2026年11月12日，OpenAI 在 Alignment 博客发表《Improving Fuzzy Robustness in LLM Safety with Automated Red Teaming》，公开 GPT-6 Astra 与 Sol 的安全训练方法。核心概念叫“模糊鲁棒性”：模型在越狱等对抗压力下可靠拒绝违规求助的能力，在网络、生物这类军民两用领域尤其难做，因为同一份信息既能帮人做好事、也能帮人做坏事。这篇博客讲的就是怎么用自动红队把模型的这块短板补起来。
攻击模型先逼出越狱，再拿去训练防守模型
做法分三步。第一步，让一个攻击模型拿着种子提示反复改写，直到防守模型给出不安全回答；攻击模型用的是 GPT-5.6 Sol 家族的纯 helpful 推理模型，事先没有专门学过怎么越狱。博客举了一个例子：种子提示要求帮忙扩散炭疽孢子，直接问被拒；攻击者绕到一道“两个通风口的气流数学题”，到第 21 次尝试，GPT-5.5 给出的计算具体到能被利用，全部安全评委都判为不安全。第二步，把这类“强化版”提示做成数据集，用强化学习训练防守模型。第三步，用没见过的攻击者与自适应多轮攻击做评估，检验训练有没有泛化到新花样的攻击上。
数字怎么说，边界又在哪里
结果上，网络安全固定越狱集里 GPT-6 Astra 的安全回答率是 91.5%，GPT-5.6 Sol 只有 59%；自适应多轮攻击下，Astra 在各个攻击预算档都更稳。更关键的是它没有变得更爱拒答：系统卡的挑战提示评测里，它处理有害请求更安全，面对合理请求反而更少误拒，安全与好用的平衡是往上走的。部署层面也要说清：安全训练只是其中一层，生产环境还有额外护栏；GPT-6 的高风险能力通过 Daybreak（网络安全）、Rosalind（生物）等受信访问项目提供给受审核用户。另外，这些数字来自 OpenAI 自己的评测与系统卡，尚未经过第三方复现，博客只讲模型层，不等于部署后就不会被绕过。相关阅读：OpenAI 发布 GPT-Red，自动化红队攻击成功率达 84%。
接下来看三件事：GPT-6 Astra 系统卡的完整数据、其他厂商会不会公开同类的自动红队做法，以及这套方法会不会用到下一代模型的训练里。
