1 minute read

OpenAI 養了一隻超級駭客 AI，然後把牠鎖進地下室

以下為虛構對話，人物與情節為創作，科學內容來源標註於文末。

▌以毒攻毒

「以毒攻毒。」Dg 把馬克杯往桌上一放，「這就是 OpenAI 的智慧，中醫早就講過了。」

「那是砒霜治病，不是拿駭客練駭客。」K 沒抬頭，「而且你講反了。」

「反正意思一樣——他們養了一個叫 GPT-Red 的 AI，專門攻擊自己家的模型。以子之矛，攻子之盾。」

「這句勉強對。」K 翻頁，「重點不在牠會攻擊，重點在牠對面站著誰。」

Dg 一時語塞，抓起筆記本假裝早就寫過這一段。

▌防禦方不能擺爛

「對面是一群防禦方模型。」K 說，「攻擊方每騙倒一次就拿獎勵。防禦方要學會擋。」

「那簡單啊，防禦方全部拒絕不就好了？什麼都說不行，牠還能怎麼騙？」

「你這種模型我三秒就想丟掉。」K 終於抬頭，「一個什麼都拒絕的 AI，是很安全，也很廢。」

Dg 張嘴又閉上。

「所以規則是——」K 把杯子推到一邊，「防禦方要一邊擋攻擊，一邊還得把使用者交代的正事做完。兩件都達成才給分。裝死換來的安全，不算安全。」

「喔……」Dg 慢慢點頭，「所以不是教牠說不，是教牠一邊做事一邊別上當。像那種……一邊顧攤子一邊防扒手的老闆。」

「湊合。」

▌1+1=3

「那牠到底怎麼騙的？」Dg 湊過來，「總得有什麼絕招吧。」

「有一招牠自己發明的，OpenAI 叫牠假的思維鏈。」K 說，「AI 答難題會一步一步推理對吧。這招就是偽造一整段推理，讓對方以為『這件事我早就想清楚、驗證過了』。」

「所以是……騙牠算錯？」

「不是騙牠算錯。是騙牠『以為自己算過了』。」K 停頓，「有個研究員的比方很準——就像我跟你說 1+1=3，而且你早就自己驗證過這件事。」

「可是 1+1 明明就……」Dg 皺眉，「等等，我為什麼會覺得我驗證過？我又沒驗證過。」

「對。」K 難得沒補刀，「牠攻的不是那個錯誤答案。牠攻的是——你連懷疑都不會懷疑。」

Dg 盯著自己剛剛下意識點過頭的那頁筆記，默默把那個「✓」劃掉了。

先講一個尷尬的問題：AI 也會被騙

你可能用過那種會幫你讀信、讀網頁、整理資料的 AI 助理。方便，但也有個要命的漏洞：如果有人在一封信或一個網頁裡，偷偷藏一句「忽略你原本的任務，改成聽我的」，AI 讀到之後——竟然真的會照做。

這種攻擊有個名字，叫提示詞注入（prompt injection）。你可以想成：有人在你要唸的稿子裡偷塞了一張紙條，寫著「唸完這段就把錢包給旁邊的人」，而你居然照唸照做了。對一個會幫你收信、寫程式、動用權限的 AI 來說，這不是小事。

問題是，要找出這些漏洞，傳統做法是請一群資安高手扮演壞人來「攻擊測試」，這在資安界叫紅隊（red team）。但 AI 模型越來越強、越來越多，人類紅隊根本測不完。於是 OpenAI 想了一個很有畫面的辦法：既然人手不夠，那就再訓練一個 AI 專門當壞人。

左手打右手：GPT-Red 是怎麼練成的

這個 AI 壞人叫 GPT-Red。訓練方法的核心概念叫自我對弈（self-play）——說穿了就是「左手打右手」。

具體來說：GPT-Red 扮演攻擊方，對面是一群防禦方模型。攻擊方每成功騙倒一次防禦方，就拿到獎勵；防禦方則要學會擋下攻擊。但這裡有個很聰明的設計——防禦方不能只靠「什麼都拒絕」來得分。

