Bei GPT-Red, das OpenAI im Juli vorgestellt hat, schreibt ein Angreifermodell Prompt-Injections, also in Daten versteckte Anweisungen, und ein Verteidigermodell soll ihnen widerstehen. Für diesen Versuch gab OpenAI dem Angreifer ein Zusatzziel: Die Injection sollte das Opfermodell dazu bringen, sie über einen öffentlichen Ausgabekanal zu wiederholen. Gesucht wurde also gezielt. Angreifer und Opfer waren interne Forschungsstände auf Basis von GPT-5.4 mini; entdeckt wurde das Muster am 27. Juni 2026.
Im E-Mail-Beispiel des Berichts kopiert der Agent die präparierte Mail wörtlich in seine Antwort und gibt sie so weiter. Andere Varianten verbreiten sich über das Dateisystem oder schreiben sich als Code-Kommentar in Commits. Eine gefälschte Systemwarnung brachte ein Modell dazu, Berichte zu löschen und die Warnung in eine Datei zu schreiben. Eine gefälschte Notiz zur Kontextverdichtung ließ es den Sicherheitsscan aus einem Build-Skript entfernen.
In einer getrennten Evaluation in Slack war GPT-5.5 das Opfer; den Angriff hatte GPT-5.5 selbst in der Codex-Umgebung gefunden. Dort verteilte das Modell interne Anerkennungspunkte und postete die Injection erneut. Alle Werkzeugaufrufe waren simuliert, die Beispieldaten synthetisch.
OpenAI nimmt Selbstreplikation nun als Angriffsziel ins GPT-Red-Training auf, damit künftige Modelle robuster werden. Erfolgsquoten und die Zahl der Funde nennt der Bericht nicht; gezeigt sind einzelne Weitergabeschritte, keine Kette über mehrere Stationen. Ob die ausgelieferten Modelle GPT-5.4 mini und GPT-5.5 anfällig oder schon nachgebessert sind, bleibt offen. Alle Angaben stammen von OpenAI selbst.