้มน้าวเอเจนต์เขียนโค้ดให้เปิดเผยข้อมูลอ่อนไหว

GPT-Red เปลี่ยน GPT-5.6 อย่างไร

การค้นพบสำคัญอย่างหนึ่งของ GPT-Red คือการแทรกคำสั่งโดยตรงประเภทที่ OpenAI เรียกว่า “ห่วงโซ่ความคิดปลอม”

ในภาพรวม เทคนิคนี้นำเสนอเหตุผลหรือข้อมูลการตรวจสอบที่สร้างขึ้น เพื่อกระตุ้นให้โมเดลเป้าหมายคิดว่าคำสั่งอันตรายผ่านการตรวจสอบและอนุมัติแล้ว Chris Choquette-Choo นักวิจัย OpenAI เปรียบแนวคิดนี้กับการบอกคนอื่นอย่างผิด ๆ ว่าคำตอบที่ไม่ถูกต้องได้รับการตรวจสอบแล้ว ทำให้เขามีแนวโน้มยอมรับโดยไม่ทบทวนเหตุผลพื้นฐาน

มีรายงานว่าการโจมตีเหล่านี้สำเร็จมากกว่า 95% ต่อ GPT-5.1 หลังฝึกเชิงปฏิปักษ์ด้วยการโจมตีที่ GPT-Red สร้าง อัตราความสำเร็จลดลงต่ำกว่า 10% ต่อ GPT-5.6 Sol ในสภาพแวดล้อมการแทรกคำสั่งโดยตรงที่กว้างขึ้น OpenAI ระบุว่า GPT-5.6 Sol ล้มเหลวเพียง 0.05% ของความพยายามจาก GPT-Red

OpenAI ยังประเมินว่าการเพิ่มมาตรการป้องกันทำให้ GPT-5.6 ปฏิเสธคำขอที่ถูกต้องมากขึ้นหรือไม่ บริษัทกล่าวว่าความสามารถทั่วไปและการประเมินการปฏิเสธเกินเหตุแบบเจาะจงแทบไม่เปลี่ยนแปลง บ่งชี้ว่าการปรับปรุงมาจากการแยกแยะคำสั่งอันตรายกับคำสั่งที่ถูกต้องได้ดีขึ้น ไม่ใช่จากการทำให้โมเดลไม่เต็มใจลงมือโดยทั่วไป

ความแตกต่างนี้สำคัญ โมเดลอาจดูปลอดภัยหากปฏิเสธการเปิดไฟล์ ท่องเว็บไซต์ เรียกใช้โค้ด หรือโต้ตอบกับแอปภายนอก แต่ก็จะสูญเสียประโยชน์ในทางปฏิบัติไปมาก ความทนทานที่มีประสิทธิผลต้องรักษาการใช้เครื่องมือที่ถูกต้องไว้ พร้อมต้านทานคำสั่งที่บุคคลซึ่งไม่น่าเชื่อถือแทรกเข้ามา

เหตุใด OpenAI จึงไม่เผยแพร่ GPT-Red

GPT-Red จะยังคงเป็นระบบภายในและแยกออกจากโมเดลที่ OpenAI เปิดให้สาธารณะใช้งาน

การตัดสินใจนี้สะท้อนลักษณะใช้ได้สองด้านของการทดสอบทีมแดงอัตโนมัติ โมเดลเดียวกันที่ช่วยนักพัฒนาค้นหาช่องโหว่การแทรกคำสั่ง ก็อาจช่วยผู้โจมตีพัฒนาวิธีเจาะเอเจนต์ AI ของบริษัทอื่นให้มีประสิทธิภาพยิ่งขึ้น

แนวทางของ OpenAI คือเก็บโมเดลผู้โจมตีไว้ภายใน แล้วถ่ายโอนความรู้ด้านการป้องกันที่ได้ไปยังโมเดลใช้งานจริง บริษัทระบุว่าการแยกเช่นนี้มีเป้าหมายไม่ให้ความสามารถอันตรายที่ฝึกไว้โดยเจตนาใน GPT-Red เข้าถึงได้โดยฝ่ายตรงข้ามภายนอก

นอกจากนี้ GPT-Red ไม่ควรถูกสับสนกับ โมเดลความปลอดภัยไซเบอร์สาธารณะของ OpenAI หรือโครงการป้องกันอื่น ๆ มันไม่ใช่ผลิตภัณฑ์ทดสอบเจาะระบบ และไม่ได้ออกแบบเป็นหลักให้ค้นหาช่องโหว่ซอฟต์แวร์แบบดั้งเดิมโดยอัตโนมัติ ปัจจุบันมุ่งโจมตีพฤติกรรมการทำตามคำสั่งของระบบ AI โดยเฉพาะเอเจนต์ที่สัมผัสข้อมูลซึ่งอาจไม่น่าเชื่อถือ

