GPT-5.6 Sol 提示注入防御能力：GPT-Red 基准测试对你的路由策略意味着什么

当你的 agent 读取邮件、抓取网页或调用第三方工具时，它实际上运行在一个对抗性环境中。它接收的内容可能包含精心设计的指令——旨在重定向其行为：窃取数据、操纵工具调用、取消订单。这不是假设场景。OpenAI 的研究团队刚刚在一台真实的自动售货机 agent 上演示了这种攻击。

改变你路由策略的新基准数字：GPT-5.6 Sol 在 OpenAI 最严苛的直接提示注入基准测试中，失败次数比四个月前最优生产模型减少了 6 倍。这一差距由 GPT-Red 创造——OpenAI 以其最大规模后训练计算量运行的自动化对抗训练器，目标只有一个：让下一代模型更难被欺骗。

发生了什么

2026 年 7 月 15 日，OpenAI 发布了 GPT-Red: Unlocking Self-Improvement for Robustness，详细介绍了他们如何构建一个仅供内部使用的自动化红队模型，并用它来加固 GPT-5.6。

GPT-Red 通过自博弈强化学习（self-play RL）进行训练。攻击模型与一组 defender LLM 同时迭代：GPT-Red 发现注入点，defender 进行防御，GPT-Red 不断适应进化。训练环境覆盖了真实的注入入口——本地文件、网页横幅、邮件正文、工具调用输出、代码仓库。

核心结果：

GPT-Red 在间接提示注入场景中实现了 84% 的攻击成功率，而人工红队仅为 13%。
GPT-Red 生成的对抗训练数据被用于训练 GPT-5.6，使 GPT-5.6 Sol 成为迄今为止 OpenAI 生产模型中抗注入能力最强的版本。
在针对自动售货机 AI agent 的真实世界测试中，GPT-Red 成功修改了商品价格、以错误价格添加商品、并取消了订单——证明这一威胁模型在生产部署中是真实存在的。

GPT-Red 本身不对外部署，它是一个内部安全工具。交付给 operator 的加固模型是 GPT-5.6 Sol。

Agent AI 的注入攻击面正在扩大。随着团队从单轮对话迁移到多步骤 agent 工作流——浏览网页、读取上传文档、调用外部 API、执行代码——攻击者植入重定向指令的节点数量随流水线长度线性增长。

在此之前，以抗注入能力为依据进行模型选择大多停留在理论层面。很少有 provider 发布与具体可部署模型版本挂钩的、有意义的鲁棒性基准。GPT-Red 改变了这一现状：OpenAI 现在发布了 GPT-5.6 Sol 与历史生产模型之间可审计的具体差距（6 倍）。

对于基于能力、成本和延迟进行 agent 流水线路由的团队来说，抗注入能力现在已成为一个可量化的路由维度。

最需要关注的工作流类型：

GPT-5.6 Sol 抗注入能力提升 6 倍，创造了一个具体的路由分叉点：流水线中处理不可信第三方内容的步骤现在有了一个可量化的更安全模型选项。这不是"安全与不安全"的二元划分，而是一个路由策略参数。

建议实施方案：

按信任级别标记流水线步骤。 只处理系统控制提示和可信工具输出的步骤可以路由到任意模型层级（成本和延迟仍是主要判据）。摄取来自外部 URL、用户上传文件或未经验证 API 响应的步骤应优先使用 GPT-5.6 Sol。
为安全关键步骤显式指定 GPT-5.6 Sol。 不要依赖通用的"最优模型"别名来自动解析为抗注入能力最强的选项。OpenAI 的别名行为会随时间变化；对于抗注入能力重要的步骤，使用 gpt-5.6-sol 作为显式 model specifier。
分层防御——不要用模型选择替代提示加固。 GPT-5.6 Sol 降低了失败率，但并不能完全消除风险。模型层面的鲁棒性只是其中一层防御。系统提示加固、输出验证、工具调用过滤和沙箱隔离仍是独立的防御层，与模型选择叠加使用。
监控 agent 运行中的工具调用模式。 异常工具调用——尤其是在模型处理了第三方内容之后出现的写数据、发消息或修改外部状态的调用——是主要的检测信号。

将所有步骤路由到同一模型版本的内部路由策略，现在正在留下可量化的安全暴露面。需要采用的模式是：为系统可信步骤和第三方内容步骤维护独立的路由通道，并为每个通道指定显式 model specifier。

如果你正在运行浏览网页、读取上传文件或调用第三方工具的 agent 工作流，请审查哪个模型版本正在接收摄取不可信内容的步骤。将这些步骤路由到 GPT-5.6 Sol，可以获得 OpenAI 研究中记录的 6 倍抗注入能力提升。

对于基于 TheRouter 统一 provider 路由构建的团队，这是一个模型 specifier 因安全原因（而非成本或延迟）变得重要的典型案例。安全关键流水线步骤需要显式覆盖，而非通用能力别名。

关注 OpenAI 的 API changelog 以获取 GPT-5.6 系列更新，并观察竞争 provider 是否发布类似的抗注入基准——这些数据在评估多 provider fallback 策略时将成为重要的路由信号。