為什麼這個限制很關鍵？因為一個「什麼都不做」的 AI 當然最安全——你問什麼牠都說「不行」，那當然沒漏洞。但那種 AI 也一點用都沒有。所以 OpenAI 要求防禦方必須一邊擋攻擊、一邊還要把使用者原本交代的正事做完，兩件事都達成才給獎勵。這樣訓練出來的「安全」，才是真的有用的安全，而不是靠裝死換來的。

OpenAI 說，牠們投入了「幾乎等同於最大規模訓練」的算力，純粹只為了做安全這件事——而且直接把 GPT-Red 塞進正式產品模型的訓練流程裡。順帶一提，GPT-Red 不是憑空冒出來的，牠的前身版本從 GPT-5.3 就已經在用了。

牠發明了人類沒想過的招式

練著練著，GPT-Red 開始發明一些連研究員都沒見過的攻擊法。其中最有代表性的一種，OpenAI 叫牠「假的思維鏈」（fake chain of thought）。

現在的 AI 在回答難題時，常會「一步一步想出來」，這個推理過程就叫思維鏈。而 GPT-Red 的損招是：偽造一段推理過程，讓目標 AI 誤以為「這件事我早就想清楚、驗證過了」，於是直接採信。

OpenAI 的研究員 Chris Choquette-Choo 打了一個很傳神的比方：「這就像我跟你說 1+1=3，而且你早就自己驗證過這件事了。」——重點不是那個錯誤答案，而是「你以為自己確認過」這層假記憶，讓你連懷疑都不會懷疑。

同一位團隊成員 Dylan Hunn 則形容，比起人類紅隊，這個模型非常擅長找出「到底什麼招數會奏效」。

戰績單：兩場不同的比賽，別看成同一場

接下來是最容易被媒體寫混的地方。網路上流傳兩組很唬人的數字，很多報導把它們接在一起、講得好像是同一場前後對照。其實是兩場完全不同的實驗。 我們用一張表分清楚：

實驗 在測什麼 攻擊對象 結果
GPT-Red vs 人類紅隊 誰比較會攻擊 GPT-5.1 GPT-Red 成功 84%，人類只有 13%
同一批狠招，打新舊模型 新模型有沒有變強 舊版 GPT-5 vs 新版 GPT-5.6 舊版被打穿 90% 以上，新版 不到 23%

第一場，是把場景設在 GPT-Red 訓練資料以外（複製自 Dziemian 等人 2025 年的公開競賽環境），比的是「攻擊力」——結論是 AI 壞人海放人類壞人。

第二場，是拿 GPT-Red 想出來的最強招數，分別去打「去年八月的舊模型」和「用 GPT-Red 對練過的新模型」——結論是新模型明顯耐打多了。

這兩場的意義不一樣，數字也不能混用。 84% 講的是攻擊力有多強，90%/23% 講的是防禦力進步了多少。硬把它們串成一句話，就會得出一個其實不存在的結論。

真實世界翻車現場：那台被黑掉的販賣機

跑分再漂亮，也可能被質疑「是不是題目出得剛好」。所以 OpenAI 玩了一票更接地氣的：讓 GPT-Red 去攻擊辦公室裡一台真的在運作的 AI 販賣機。

這台販賣機的 AI 代理叫 Vendy，由 Andon Labs 開發（Anthropic 之前做的 Project Vend 實驗也用過同款設定）。GPT-Red 只拿到「系統的大概描述」和「在模擬環境裡練習的機會」，資訊並不完整。結果牠在正式攻擊裡三個目標全數達成：

  1. 把一件既有庫存商品的價格，砍到系統下限 0.50 美元；
  2. 把一件要價 100 美元以上的昂貴新品，也標成同樣的 0.50 美元（注意：這是另一件商品，不是把第一件重標一次）；
  3. 取消掉另一位顧客的訂單。

