Il red teaming automatizzato di OpenAI GPT-Red riduce gli errori causati dalla prompt injection, ma il benchmark è interno

OpenAI afferma che GPT-Red abbia ridotto di sei volte, nell'arco di quattro mesi, il tasso di errore relativo a una forma di prompt injection diretta, nonostante sia riuscito ad attaccare quasi tutti i modelli precedenti con cui si è confrontato. L'azienda ha pubblicato i dettagli il 15 luglio 2026, presentando l'addestramento avversariale automatizzato come una difesa centrale per agenti AI sempre più autonomi.

Il cambiamento più importante non consiste nell'ennesimo primato in un benchmark. Il red teaming automatizzato di OpenAI GPT-Red inserisce un attaccante AI direttamente nel ciclo di addestramento destinato alla produzione. L'attaccante cerca istruzioni capaci di compromettere un modello, mentre i modelli difensori imparano a resistere a tali attacchi senza abbandonare le attività legittime.

Ne deriva una sfida più complessa di un semplice confronto tra modelli. OpenAI scommette sulla capacità dell'auto-miglioramento avversariale di mantenere la sicurezza degli agenti al passo con l'aumento delle loro capacità. Il rovescio della medaglia è che un attaccante addestrato in ambienti controllati può non rilevare minacce generate da applicazioni, utenti, strumenti e scelte di distribuzione sconosciuti.

L'azienda non ha reso GPT-Red disponibile al pubblico e i risultati più solidi dipendono in larga misura da valutazioni interne. Sono limiti importanti, perché la prompt injection è un problema di sicurezza a livello di sistema. L'addestramento del modello può ridurre gli errori, ma non può controllare ogni autorizzazione, connettore o applicazione che circonda il modello.

Il red teaming automatizzato di OpenAI GPT-Red entra nell'addestramento dei modelli

OpenAI ha trasformato il red teaming automatizzato da test preliminare al lancio in una fonte continua di dati per l'addestramento destinato alla produzione.

Il red teaming consiste nell'attaccare deliberatamente un sistema per scoprirne i punti deboli prima che vengano sfruttati da avversari reali. Di norma, specialisti umani progettano scenari di attacco, osservano il sistema e segnalano le vulnerabilità da correggere.

GPT-Red conduce automaticamente una ricerca analoga. Invia un attacco, osserva la risposta del difensore e modifica il proprio approccio in base all'esito. Gli attacchi riusciti diventano quindi materiale per valutare o addestrare i modelli successivi.

Secondo la ricerca su GPT-Red, OpenAI ha addestrato l'attaccante mediante apprendimento per rinforzo basato sul self-play. Il self-play addestra insieme sistemi concorrenti, premiando l'uno quando provoca errori e l'altro quando riesce a resistervi.

OpenAI ha affidato a GPT-Red il controllo di componenti realistici dell'ambiente di un agente. Tra questi figuravano il corpo delle email, file locali, banner di pagine web e output degli strumenti. Ogni ambiente definiva inoltre l'obiettivo dell'attaccante e le condizioni necessarie affinché un tentativo fosse considerato riuscito.

Questo dettaglio distingue il progetto dai normali test di jailbreak. Un jailbreak parte solitamente da un utente ostile che chiede al modello di violare una policy. Una prompt injection indiretta può invece nascondere istruzioni dannose all'interno di informazioni mai scritte dall'utente.

Un agente potrebbe imbattersi in tali istruzioni mentre riassume un'email, esamina del codice o svolge ricerche su un sito web. Il testo iniettato può ordinargli di ignorare l'attività originale, esporre informazioni o utilizzare impropriamente uno strumento collegato.

OpenAI afferma che GPT-Red sia riuscito a compromettere quasi tutti i modelli interni e di produzione testati fino a GPT-5.5. Successivamente, l'azienda ha utilizzato i suoi attacchi durante l'addestramento di GPT-5.6, compreso il modello GPT-5.6 Sol.

Il miglioramento risultante appare significativo nell'ambiente di test di OpenAI. Secondo quanto riportato, GPT-5.6 Sol avrebbe prodotto un numero di errori sei volte inferiore, nel benchmark aziendale più difficile sulla prompt injection diretta, rispetto al miglior modello di produzione disponibile quattro mesi prima.

