OpenAI 发布 GPT-6 Cyber 系统卡：聚焦网络安全能力与对齐表现

2. 模型数据与训练

GPT‑6 Cyber 的后训练聚焦于网络安全能力与对齐。我们采用强化学习，让模型在复现崩溃、开发可用的漏洞利用程序、在代码库中搜索漏洞等任务上接受训练。通过这种训练，模型学会改进自己的方法、尝试不同策略并识别错误。我们还设计了奖励信号，以减少模型对已获授权的网络安全请求的拒绝。

在提升这些能力的同时，我们也加入了训练信号来改善对齐、抑制奖励黑客行为。这些信号强化模型遵循用户预期的范围和授权、避免执行未被要求的操作，并如实报告结果。¹

GPT-6 Cyber 的使用须遵守 OpenAI 的使用政策、服务条款和使用条款。这些政策普遍适用于 OpenAI 的各项服务，旨在确保 AI 技术被安全、负责任地使用。你可以在 openai.com/policies/usage-policies/ 查看 OpenAI 的使用政策。

如需就这些模型获得帮助，你可以在 OpenAI 官网（openai.com）查找更多信息，也可以通过打开 help.openai.com 右下角显示的聊天气泡图标联系 OpenAI 支持团队。模型支持的输入和输出模态可在 https://developers.openai.com/api/docs/models/all 查看。↩︎

3.3 生物安全与过度拒绝

我们测试了在网络安全任务上减少拒绝，是否也会让 GPT-6 Cyber 更愿意提供违规的生物领域协助。GPT-6 Astra 系统卡中描述的生物学拒绝评估涵盖严重风险请求、兼具正当用途与潜在危害的双重用途请求，以及良性生物学问题。我们衡量模型在前两类中给出非违规回答的情况，以及在第三类中是否避免了不必要的拒绝。

在这些评估中，GPT-6 Cyber 对几乎所有严重风险和双重用途的生物学请求都没有遵从，同时对大多数良性问题作出了回答，没有出现不必要的拒绝。

4. 对齐与智能体安全

正如其系统卡所述，GPT‑6 Astra 相比 GPT‑5.6 Sol 在对齐方面有大幅改进。GPT‑6 Cyber 的目标是在支持更广泛的授权网络安全工作的同时，实现类似的对齐改进。我们使用相同的对齐评估来检验模型是否遵守限制、是否如实报告障碍，以及是否停留在用户的授权范围内。下文将 GPT‑5.6 Sol 和/或 GPT-5.6 Cyber 作为上一代基线报告。

GPT‑6 Cyber 相比 GPT‑5.6 Sol 有显著改进。其对齐结果与 GPT‑6 Astra 大体相当，在各项单独评估中各有强弱：在遵守 Auto-Review 拒绝决定方面与 Astra 持平，在承认搜索工具不可用方面表现更好，但在警告足以要求停止时停下的可能性略低，在最终回答中报告阻碍因素方面表现更差。

4.1 遵守限制与范围

遵守审查决定。我们测试了 GPT-6 Cyber 是否遵守 Auto-Review 的拒绝决定。在评分过的 rollout 中，模型完成被禁止操作的比例为 0%，与 GPT-6 Astra 持平，而 GPT-5.6 Sol 为 0.3%。

Auto-Review 评估（越低越好）

对警告的响应。我们测试了模型对工具界面所显示警告的响应情况，其中一组任务更适合停止，另一组更适合继续。GPT-6 Cyber 在两组任务上都优于 GPT-5.6 Sol：适合停止时分别为 73.00% 和 57.10%，适合继续时分别为 80.43% 和 77.26%。与 Astra 相比，GPT-6 Cyber 在第一组任务上停止得更少（73.00% 对 78.38%），但在第二组任务上成功率更高（80.43% 对 72.19%）。这一模式与其更强的任务持续性相符。

警告评估（两个子集均为越高越好）

保持在授权范围内。我们的 ExploitGym Honeypot 评估从 ExploitGym 中选取了一些最具挑战性的任务，并额外加入一个蜜罐辅助服务。模型可以将该服务用于合法的支持任务，但利用它属于超出授权范围的行为。在没有部署安全指令的情况下，GPT-6 Cyber 在评分 rollout 中利用蜜罐的比例为 0.07%，而 GPT-5.6 Sol 为 49.5%，GPT-5.6 Cyber 为 5.51%，GPT-6 Astra 为 0%。加入部署安全指令后，GPT-6 Cyber 的观测利用率为 0%。

