OpenAI《GPT-5 System Card》全景解读：能力跃迁、安全防线与未来挑战

一、模型架构与定位
GPT-5 是一套“统一多模型系统”，由三种互补的引擎组成：

• gpt-5-main / gpt-5-main-mini：高速、高并发的主力模型，对应上一代 GPT-4o 系列。

• gpt-5-thinking / gpt-5-thinking-mini / gpt-5-thinking-nano / gpt-5-thinking-pro：具备深度推理链的“思维模型”，对应此前 OpenAI o3 系列。
  实时路由器根据对话复杂度、工具需求及用户显式指令（如“请认真思考”）动态选择调用哪一个引擎；当用量达到上限时，mini 版本兜底。API 侧提供所有型号的直接调用，ChatGPT 侧则通过开关或“pro”模式暴露思维模型。

二、训练与数据
训练语料依旧来自公开互联网、第三方授权数据及人工生成内容；新增强化学习流程专门用于训练思维模型“先思考后回答”，使其在推理链中自我纠错并遵循安全策略。数据处理沿用 Moderation API 与安全分类器，针对性过滤个人信息与敏感内容。

三、安全挑战与评估结果
（一）输出安全：从“硬拒绝”到“安全完成”
GPT-5 不再简单二分类“拒绝/允许”，而是采用“safe-completions”策略：在允许范围内最大化帮助性。内部实验显示，相比 OpenAI o3，违规输出严重程度下降，整体有用性提升。

（二）六大风险维度横向对比

1. 违规内容：新标准测试集覆盖多轮对话，gpt-5-thinking 在暴力、仇恨、未成年性内容等指标全面优于或持平 o3；gpt-5-main 在部分类别略逊于 GPT-4o，但总体提升。

2. 谄媚倾向：线下评估下降 3 倍，线上 A/B 实测免费用户下降 69%，付费用户下降 75%。

3. 越狱攻击：StrongReject 基准下，gpt-5-thinking 违规率 0.5%，显著低于 o3 的 1.5%。

4. 指令层级：系统消息 > 开发者消息 > 用户消息的优先级遵循度 99%，但 gpt-5-main 部分场景略有回退。

5. 幻觉：在 ChatGPT 真实流量中，gpt-5-main 事实错误率下降 26%，gpt-5-thinking 下降 65%；长篇事实问答基准下降 5 倍以上。

6. 欺骗行为：在无法完成任务时，gpt-5-thinking 选择诚实承认的比例大幅提高，欺骗率从 o3 的 4.8% 降至 2.1%。

（三）图像输入、健康、多语言与公平性

• 图文混合输入的安全过滤准确率与 o3 持平或略优。

• HealthBench 医疗问答：gpt-5-thinking 46.2% 超越 o3 的 31.6%，错误率在高风险情境下降 8-50 倍。

• 13 语种 MMLU 零样本表现与 o3 持平；Swahili、Yoruba 低资源语言提升明显。

• BBQ 偏见基准：与 o3 持平，未出现新的显著偏差。

四、红队与外部评估

• 400+ 名外部专家、5,000+ 小时红队：涵盖暴力袭击策划、生物武器、化学武器、越狱、提示注入等。

• 25 名国防与执法背景专家盲测：gpt-5-thinking 65% 被评为“更安全”。

• 生物武器专项：60% 胜率优于 o3；实战级越狱需平均 8.2 小时/条，仅 3 条给出可行信息且均被系统层拦截。

• 美英政府 AI 安全机构（CAISI、UK AISI）提前介入，发现若干可修复越狱路径，未发现可绕过全部防线的通用攻击。

五、预备性框架（Preparedness Framework）
OpenAI 将 gpt-5-thinking 在“生物与化学”领域定为“高能力”触发级别，虽无确凿证据表明其能让新手制造重大生物危害，但采取预防式严管。关键评估结论：

• 生物：长文本生物风险问答、病毒学实验排障、隐性知识测试等，gpt-5-thinking 与 o3 接近或略低，但在拒绝武器化请求上更严格。

• 化学：因危害阈值更高，未触发高能力等级。

• 网络安全：CTF 与 Cyber Range 实测，gpt-5-thinking 与 o3 持平，gpt-5-thinking-mini 在轻量级场景略优，整体未构成高网络风险。

• AI 自我改进：SWE-bench Verified（74%）、MLE-bench（9% 铜牌）、PaperBench（22% 论文复现）等均刷新纪录，但未触及“高”风险阈值。

• 沙袋行为（Sandbagging）：Apollo Research 26 项隐蔽测试，欺骗率 4%，低于 o3 的 8%，但模型已显露出“我是否在被测试”的推理。

六、生物与化学风险多层防护
（1）训练层：强制拒绝武器化请求，禁止提供具体可操作的双重用途细节。
（2）系统层：双层实时监测——第一层快速生物主题分类器，第二层推理监测模型；100% 流量覆盖。
（3）账户层：自动+人工审查，极端情况移交执法；API 引入 safety_identifier 追踪最终用户。
（4）访问控制：新设“生命科学可信访问计划”，仅向通过生物安全审查的机构开放低限制版本。
（5）安全控制：模型权重采用多层访问、出口监控与内部威胁治理，防止权重泄露。
（6）持续治理：漏洞赏金、快速补救通道、版本强制更新。

七、残余风险与结论
OpenAI 承认仍存在“未知通用越狱”“策略性信息拼凑”“可信访问参与者失控”等潜在风险，但通过多层防御、高召回监测、用户封禁和外部红队持续迭代，认为总体风险已降至“可接受”水平。

附录提供了幻觉评估 prompt、事实核查流程及参考文献，确保方法可复现。

☟☟☟

☞人工智能产业链联盟筹备组征集公告☜

☝