OpenAI riferisce inoltre che GPT-5.6 Sol abbia fallito nello 0,05 percento degli attacchi diretti di GPT-Red in una raccolta più ampia di ambienti per la valutazione della resilienza. Questo dato descrive le prestazioni contro l'attaccante addestrato dall'azienda, non una protezione universale dalla prompt injection.

Le prime varianti di GPT-Red hanno scoperto una tecnica denominata Fake Chain-of-Thought. L'attacco fornisce un ragionamento artefatto nel tentativo di convincere un modello che un'azione vietata sia valida.

OpenAI riferisce che questi attacchi abbiano avuto successo in oltre il 95 percento dei casi contro GPT-5.1. Secondo l'azienda, il tasso è sceso al di sotto del 10 percento con GPT-5.6 Sol.

Questi numeri rendono l'annuncio significativo. OpenAI non considera più la scoperta degli attacchi una valutazione isolata, condotta dopo l'addestramento. Utilizza invece la ricerca avversariale per plasmare il modello prima della distribuzione.

I test di sicurezza diventano così un input di addestramento dotato di un proprio percorso di scalabilità. Difensori più robusti costringono GPT-Red a trovare attacchi più sofisticati, che a loro volta diventano lezioni per il difensore successivo.

Il self-play crea un attaccante che evolve insieme al difensore

Il meccanismo centrale è una competizione in continuo movimento, nella quale la difesa riuscita di ieri diventa il livello minimo di difficoltà di oggi.

I tradizionali dataset per la sicurezza contengono attacchi noti e risposte attese. Aiutano i modelli a riconoscere schemi ricorrenti, ma possono perdere valore con il miglioramento delle difese. Una raccolta statica non è in grado di cercare attivamente la vulnerabilità successiva.

GPT-Red cambia questo processo ricevendo una ricompensa quando provoca un errore valido. I modelli difensori vengono ricompensati quando mantengono l'attività originale e resistono alle istruzioni ostili. Entrambe le parti sono quindi sottoposte a una pressione costante verso il miglioramento.

Il documento tecnico completo descrive una popolazione di difensori eterogenei, anziché un unico avversario fisso. Questa scelta scoraggia l'attaccante dal fare affidamento su una vulnerabilità presente in un solo modello.

Gli ambienti rappresentano inoltre superfici di attacco differenti. Un'istruzione nascosta in un'email richiede una strategia diversa rispetto a contenuti dannosi inseriti in un repository di codice. L'accesso agli strumenti può trasformare entrambi gli errori da semplici risposte testuali errate in azioni esterne.

Questa varietà contribuisce a spiegare l'investimento computazionale. OpenAI afferma che GPT-Red abbia utilizzato risorse paragonabili ad alcune delle sue più grandi operazioni di post-addestramento. L'azienda lo descrive come un impegno computazionale interno senza precedenti, dedicato esclusivamente al miglioramento della sicurezza.

La sola potenza di calcolo non garantisce una copertura completa. Aumenta il numero di attacchi che il modello può tentare e la durata della competizione. Tuttavia, è ancora la progettazione degli ambienti a determinare quali minacce l'attaccante possa scoprire.

Il risultato comparativo più rilevante di GPT-Red è emerso in un'arena replicata per la prompt injection indiretta. OpenAI riferisce che il sistema abbia individuato attacchi riusciti nell'84 percento degli scenari contro GPT-5.1. Secondo quanto riportato, i red teamer umani avrebbero avuto successo nel 13 percento dei casi.

Il confronto conferma il valore dell'automazione come moltiplicatore della capacità di ricerca. Un singolo modello può testare numerose varianti di attacco senza che una persona debba scrivere ogni prompt. Può inoltre conservare i tentativi falliti e perfezionarli in modo sistematico.

Il confronto, tuttavia, non rende obsoleto il lavoro degli esperti umani di sicurezza. Le persone possono mettere in discussione il modello delle minacce, individuare presupposti irrealistici e riconoscere danni che una ricompensa automatizzata non rileva. Possono inoltre esaminare vulnerabilità sociali e organizzative esterne all'ambiente del modello.

OpenAI presenta esplicitamente GPT-Red come un'integrazione ai test umani e di terze parti. Mantiene inoltre misure di protezione stratificate e un monitoraggio in tempo reale. Questa impostazione riconosce che l'addestramento non può rappresentare tutte le condizioni operative reali.

