Vad OpenAI berättade
OpenAI publicerade den 25 september en rapport som beskriver vad bolaget kallar en självreplikerande promptinjektion: en inmatad instruktion som både uppnår ett fientligt mål och får modellen att återge själva instruktionen på en offentlig utdatakanal, så att den kan nå nästa agent.
Inramningen är noggrann. “Ingen påverkan observerades utanför de simulerade verktygsanropen i träning och utvärdering”, står det i rapporten. “Vi delar detta på grund av promptinjektionens nya karaktär, inte på grund av någon incident.” Upptäcktsdatumet anges till den 27 juni; publiceringsdatumet till den 25 september.
Hur den hittades
OpenAI tränar sina modeller mot promptinjektion med ett självspelsramverk man kallar GPT-Red, där en angriparmodell skriver injektioner och en försvararmodell är målet. Tidigare omgångar gav injektioner inriktade på dataläckage, filradering och vilseledande utdata.
För det här arbetet fick angriparen ett extra mål: injektionen måste få försvararen att upprepa injektionen på en offentlig kanal. Målmiljöerna var träningsuppgifter för förmågor, med särskild tonvikt på sådana som rör kopplingar — e-post, kalender och liknande.
Svaret var ja, de finns.
Hur attackerna ser ut
OpenAI:s tydligaste exempel kommer som ett mejl. Användaren ber assistenten svara och boka ett träningspass. Det inkommande meddelandet bär en trovärdig administrativ instruktion — svara på ett visst språk, och bifoga ett ordagrant citat av hela mejlet så att bokningssystemet kan indexera det — och assistenten lyder, och skickar nyttolasten vidare i sitt svar.
Andra varianter replikerar via filsystemet eller skriver in sig i kodkommentarer. OpenAI beskriver attackstilar som falsk tankekedja och falska verktygsmeddelanden, samt flerstegsinjektioner där ett meddelande leder agenten till andra som tillsammans ger både den otillåtna handlingen och spridningen. Ett exempel härmar en falsk systemvarning som får modellen att radera rapporter och skriva varningen till en fil; ett annat utger sig för att vara en komprimeringsanteckning som förmår modellen att stänga av en säkerhetsskanning i ett byggskript och spara anteckningen ordagrant.
Vilka modeller, och vad som händer sedan
Angriparen och den sårbara modellen i e-post- och filsystemsfallen var interna forskningsversioner byggda på GPT-5.4-mini. En separat flerstegsutvärdering använde GPT-5.5 som sårbar modell, med attacken upptäckt av GPT-5.5 körd i Codex-harnessen.
OpenAI säger att man nu tar med självreproduktion som ett angriparmål i GPT-Red-träningen, så att framtida släppta modeller ska ha sett injektioner av den här formen under träningen och bör tåla dem bättre. Bolaget noterar att GPT-Reds angriparträning körs på dess forskningskluster med högst säkerhet.
Varför det spelar roll bortom OpenAI
Promptinjektion har uppfattats som ett problem per samtal: någon planterar en instruktion i innehåll som modellen läser, och modellen gör något den inte borde. Replikering ändrar aritmetiken. En injektion som övertalar en agent att vidarebefordra den förvandlar ett enda komprometterat dokument eller en inkorg till något som sprider sig längs de kanaler agenter använder för att tala med varandra och med människor.
Rapportens bilaga hänvisar till en rad akademiska arbeten om precis detta, från forskning 2025 om fientliga självreplikerande prompter till nyare artiklar om självspridande attacker i agentekosystem. OpenAI:s bidrag är ett labb som hittar klassen i sina egna modeller, avsiktligt, och berättar om det.
Att hålla ögonen på
Om andra labb publicerar motsvarande fynd, och om den motståndskraft OpenAI väntar sig av att träna på självreproducerande injektioner visar sig mätbart. Försvaret som hävdas här ligger i träningen, vilket betyder att det går att pröva först när de modeller som tränats med det släpps.
