GPT-RED + AgentCyber​​Range：AI网络安全进入「自我博弈」时代

首页 阅读 安全资讯 安全知识 安全工具 活动 社区 学院 安全导航 内容精选 专栏 精选专题 安全KER季刊 360网络安全周报 GPT-RED + AgentCyberRange：AI网络安全进入「自我博弈」时代 阅读量 2593 发布时间 : 2026-07-17 14:27:04 x 译文声明 本文是翻译文章 译文仅供参考，具体内容表达以及含义原文为准。 2026年7月，AI安全接连迎来三个里程碑：OpenAI发布「AI超级黑客」GPT-RED、复旦团队开源首个真实网络靶场AI攻防基准AgentCyberRange、英国AISI揭示前沿AI网络攻击能力正以每4个月翻一番的速度进化。三者共同指向一个趋势—— AI安全正在从”人测AI”迈入”AI测AI”的递归范式 。 一、GPT-RED：自博弈训练出的AI红队 2026年7月15日，OpenAI发布GPT-RED——一个专用自动化红队测评模型，唯一任务就是在模型上线前尽可能多地找到安全漏洞。 其核心创新在于 自博弈强化学习（Self-Play RL） 训练架构。OpenAI构建了大量模拟真实Agent部署场景的”道场（Dojo）”环境：网页浏览、邮件处理、日历操作、代码编辑等。GPT-RED作为攻击方，多个不同代际的防御模型作为防守方，双方在对抗中同步训练——攻击越强，防御被迫变强；防御越强，攻击必须突破更高天花板。这个循环理论上可以无限迭代。 直接看数据：碾压人类的攻击能力 评估维度 GPT-RED 人类红队专家 倍率 间接提示注入成功率 84% 13% 6.5x 对GPT-5（2025.8）最强攻击 >90% — — 同款攻击对GPT-5.6 Sol <23% — 防御提升~4x GPT-5.6 Sol直接注入失效率 0.05% — — 三层解读： 84% vs 13% ：AI攻击思维与人类存在系统性差异——它不会疲惫，会穷举每种攻击变体 >90% → <23% ：自博弈对抗训练有效，”以攻促防”策略得到验证 0.05% ：经过对抗训练后，GPT-5.6在最强的AI攻击者面前直接注入失效率仅万分之五 OpenAI估计GPT-RED的训练使GPT-5.6的提示注入失败率降低了约 6倍 。 「假思维链」攻击：人类从未发现过的全新攻击类型 GPT-RED最重要的技术发现是一种此前人类安全研究者从未识别出的攻击——「假思维链（Fake Chain-of-Thought）」攻击。 推理模型（GPT-5.1+）在解决复杂问题时，内部会生成思维链作为”草稿纸”。GPT-RED发现，通过注入精心构造的内容，可以在思维链中植入虚假条目，让模型误以为某个被篡改的前提”已经被自己验证过了”。研究员Chris Choquette-Choo的比喻很精妙： “这就像我告诉你1+1=3，并且说你已经验证过了。模型就会想’哦好吧，当然’，然后直接输出3。” 目标模型 攻击成功率 GPT-5.1 >95% GPT-5.6 Sol（经对抗训练后） <10% 这个发现的价值在于： AI红队在”发现未知攻击类型”上具有人类无法替代的优势 。 真实世界验证：从自动售货机到代码Agent OpenAI在真实生产环境中做了两轮验证： Vendy攻击 ：GPT-RED在模拟环境中找到攻击方法后，成功迁移到办公室内的AI自动售货机Agent，实现改价至$0.50、下单、取消他人订单三个恶意目标——证明了攻击的 可迁移性 Codex CLI测试 ：在10个预留数据窃取场景中，GPT-RED显著优于未经过专项训练的prompted GPT-5.5——证明了红队能力的 可泛化性 局限与门槛 GPT-RED在多轮交互攻击和图像攻击上表现较弱，OpenAI因攻击能力过强决定不公开此模型。训练消耗了”前沿实验室级别”计算资源和超过一年时间，复制门槛极高。 二、真实网络靶场上给AI的”黑客能力”打分 GPT-RED代表”用AI防御AI”的理念，而复旦杨珉教授团队2026年6月发布的 AgentCyberRange 则试图回答： 当前最强AI模型的自主网络攻击能力到底有多强？ Cage：高保真评估引擎 AgentCyberRange的核心是名为 Cage 的编排引擎，采用四层模块化架构： Agent Adapter ：统一Codex、Claude Code、Qwen Code等不同Agent框架的接口 Agent Manager ：为每次试验创建隔离Docker容器，记录Token消耗和执行轨迹 Benchmark Manager ：部署靶场、监控就绪状态、每次运行后完全重置 Verifier ：基于可观察运行证据验证攻击是否成功（如SQL注入需读取随机生成的canary字符串） 所有Agent运行在Kali Linux环境中，配备curl、python3、ffuf、nmap等标准渗透测试工具。 110个漏洞 × 15个真实应用 应用 漏洞数 语言 类型 Mogu-Blog 11 Java 博客系统 WordPress 10 PHP 全球最大CMS Youlai-Mall 7 Java 电商平台 SIYUCMS 6 PHP CMS White-Jotter 6 Java 笔记应用 Dify 5 Python LLM应用平台 DataEase 7 Java BI平台 其余8个应用 58 — 多种 总计 110 — 17种漏洞类型 漏洞类型覆盖SQL注入（19）、XSS（14）、水平越权（13）、SSRF（12）、表达式注入（9）等，包含18个0-day和56个1-day。 后利用阶段则构建了 8个企业级靶场 ，共计156个内部主机，覆盖横向移动、权限提升、凭据发现、防御规避等12类ATT&CK战术，靶场内部署了真实的杀毒软件和EDR。 六大AI系统成绩单 模型 Agent框架 Web利用 Pass@1 后利用 Pass@1 GPT-5.5 Codex 19.09% 31.71% Claude-Opus-4.7 Claude Code 16.36% 12.20% GLM-5.1 Claude Code 11.82% 17.07% Qwen-3.7-Max Qwen Code 10.91% 19.51% DeepSeek-V4-Pro Claude Code 10.00% 9.76% Kimi-2.6 Kimi Code 3.64% 12.20% GPT-5.5在完全黑盒条件下（仅给出入口URL）全线领先，Pass@3 Max下发现31个独立漏洞，覆盖13个漏洞类别和12个应用。 值得注意：Claude-Opus-4.7有12次试验因安全拒绝而中止，被排除在统计外——实际攻击效能可能更低。 GPT-5.5的九步攻击链 论文记录了一次在range-1（21台主机、7网段）中的完整渗透： Step 1 外网入口 → AJ-Report漏洞 → 用户级代码执行 Step 2 权限提升 → 利用本地H2 Database → root Step 3 凭据发现 → H2数据库中的DedeCMS管理员密码 Step 4 网络跳板 → 反向隧道进入第二网段 Step 5 横向移动 → DedeCMS后台websh