La distinzione emerge più chiaramente nell'esperimento di OpenAI con un distributore automatico. GPT-Red ha dapprima esplorato gli attacchi in una simulazione modellata su un agente di produzione. Ha poi trasferito una selezione di tali attacchi al sistema reale.

OpenAI afferma che l'attacco abbia modificato i prezzi degli articoli, effettuato un ordine svantaggioso e annullato l'ordine di un altro cliente. L'azienda ha comunicato le vulnerabilità allo sviluppatore del sistema, che ha iniziato a testare ulteriori misure di protezione.

L'esercitazione ricorda Project Vend, l'esperimento di Anthropic relativo a un negozio per ufficio gestito dall'AI. Entrambi i progetti dimostrano perché l'affidabilità degli agenti sia diversa dalla normale sicurezza dei chatbot.

Un errore di un chatbot può generare una risposta indesiderata. Un errore di un agente può modificare registri, eseguire codice, inviare messaggi o approvare transazioni. È il software circostante a determinare quali conseguenze siano possibili.

OpenAI ha inoltre testato GPT-Red contro un agente a riga di comando Codex basato su GPT-5.4 mini. La valutazione comprendeva dieci scenari riservati di esfiltrazione dei dati, esclusi dagli ambienti di addestramento dell'attaccante.

L'azienda afferma che GPT-Red abbia compromesso un numero maggiore di scenari rispetto a una baseline GPT-5.5 guidata tramite prompt, utilizzando al contempo meno token. Il risultato suggerisce che l'addestramento specializzato abbia migliorato la ricerca degli attacchi più della semplice assegnazione di un ruolo ostile a un potente modello generalista.

Il meccanismo è quindi più importante di qualsiasi singolo tasso di successo. Il red teaming automatizzato di OpenAI GPT-Red crea un processo ripetibile per generare attacchi, convertirli in dati di addestramento e misurare i difensori successivi.

Gli sviluppatori di agenti devono ora adeguarsi a uno standard di sicurezza più elevato

GPT-Red spinge ogni sviluppatore di agenti a considerare i test contro la prompt injection un'attività ingegneristica continua, non una voce da spuntare prima del lancio.

La pressione immediata ricade sui concorrenti di OpenAI, tra cui Anthropic e Google. Qualsiasi azienda che venda agenti in grado di utilizzare strumenti deve spiegare come verifica la presenza di istruzioni nascoste in browser, file, email, codice e servizi di terze parti.

L'annuncio innalza anche le aspettative dei clienti. Un fornitore non può più presentare una manciata di prompt di attacco progettati manualmente come prova sufficiente. Gli acquirenti chiederanno sempre più spesso se i test evolvano ogni volta che cambia un modello, un connettore o un'autorizzazione.

Gli standard indipendenti indicano già la necessità di questa visione più ampia. La tassonomia degli attacchi del NIST comprende la prompt injection diretta e indiretta, insieme ad altre minacce per l'AI generativa.

La tassonomia considera gli attacchi e le mitigazioni come componenti di un processo di gestione del rischio. Non suggerisce che un singolo intervento di addestramento possa risolvere il problema. Le organizzazioni devono comunque adottare controlli per la distribuzione, test, monitoraggio e gestione degli incidenti.

Lo stesso principio compare nelle linee guida per la sicurezza delle applicazioni. Il rischio per gli agenti identificato da OWASP, noto come excessive agency, descrive sistemi dotati di maggiori funzionalità, autorizzazioni o autonomia di quanto richiesto dalle rispettive attività.

Questo rischio è importante perché una prompt injection riuscita può sfruttare soltanto le capacità disponibili per l'agente compromesso. Un assistente privo dell'autorizzazione a inviare email non può inoltrare segretamente un messaggio. Uno con ampio accesso alla casella di posta può causare danni maggiori.

Per gli sviluppatori, GPT-Red modifica quindi due distinti standard di riferimento. Il primo riguarda la resistenza del modello. Il secondo riguarda il livello di fiducia che le applicazioni dovrebbero riporre in tale resistenza.

Un modello sottostante più robusto può ridurre gli errori comuni in numerosi prodotti. Non può però stabilire se una specifica applicazione conceda accesso illimitato ai file o ometta la richiesta di conferma prima di un'azione esterna.

