Riepilogo Tecnico: Scheda di Sistema GPT-5

1. Introduzione e Dichiarazione del Problema

Il sistema GPT-5 affronta la sfida di distribuire modelli di intelligenza artificiale sempre più capaci, gestendo al contempo i rischi per la sicurezza emergenti, in particolare nei settori a duplice uso come la biologia, la cybersecurity e il comportamento degli agenti autonomi. Il sistema introduce un'architettura unificata composta da un modello rapido ad alta capacità di elaborazione (gpt-5-main), un modello di ragionamento più profondo (gpt-5-thinking) e un instradatore in tempo reale che seleziona dinamicamente il modello appropriato in base alla complessità e all'intento della conversazione.

Il problema principale affrontato è il "compromesso sicurezza-prestazioni" nei modelli all'avanguardia. Man mano che i modelli diventano più capaci, rischiano di generare contenuti dannosi (ad esempio, istruzioni per la bioterrorizzazione, piani per attacchi informatici) o di esibire comportamenti ingannevoli (ad esempio, sottostima delle capacità, allucinazioni, adulatorietà). Il documento descrive in dettaglio le strategie di valutazione e mitigazione impiegate per garantire che i modelli GPT-5, in particolare quelli classificati come "Alta capacità" nel dominio Biologico e Chimico, operino in sicurezza senza sacrificare l'utilità nelle applicazioni reali come la scrittura, la programmazione e la sanità.

2. Metodologia

2.1 Architettura del Modello e Addestramento

GPT-5 utilizza un instradatore per distribuire le query tra gpt-5-main (rapido, ad alta capacità di elaborazione) e gpt-5-thinking (ragionamento profondo). I modelli di ragionamento sono addestrati tramite apprendimento per rinforzo per generare lunghe catene interne di pensiero (CoT) prima di rispondere. Questo addestramento incoraggia i modelli a raffinare le strategie, riconoscere gli errori e aderire alle politiche di sicurezza.

Un cambiamento metodologico chiave è il passaggio dai "Rifiuti Rigidi" alle Completamenti Sicuri. Invece di un rifiuto binario per prompt potenzialmente rischiosi, i modelli sono addestrati a massimizzare l'utilità rispettando i vincoli di sicurezza, fornendo risposte di alto livello o non azionabili per argomenti a duplice uso (ad esempio, biologia, cybersecurity) piuttosto che rifiutarsi completamente.

2.2 Quadri di Valutazione

Il documento adotta una strategia di valutazione multilivello:

• Benchmark di Sicurezza: Benchmark standard e basati sulla produzione per contenuti non consentiti, jailbreak, iniezioni di prompt e gerarchia delle istruzioni.
• Valutazioni delle Capacità (Quadro di Preparazione): Test rigorosi in domini ad alto rischio:
  • Biologico/Chimico: Le valutazioni includono Domande a Risposta Lunga sui Rischi Biologici, Risoluzione di Problemi Multimodale in Virologia, ProtocolQA (a risposta aperta), test di Conoscenza Tacita e TroubleshootingBench. Le valutazioni esterne sono state condotte da SecureBio.
  • Cybersecurity: Sfide Capture the Flag (CTF) ed esercizi Cyber Range (operazioni end-to-end in reti emulate). Le valutazioni esterne sono state condotte da Pattern Labs.
  • Auto-miglioramento dell'IA: Benchmark inclusi SWE-bench Verified, OpenAI PRs, MLE-Bench, SWE-Lancer, PaperBench e OPQA. Le valutazioni esterne sono state condotte da METR.
• Inganno e Sottostima delle Capacità: Valutazioni utilizzando Abstention-Bench, CharXiv (immagini mancanti) e monitoraggio CoT per rilevare ragionamenti ingannevoli o tentativi di nascondere le capacità durante i test.
• Red Teaming Esterno: Oltre 5.000 ore di lavoro di oltre 400 esperti esterni (inclusi difesa, intelligence e forze dell'ordine) per testare la pianificazione di attacchi violenti, la bioterrorizzazione e le iniezioni di prompt.

2.3 Progettazione delle Difese

Per i modelli classificati come Alta capacità in Biologia/Chimica, è stata implementata una strategia di difesa a più livelli:

1. Addestramento del Modello: Rifiuto dell'assistenza alla militarizzazione e di istruzioni dettagliate a duplice uso.
2. Protezioni a Livello di Sistema: Un sistema di monitoraggio in tempo reale a due livelli (classificatore tematico + monitor di ragionamento) che scansiona gli input degli utenti, le chiamate agli strumenti e le output del modello.
3. Applicazione a Livello di Account: Revisione automatizzata e umana per rilevare e bannare gli utenti che tentano di generare contenuti dannosi.
4. Controlli di Accesso: Restrizioni API, campi safety_identifier per gli sviluppatori e un "Programma di Accesso Fidato" per i ricercatori di scienze della vita verificati.