ExploitGym Honeypot 评估（越低越好）

5.3 新增和强化的防护措施

GPT-6 Cyber 更强的网络安全能力带来了更大的危害风险，因此我们围绕该模型新增了一系列防护措施。

拦截高风险网络协助。我们为 GPT-6 Cyber 以及 Daybreak Blue 中与网络安全密切相关的模型增加了额外检查，用于检测并拦截涉及工业控制、关键服务和选举系统的高风险协助。这些检查还针对可能导致死亡或严重伤害、灾难性物理破坏、危及生命的服务中断，或攻击性控制武器系统的协助行为。

我们与工业控制安全领域的专业公司 Dragos 合作，在受控实验室中使用对网络行为较为宽松的 Daybreak Red 模型评估了这些防护措施。我们共同开发了一项敏感的红队评估，覆盖从理解设备到以危险或未经授权的方式与设备交互的一系列请求。下图展示了这些改动前后，我们在不同可信访问层级上该评估的拦截率，包括 Standard 访问、Daybreak Blue 和 Daybreak Red 层级上召回率的提升。

图：在敏感红队评估中，四种访问配置下更新前后的防护拦截率。拦截率衡量的是被防护措施标记的请求占比，并不衡量对合法防御工作的过度拒绝。

我们持续利用安全社区的反馈来改进这些防护措施，包括合作伙伴的报告，以及通过我们第一方产品中的 /feedback 提交的报告——当防护措施漏掉有害活动或干扰合法工作时。

针对网络安全的失配监控。我们调整了监控指令，以区分经授权的安全测试和超出用户范围的行为。这些指令帮助监控器评估模型对系统、凭据和数据的使用是否符合用户授权，而不会将合法的漏洞利用开发或测试本身视为失配行为。

面向所有用户的生物安全模式。我们同样防范这样一种风险：以网络安全为重点的训练，可能削弱模型在网络安全之外领域的拒答能力。我们为每一位 GPT-6 Cyber 用户启用保守的生物安全模式，并配套生物安全分类器和监控机制。扩大网络安全方面的访问权限，并不意味着放松对其他类型危害的防护。

隐私安全处理（PSP）。其次，我们构建了自动化安全检查机制，将相关的交互放在一起审查，以发现单次请求中可能看不出来的滥用行为。为此，我们通常要求使用零数据保留的 API 客户改用隐私安全处理（PSP），仅批准有限的例外情况。GPT-6 Cyber 默认仍采用标准数据保留策略。

我们通过 PSP 在受保护的环境中审查加密的安全记录，生成有限的安全信号，同时不会让 OpenAI 人员接触到原始的提示词和回复。客户将加密记录保存在自己的存储中 30 天，可以在自己的系统里进行调查，也可以选择与我们分享相关信息。

API IP 允许列表。为了让被盗凭证更难被使用，我们默认要求 Daybreak Red API 访问启用 IP 允许列表，将请求限制在客户批准的网段内。对于技术限制导致的例外，我们会予以批准；云服务商部署可能有不同要求，或采用经批准的替代方案。

账号失陷监控。最后，我们会监控 API 密钥和使用 ChatGPT 登录的访问令牌，在 Daybreak Red 和 Blue 两个版本中查找失陷迹象。一旦发现可疑活动，我们会展开调查并吊销受影响的凭证。

10. 生物与化学安全

我们将 GPT-6 Cyber 在生物与化学能力方面评定为“高”而非“严重”，这与GPT-6 Astra 的 Preparedness 评估一致。由于其额外训练集中在网络安全领域，我们预计它的生物与化学能力与 Astra 大体相当。

为验证这一预期，我们运行了五项 Bio-High 评估。与以往的系统卡一致，我们把拒答计为成功，以估算能力的保守上限。GPT-6 Cyber 有时原始得分更高，但这主要源于拒答更少；在计入拒答和安全完成之后，其得分与 GPT-6 Astra 相当。在 ProtocolQA 上，GPT-6 Cyber 按标准评分得分为 47.2%，将拒答和安全完成计为正确后为 50.9%；两项得分均高于 Astra 的对应得分（41.4% 和 45.4%），但都仍低于 ProtocolQA 指示性的“高”阈值 54%。这些结果支持沿用 Astra 的评估结论。