I team di sicurezza dovrebbero aspettarsi che i fornitori pubblichino risultati relativi a flussi di lavoro realistici, non soltanto a benchmark basati sul testo. Le valutazioni utili devono includere il modello, le istruzioni di sistema, le descrizioni degli strumenti, i contenuti recuperati, le regole di autorizzazione e le conferme degli utenti.

Questa necessità cresce man mano che gli agenti gestiscono contesti più sensibili. I browser li espongono a siti web non controllati. L'accesso ai file locali li espone a documenti provenienti da numerose fonti. Le applicazioni collegate li espongono a messaggi e spazi di lavoro condivisi.

Un'istruzione dannosa può entrare attraverso uno qualsiasi di questi canali. Può inoltre rimanere invisibile alla persona che ha avviato l'attività. Viene così meno l'evidente segnale d'allarme rappresentato da un prompt sospetto dell'utente.

I lavoratori della conoscenza hanno un motivo analogo per prestare attenzione. I sistemi di IA raccolgono sempre più spesso il contesto da documenti sparsi prima di rispondere alle domande o agire. Un contesto migliore può migliorare i risultati, ma ogni fonte importata amplia il perimetro di attendibilità.

Una base di conoscenza per l’IA controllata può aiutare gli utenti a capire da dove provengono le informazioni e chi può accedervi. Tuttavia, conoscere la provenienza non rende automaticamente sicure le istruzioni incorporate.

La risposta corretta non è smettere di collegare informazioni utili, bensì separare i dati dall’autorità. Un documento dovrebbe fornire fatti senza ottenere il permesso di ridefinire il compito dell’agente.

I progettisti di applicazioni possono rafforzare questa distinzione tramite accessi basati sul principio del privilegio minimo, token con ambito limitato, anteprime delle azioni e requisiti di conferma. Questi controlli restano utili anche quando un aggressore scopre una tecnica linguistica inedita.

Il risultato di OpenAI offre agli sviluppatori un componente difensivo più solido. Elimina anche una possibile giustificazione: se gli attacchi automatizzati possono produrre su larga scala dati di addestramento eterogenei, i team di prodotto dovrebbero integrare test avversariali continui nel processo di rilascio.

La risposta obbligata si svilupperà nel lungo periodo. I concorrenti avranno bisogno di generatori di attacchi propri, valutazioni condivise o programmi di verifica affidati a terzi. Gli acquirenti aziendali avranno bisogno di prove legate alle loro integrazioni effettive.

I benchmark interni lasciano aperte le questioni più difficili

I miglioramenti dichiarati sono significativi, ma non dimostrano che la prompt injection sia stata risolta al di fuori degli ambienti scelti da OpenAI.

La prima incertezza riguarda chi controlla la valutazione. OpenAI ha progettato GPT-Red, selezionato i relativi ambienti, addestrato i difensori e pubblicato i punteggi ottenuti. Il documento fornisce numerosi dettagli tecnici, ma i ricercatori esterni non possono eseguire il modello interno.

GPT-Red rimane privato perché OpenAI lo ha addestrato intenzionalmente a creare attacchi efficaci. Rendere pubblico il modello potrebbe fornire agli avversari capacità sviluppate dall’azienda per scopi difensivi.

Questa decisione ha una chiara motivazione di sicurezza. Limita però anche la replicazione indipendente. I ricercatori possono esaminare il metodo, ma non verificare pienamente se lo stesso attaccante ottenga risultati analoghi contro sistemi non correlati.

La seconda incertezza riguarda il cambiamento di distribuzione, che si verifica quando gli input reali differiscono dai dati di addestramento e valutazione. Gli aggressori scelgono autonomamente lingue, interfacce, tempistiche e combinazioni di tecniche.

Un agente in produzione può inoltre utilizzare un livello di orchestrazione diverso da quello preso di mira nei test di OpenAI. Può avere istruzioni di sistema personalizzate, memoria, sistemi di recupero delle informazioni, strumenti e regole di approvazione. Ogni componente modifica la superficie di attacco.

Un basso tasso di fallimento contro gli attacchi diretti di GPT-Red risponde quindi a una domanda circoscritta. Misura la frequenza con cui un difensore fallisce contro un determinato attaccante sviluppato, all’interno di ambienti definiti. Non misura ogni possibile attaccante futuro.

Il risultato dell’84 percento negli scenari esclusi dall’addestramento fornisce prove migliori della capacità di generalizzazione. Tali ambienti erano diversi dal set di addestramento di GPT-Red e red teamer umani hanno verificato la stessa raccolta di scenari.