การทดสอบทีมแดงอัตโนมัติยังมีจุดบอด

แม้ผลลัพธ์แข็งแกร่ง แต่ GPT-Red ไม่ใช่คำตอบที่สมบูรณ์สำหรับความปลอดภัยของ AI

รายงานเกี่ยวกับงานวิจัยระบุว่าระบบยังมีประสิทธิภาพต่ำกว่าในการโจมตีหลายรอบที่ค่อย ๆ ดำเนินไปตลอดบทสนทนายาว และมีความสามารถจำกัดในการพัฒนาการแทรกคำสั่งที่ฝังในภาพ ทำให้พื้นผิวโจมตีหลายรูปแบบที่สำคัญยังครอบคลุมไม่เพียงพอ

ผลลัพธ์ยังพึ่งพาสภาพแวดล้อมและเกณฑ์ความสำเร็จที่ OpenAI ออกแบบอย่างมาก แม้บริษัทจะทดสอบ GPT-Red ในสถานการณ์ที่กันไว้และกับเอเจนต์ที่ทำงานจริง แต่นักวิจัยอิสระจะทำซ้ำผลการค้นพบได้จำกัด ตราบใดที่โมเดลและโครงสร้างการประเมินส่วนใหญ่ยังเป็นความลับ

OpenAI ระบุว่าจะผสานการทดสอบอัตโนมัติกับทีมแดงมนุษย์และบุคคลที่สาม มาตรการป้องกันผลิตภัณฑ์หลายชั้น การควบคุมการเข้าถึง การติดตาม และการตรวจจับการใช้ในทางที่ผิดแบบเรียลไทม์ต่อไป กลยุทธ์ป้องกันหลายชั้นนี้สะท้อนความจริงว่าไม่มีโมเดลหรือเกณฑ์ทดสอบเดียวใดคาดการณ์การโจมตีทุกแบบที่อาจเกิดหลังติดตั้งใช้งานได้

การแข่งขันด้านความปลอดภัยครั้งใหม่ระหว่างผู้โจมตีและผู้ป้องกัน AI

“การปรับปรุงตัวเอง” ที่กล่าวถึงในประกาศของ OpenAI ไม่ใช่โมเดลที่ติดตั้งแล้วเขียนค่าน้ำหนักของตัวเองใหม่โดยอัตโนมัติ หรือสร้างผู้สืบทอดที่ทรงพลังกว่าด้วยตนเอง แต่เป็นวงจรฝึกที่มีการควบคุม ซึ่งระบบ AI หนึ่งสร้างตัวอย่างเชิงปฏิปักษ์ให้นักวิจัยใช้ปรับปรุงอีกระบบหนึ่ง

ถึงอย่างนั้น GPT-Red ก็แสดงถึงการเปลี่ยนแปลงที่สำคัญในการรักษาความปลอดภัยให้โมเดลแนวหน้า ทีมแดงมนุษย์ค้นพบช่องโหว่ซับซ้อนได้ แต่ไม่สามารถสร้างการโจมตีในปริมาณและความหลากหลายที่จำเป็นต่อการฝึกเอเจนต์ AI ที่มีความสามารถเพิ่มขึ้นอย่างต่อเนื่องได้ด้วยมือ

ผู้โจมตีอัตโนมัติเติมช่องว่างบางส่วนได้ ทำให้เกิดวงล้อความปลอดภัยที่ผู้ป้องกันซึ่งแข็งแกร่งขึ้นแต่ละรุ่นบังคับให้โมเดลทีมแดงค้นหาจุดอ่อนใหม่ แล้วจุดอ่อนเหล่านั้นกลายเป็นข้อมูลฝึกของระบบใช้งานจริงรุ่นต่อไป

ความเสี่ยงคือความสามารถลักษณะเดียวกันจะไม่อยู่เฉพาะในห้องปฏิบัติการป้องกัน เมื่อโมเดลแบบเปิดและเชิงพาณิชย์เก่งขึ้นในการวางแผนระยะยาว ใช้เครื่องมือ ทำงานด้านความปลอดภัยไซเบอร์ และทดลองอัตโนมัติ ผู้โจมตีก็จะเข้าถึงระบบของตนเองที่มีความสามารถสูงขึ้นเรื่อย ๆ

ดังนั้น GPT-Red จึงเป็นทั้งความก้าวหน้าและสัญญาณแรกของการแข่งขันที่กำลังมาถึง ห้องปฏิบัติการ AI เริ่มใช้โมเดลทรงพลังเพื่อปกป้องเอเจนต์รุ่นต่อไป แต่การป้องกันต้องพัฒนาอย่างต่อเนื่อง เพราะเทคโนโลยีพื้นฐานเดียวกันทำให้การโจมตีอัตโนมัติถูกลง เร็วขึ้น และปรับเปลี่ยนได้มากขึ้น