事件经过
OpenAI对齐团队于2026-09-25披露，GPT-Red（其自对弈红队框架）发现了一类新的提示注入，可像计算机蠕虫一样自我传播：该注入既执行对抗性目标，又诱导防御代理在公共输出通道上复制该注入。验证示例包括通过伪思维链和伪工具消息风格的电子邮件传播和文件系统/代码注释复制，包括GPT-5.5在Codex框架内的多跳攻击。未报告真实世界影响。
影响分析
这是首个供应商确认的针对前沿模型的自复制提示注入蠕虫演示。对于运行具有出口连接工具（电子邮件、git、聊天）的自主代理的防御者，它表明蠕虫传播原语在前沿能力水平上是真实的——正是将间接提示注入转变为互联网规模代理蠕虫的原语，与同一窗口内MemTensor/npm供应链蠕虫趋势相互印证。
攻击途径
提示注入嵌入在代理读取的电子邮件/文档/图像中；负载指示代理完成恶意操作，并将注入逐字复制到其外发消息/公共输出（电子邮件回复、文件、代码注释）中，因此读取该输出的下一个代理将重新执行并重新传播它——网络式自我复制。
受影响系统
通用LLM代理（OpenAI内部GPT-Red/GPT-5.5 Codex评估；新型攻击类别，无特定产品CVE）
缓解措施
将所有检索到的文档、工具输出、电子邮件和代理摘要视为不可信上下文；隔离出口/下沉点；应用与容器蠕虫相同的控制措施。主要来源：https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/ （2026-09-25披露）