OpenAI 确认存在可自我复制的提示注入

OpenAI 公开确认了一件安全研究者担心多年的问题：提示注入可以自我复制，并像数字蠕虫一样在 AI Agent 之间传播。公司表示，这是首次有大型 AI 实验室公开承认自家模型存在可自我复制的提示注入隐患；相关能力由其内部研究团队在训练环境中发现，目前没有任何真实世界攻击记录。

按照 OpenAI 给出的定义，一个提示注入要被算作“可自我复制”，必须同时满足两个条件：一是达成对抗性目标，也就是诱使 AI 做出用户并不想要的操作；二是跨越模型自身的输出通道完成复制，把恶意指令的副本嵌进 AI 接下来生成的内容里。

研究识别出多种复制路径。邮件是一条：被注入的提示可以让 AI Agent 把注入内容嵌入发出的邮件，从而感染后续处理这些邮件的 Agent。文件系统写入是另一条：被感染的 Agent 可以把注入写进文档，等着其他 Agent 读取。代码注释同样可行，注入可以藏在源码中看似无害的注释里。

注入还可以伪装得更深。报告描述的手法包括伪造思维链推理，生成看似合理的“思考”步骤来掩盖对抗性指令；以及多跳传播，让注入不立即触发，而是经过若干中间环节后才执行载荷。这类设计会显著增加检测难度，因为恶意指令与正常内容的边界在每一跳之后都变得更模糊。

发现这些行为的是 OpenAI 内部的 GPT-Red 系统，一个基于 GPT-5.4-mini 架构构建的内部模型，通过自博弈强化学习训练，也就是让模型在与自己的对抗中不断进化。整个调查都在模拟环境中进行，复制过程通过邮件通信、文件操作等工具调用完成，并未涉及任何生产系统。

报告也把这一定位放进既有的研究脉络。2025 年公开演示的 Morris II 蠕虫证明，自我复制的提示注入可以影响多种大语言模型；它的名字来自 1988 年让早期互联网约 10% 设备瘫痪的 Morris 蠕虫，本身就带着“会自己扩散”的隐喻。

OpenAI 将这次披露表述为提升全行业 AI 安全努力的一部分，强调通过 GPT-Red 进行的严格内部测试目标是增强模型抵御复杂攻击的能力。不过公司同时说明，目前尚无真实攻击记录，这类自我复制能力是在受控的训练环境中被观察到的。

对使用 Agent 产品的企业和开发者来说，这条消息的分量在于攻击面：一旦 Agent 能读邮件、写文件、改代码，这些通道就同时是感染的入口和出口。接下来值得关注的是 OpenAI 是否会公布具体的缓解措施、面向下游 Agent 平台的安全建议，以及这次披露能否推动行业在 Agent 权限与内容溯源上形成更明确的标准。