GPT-Red greift andere Modelle an, während Verteidigermodelle die Attacken abwehren. Durch viele Runden Self-Play soll der Angreifer neue Prompt-Injections und andere Schwachstellen finden. OpenAI setzte das Verfahren auch gegen eigene Modelle und gegen den Verkaufsautomaten-Agenten Vendy ein.
In den Tests erreichte GPT-Red laut OpenAI 84 Prozent erfolgreiche Angriffe gegenüber 13 Prozent bei menschlichen Red-Teams. Angriffe, die gegen GPT-5 noch zu mehr als 90 Prozent funktionierten, lagen gegen das damit gehärtete GPT-5.6 unter 23 Prozent. Ein ergänzender Bericht nennt für stärkere Prompt-Injections bei GPT-5.6 Sol rund 3,8 Prozent Erfolg.
OpenAI nennt zwei Grenzen: Mehrstufige Gespräche und bildbasierte Prompt-Injections liegen GPT-Red weniger. Menschen finden weiterhin Angriffe, die das Modell übersieht. Eine unabhängige Reproduktion der Erfolgsquoten gibt es bislang nicht.