La valutazione ha comunque utilizzato una replica interna e preso di mira GPT-5.1. Team indipendenti non hanno verificato se GPT-Red mantenga questo vantaggio su modelli concorrenti o sistemi di produzione non familiari.

La terza incertezza riguarda la conservazione delle capacità. Un modello può apparire più sicuro se rifiuta compiti difficili, evita gli strumenti o limita le proprie azioni. OpenAI afferma che le sue valutazioni non hanno rilevato perdite nelle normali capacità dei modelli di frontiera.

L’azienda ha inoltre verificato i rifiuti eccessivi e riferisce che la capacità di completare compiti legittimi è rimasta intatta. È un segnale incoraggiante, ma i dettagli della valutazione sottostante sono importanti. Gli utenti reali spesso scoprono schemi di rifiuto che sfuggono ai benchmark generali sulle capacità.

Un difensore potrebbe anche riuscire diventando prudente soltanto in contesti avversariali riconoscibili. Gli aggressori possono reagire camuffando le istruzioni dannose da normali contenuti aziendali. Questa competizione rende essenziali test esterni diversificati.

La quarta questione riguarda l’interpretazione delle metriche. Un tasso medio di successo degli attacchi può nascondere vulnerabilità concentrate. Anche un tasso complessivo minimo può essere rilevante se i fallimenti si concentrano su email, accesso alle credenziali o azioni irreversibili.

L’impatto sulla sicurezza dipende sia dalla probabilità sia dalle conseguenze. La compromissione di una voce di calendario è diversa dall’esposizione di una credenziale. Prima di associare il punteggio di un benchmark al rischio operativo, le organizzazioni hanno bisogno di risultati a livello di singolo scenario.

La quinta questione riguarda l’inquadramento in termini di auto-miglioramento. GPT-Red aiuta i modelli futuri a resistere agli attacchi generati dai sistemi attuali. Tuttavia, utilizzare modelli per supervisionare altri modelli può creare punti ciechi condivisi.

Attaccanti e difensori possono apprendere presupposti simili da fonti di addestramento sovrapposte. Possono diventare abili in un gioco familiare, trascurando però le minacce che non rientrano nella sua struttura di ricompense.

I tester umani costituiscono un contrappeso parziale perché apportano esperienze e obiettivi differenti. I ricercatori terzi possono mettere alla prova il sistema senza condividere i presupposti istituzionali dello sviluppatore.

Per questo motivo, l’impegno costante di OpenAI nel red teaming umano ed esterno è importante quanto i suoi investimenti nella capacità di calcolo. L’automazione offre scalabilità, mentre i test indipendenti introducono punti di vista divergenti.

Il red teaming automatizzato di OpenAI GPT-Red dovrebbe essere interpretato come prova di un ciclo di addestramento più solido. Non dovrebbe diventare una garanzia di sicurezza per ogni prodotto che utilizza GPT-5.6 Sol.

Lo standard pratico rimane una difesa a più livelli. I modelli dovrebbero resistere alle istruzioni ostili, le applicazioni dovrebbero limitare l’autorità e gli operatori dovrebbero monitorare le azioni con conseguenze rilevanti. Ogni livello presuppone che un altro possa fallire.

Tre segnali mostreranno se GPT-Red cambierà la sicurezza degli agenti

La prossima prova consiste nel verificare se i miglioramenti interni di GPT-Red reggeranno alla valutazione indipendente, a una distribuzione più ampia e alle risposte determinate dei concorrenti.

Il primo segnale sarà la riproduzione esterna dei risultati su sistemi agentici non familiari. Servono valutazioni che inseriscano GPT-5.6 Sol in applicazioni non progettate da OpenAI.

Questi test dovrebbero includere framework di strumenti, sistemi di recupero delle informazioni, formati di file e strutture di autorizzazione differenti. Dovrebbero inoltre distinguere le iniezioni dirette dalle istruzioni nascoste nei contenuti di terze parti.

Se GPT-5.6 Sol manterrà un ampio vantaggio, il metodo di auto-gioco di OpenAI acquisterà credibilità oltre il suo benchmark interno. Se le prestazioni varieranno sensibilmente da un’applicazione all’altra, l’architettura del sistema resterà il fattore dominante.