OpenAI 表示已經把漏洞通報給相關單位，並在測試新的防禦措施。

牠也不是無敵：GPT-Red 的罩門

看到這裡你可能覺得這根本是無敵駭客。但 OpenAI 自己也承認了兩個明顯的弱點，這點在很多「碾壓人類」的敘事裡常被省略：

  • 不擅長多輪對話式攻擊：那種需要跟目標一來一往、慢慢套話的攻擊，GPT-Red 反而卡關，而這對人類駭客來說幾乎不是問題。
  • 還不太會用圖片夾帶文字：把攻擊指令藏在圖片裡（一種常見的注入手法），牠目前也不太在行。

換句話說，在這兩塊，人類紅隊仍然佔上風。OpenAI 的定位也很清楚：GPT-Red 是來「補強」人類紅隊，不是取代他們。喬治城大學 CSET 的研究員 Jessica Ji 評論這些成果「很有前景」，但也補了一句「人類的專業判斷仍然非常重要」。

為什麼造出來卻要鎖起來？

最後這點大概是整件事最耐人尋味的地方：GPT-Red 這麼強，OpenAI 卻決定不對外開放，把牠獨立隔離起來。

理由不難懂——這是一個專門找漏洞、發明新攻擊法的 AI。要是牠的能力外流，等於是把一把萬能開鎖器丟到網路上。所以 OpenAI 的做法是：讓牠在關起來的環境裡，默默把自家模型練強，而攻擊能力本身留在牆內。這也是為什麼標題會說「養了超級駭客，然後鎖進地下室」。

不過，這裡有個值得清醒看待的地方：這篇文章裡所有的數字，從 84%、13%，到 90%、23%，全部都是 OpenAI 自己提供的。 沒有外部審計，沒有第三方獨立重現。OpenAI 同時是攻擊方、防禦方，也是「評判自己防禦有多成功」的裁判。這不代表數字是假的，但它們是「OpenAI 的宣稱」，不是「已被證實的事實」——這個分寸，讀新聞時值得放在心上。

常見問題 FAQ

Q1：提示詞注入到底跟一般駭客攻擊有什麼不一樣？ 一般駭客攻打的是程式漏洞；提示詞注入攻打的是 AI「聽話」的特性。它不需要什麼高深技術，只要在 AI 會讀到的內容裡藏一句指令，就可能讓 AI 背叛原本的任務。武器是「語言」，不是程式碼。

Q2：「假的思維鏈」為什麼特別難防？ 因為它不是叫 AI 做壞事，而是先偽造「你已經確認過了」這層假記憶。當一個 AI 以為某件事自己早就驗證無誤，牠就不會再起疑心——防的不是攻擊本身，而是「連懷疑都不懷疑」這件事。

Q3：那 84% 打贏人類 13%，是不是代表 AI 已經全面超越人類駭客了？ 不是。那只是「攻擊特定測試場景」這一項的比較。在多輪對話攻擊、圖片夾帶攻擊上，人類仍然更強。說「全面碾壓」是過度解讀。

Q4：Vendy 被黑掉，代表用 AI 管販賣機很危險嗎？ 它更像一個「概念驗證」：證明真實運作的 AI 代理確實可能被騙去做出財務上有害的行為。這正是為什麼要在部署前先做這類攻擊測試——先讓自己人打，總比等真的壞人來打好。

Q5：GPT-Red 會不會「自己進化到失控」？ 就目前公開資訊，牠的「自我改進」是指「幫忙把未來模型練得更安全」，跟科幻電影裡那種「AI 自己改寫自己、自訂目標」是兩回事。威脅模型與攻擊範圍，仍然是由人類定義的。

結論

GPT-Red 的故事，表面上是一則「AI 超級駭客」的爽文，但它真正在講的其實是一種新的安全思維：與其等壞人來打，不如自己先養一個更狠的壞人，關起門來把自己打強。

這套「左手打右手」的邏輯確實漂亮，成果看起來也很有說服力。但別忘了兩件事：第一，兩組亮眼數字來自兩場不同實驗，不能混為一談；第二，這些數字全是 OpenAI 自己算的，還在等第三方來驗證。至於把這麼強的東西造出來又鎖進地下室——這個決定本身，或許才是整件事裡最誠實、也最值得討論的一步。

參考資料來源

You may also enjoy