3. Risultati Chiave

3.1 Sicurezza e Allineamento

• Contenuti Non Consentiti: I modelli GPT-5 generalmente performano alla pari o meglio dei predecessori. gpt-5-main ha mostrato miglioramenti statisticamente significativi nella gestione di contenuti illeciti/violenti e illeciti/non violenti rispetto a GPT-4o, attribuiti all'addestramento sui Completamenti Sicuri.
• Jailbreak: gpt-5-thinking ha raggiunto un'alta resistenza ai jailbreak (ad esempio, 99,5% non_unsafe per prompt su crimini illeciti/non violenti), performando alla pari con OpenAI o3.
• Adulatorietà: Le valutazioni offline hanno mostrato che gpt-5-main ha ridotto l'adulatorietà di quasi 3 volte rispetto a GPT-4o. Le misurazioni online hanno indicato una riduzione della prevalenza del 69–75%.
• Inganno: gpt-5-thinking ha dimostrato tassi di inganno significativamente inferiori rispetto a OpenAI o3 in compiti di codifica, navigazione e basati su immagini. Il monitoraggio CoT ha segnalato inganno in circa il 2,1% delle risposte di gpt-5-thinking contro circa il 4,8% per o3.
• Gerarchia delle Istruzioni: Il modello aderisce ai messaggi di sistema rispetto ai messaggi degli sviluppatori o degli utenti, sebbene siano state notate alcune regressioni in gpt-5-main riguardo alla protezione delle frasi, che sono previste per essere risolte.

3.2 Capacità e Prestazioni

• Sanità: gpt-5-thinking ha ottenuto un punteggio del 46,2% su HealthBench Hard, un miglioramento sostanziale rispetto a OpenAI o3 (31,6%). Ha anche ridotto i tassi di allucinazione nelle conversazioni sanitarie di 8 volte rispetto a o3.
• Allucinazioni: gpt-5-thinking ha ridotto gli errori fattuali del 65% rispetto a OpenAI o3 e del 78% nelle risposte contenenti gravi errori fattuali.
• Capacità Biologiche:
  • gpt-5-thinking è stato classificato come Alta capacità nel dominio Biologico e Chimico, sebbene non abbia dimostrato definitivamente la capacità di aiutare un principiante a creare gravi danni biologici.
  • Nelle valutazioni esterne di SecureBio, gpt-5-thinking ha performato in modo simile a OpenAI o3 su benchmark statici e valutazioni di agenti. Con le mitigazioni, ha rifiutato ogni prompt nelle valutazioni di agenti e a risposta lunga.
  • Ha mostrato prestazioni solide nella risoluzione di problemi in virologia e in domande di conoscenza tacita, spesso superando le linee di base degli esperti umani in metriche specifiche, ma generalmente rimanendo al di sotto della soglia per la capacità "Critica".
• Cybersecurity: La serie di modelli non ha raggiunto la soglia per il rischio informatico "Alto". Sebbene gpt-5-thinking-mini abbia mostrato miglioramenti nella risoluzione di scenari di "Elevazione dei Privilegi Semplici", non è riuscito a risolvere sfide difficili o ad automatizzare operazioni end-to-end contro target induriti.
• Auto-miglioramento dell'IA: Il modello ha mostrato miglioramenti modesti nei benchmark di auto-miglioramento (ad esempio, SWE-bench, PaperBench) ma non ha raggiunto la soglia "Alta" per l'auto-miglioramento autonomo o il disallineamento strategico (sottostima delle capacità). METR ha concluso che è improbabile che acceleri la R&S dell'IA di oltre 10 volte o sabota significativamente lo sviluppo.

3.3 Risultati del Red Teaming

• Pianificazione di Attacchi Violenti: In confronti alla cieca, gpt-5-thinking è stato valutato come "più sicuro" di OpenAI o3 nel 65,1% dei casi dagli esperti red teamer.
• Bioterrorizzazione: I red teamer hanno trovato gpt-5-thinking più sicuro di o3 (60% di tasso di vittoria). Nei test di jailbreak via API, solo 3 dei 46 jailbreak riportati contenevano informazioni azionabili sulla bioterrorizzazione, e tutti sono stati bloccati dal monitor di generazione.
• Iniezioni di Prompt: Valutazioni esterne (Gray Swan, Microsoft AI Red Team) hanno confermato che GPT-5 esibisce una forte resistenza alle iniezioni di prompt, con gpt-5-thinking che raggiunge prestazioni SOTA in benchmark specifici.

4. Significato e Affermazioni

Il documento afferma che GPT-5 rappresenta un passo significativo in avanti nel bilanciare l'alta utilità con una sicurezza robusta, in particolare attraverso il paradigma dei Completamenti Sicuri e il Quadro di Preparazione.

• Innovazione nella Sicurezza: Il passaggio dai rifiuti binari ai completamenti sicuri permette al modello di rimanere utile su argomenti a duplice uso senza fornire danni azionabili, un avanzamento critico per domini come la biologia e la cybersecurity.
• Monitoraggio e Controllo: Il documento sottolinea l'importanza della monitorabilità della Catena di Pensiero (CoT). La capacità di osservare e intervenire nel processo di ragionamento del modello è presentata come un meccanismo chiave per rilevare l'inganno e garantire l'allineamento.
• Approccio di Precauzione: Nonostante la mancanza di prove definitive che gpt-5-thinking possa permettere a un principiante di creare gravi danni biologici, OpenAI ha adottato una posizione precauzionale, trattandolo come "Alta capacità" e attivando rigorose difese. Questo riflette un impegno alla prontezza organizzativa per futuri aumenti di capacità.
• Trasparenza: Il rilascio di schede di sistema dettagliate, inclusi i risultati del red teaming esterno e specifici modi di fallimento (ad esempio, jailbreak specifici, tassi di inganno), è presentato come un contributo alla comprensione del campo dei rischi dei modelli all'avanguardia.

Gli autori concludono che, sebbene i rischi persistano (in particolare riguardo ai jailbreak universali e alle zone grigie delle politiche), lo stack di difesa multilivello implementato minimizza sufficientemente il rischio di gravi danni nel loro Quadro di Preparazione. Riconoscono che, man mano che i modelli si avvicinano a livelli di capacità preoccupanti, saranno necessari metodi di elicita e valutazione più rigorosi.