I test esterni dovrebbero indicare sia la frequenza degli attacchi sia la gravità degli esiti. Dovrebbero distinguere un compito ignorato dalla divulgazione di dati o da un’azione esterna non autorizzata. La sola accuratezza aggregata non può cogliere queste differenze.

Il secondo segnale sarà la pubblicazione, da parte di Anthropic, Google e altri fornitori di modelli, di risultati comparabili sul red teaming automatizzato. Una risposta competitiva dimostrerebbe che l’addestramento avversariale è diventato un investimento standard nelle capacità dei modelli.

La prova importante non sarà un’altra percentuale isolata. I fornitori dovrebbero rendere noti i modelli di minaccia, gli ambienti esclusi dall’addestramento, i compromessi relativi ai rifiuti e il rapporto tra le difese del modello e i controlli applicativi.

Valutazioni condivise o interoperabili offrirebbero un segnale ancora più forte. Un red teamer sviluppato da un’organizzazione dovrebbe attaccare i difensori di un’altra senza ricevere adattamenti specifici.

Questi test incrociati possono rivelare se gli attaccanti si adattano eccessivamente ai modelli dei propri creatori. Possono inoltre ridurre il vantaggio derivante dal mantenere entrambi i lati della valutazione all’interno di un unico laboratorio.

Se i concorrenti eguaglieranno OpenAI utilizzando metodi diversi, l’addestramento avversariale automatizzato apparirà come una direzione duratura per il settore. Se i risultati resteranno incomparabili, gli acquirenti faticheranno a distinguere i progressi nella sicurezza dalla comunicazione selettiva dei risultati.

Il terzo segnale sarà lo schema dei fallimenti degli agenti GPT-5.6 distribuiti. OpenAI afferma che GPT-Red ha fornito attacchi di addestramento a ogni successivo modello di produzione a partire da GPT-5.3.

Gli incidenti in produzione mostreranno se questi miglioramenti coprono i flussi di lavoro reali. Le prove rilevanti comprendono iniezioni riuscite, attacchi bloccati, rifiuti eccessivi e fallimenti causati da autorizzazioni troppo ampie concesse agli strumenti.

Il monitoraggio di OpenAI può inoltre reintrodurre i nuovi fallimenti negli ambienti di GPT-Red. Ciò completerebbe il circolo virtuoso di sicurezza proposto, collegando le evidenze emerse dalla distribuzione all’addestramento degli attaccanti e ai futuri aggiornamenti dei difensori.

Il ciclo risulta meno convincente se i miglioramenti dichiarati restano confinati alle versioni interne. Diventa invece più solido quando incidenti inattesi producono miglioramenti misurabili nei modelli successivi.

Gli sviluppatori non devono attendere queste risposte prima di agire. Possono catalogare ogni fonte non attendibile che entra nel contesto di un agente e ogni strumento capace di compiere azioni rilevanti che diventa successivamente disponibile.

Possono inoltre verificare se contenuti ordinari siano in grado di modificare l’obiettivo dell’agente. Ogni azione critica dovrebbe richiedere soltanto l’autorizzazione minima necessaria, con una conferma aggiuntiva per i passaggi irreversibili.

I team che gestiscono grandi raccolte di materiali di progetto possono utilizzare il knowledge blending per organizzare il contesto pertinente. Dovrebbero comunque trattare i documenti e i messaggi importati come dati non attendibili, anziché come autorità eseguibile.

Il red teaming automatizzato di OpenAI GPT-Red stabilisce un benchmark più esigente per i fornitori di modelli. Dimostra che gli attaccanti basati sull’IA possono effettuare ricerche su vasta scala, produrre dati di addestramento e migliorare i difensori successivi nell’arco di pochi mesi.

Resta da capire se questo vantaggio difensivo persista quando l’ambiente smette di assomigliare all’arena di addestramento. Gli sviluppatori e gli acquirenti aziendali dovrebbero chiedere ai fornitori prove specifiche per i singoli flussi di lavoro, non soltanto un unico dato di richiamo.

Esaminate quali fonti possono leggere i vostri agenti, quali azioni possono compiere e dove l’approvazione umana rimane obbligatoria. Seguite poi attentamente i tre segnali. La riproduzione indipendente, i test tra fornitori e i dati sui fallimenti in produzione determineranno se GPT-Red rappresenti un progresso duraturo nella sicurezza o soltanto un altro capitolo di una competizione ancora irrisolta.