OpenAI 于 2026 年 10 月 30 日在部署安全中心发布 GPT-Rosalind-6 系统卡附录。这是一款面向生物学、药物发现和转化医学的前沿推理模型，以 GPT-Rosalind-6 Research 的形式提供给合格的科学家、研究机构、企业和政府伙伴。附录写明，它与旗舰推理模型 GPT-6 Astra 使用相同权重，此次发布没有增加训练数据，也没有做额外后训练；变化主要在使用边界和访问管控。
附录称，Rosalind 对两用生物学问题的拒答更少，以便支持正当的生物研究，但只通过可信访问提供。OpenAI 会在授权前审查申请方提出的用途、安全控制和治理做法。模型仍会拒绝生物武器化相关请求，并保留其他安全话题上的拒答。附录应与 GPT-6 Astra 系统卡一起阅读，后者描述母模型更广泛的能力与安全评测。
按 OpenAI 准备度框架，此次发布在生物与化学领域按「高」能力对待，低于「关键」门槛。网络安全沿用 GPT-6 Astra 的评估，按「关键」对待；AI 自我改进方面，母模型未达到「高」的门槛，因此 GPT-Rosalind-6 按低于「高」对待。准备度框架用于跟踪可能带来严重伤害新风险的前沿能力，并部署足以把风险压到足够低的防护。
OpenAI 用三项生命科学研究基准比较 GPT-Rosalind-6 与 GPT-Rosalind-5.5。附录说明，文中的上一代分数使用与本次相同的基准版本和题目集，因此与 GPT-Rosalind-5.5 发布时公布的数字不同。计分先对每道题内的回答取平均，再对题目等权。以下均为发布方自测，且取最高推理预算。
生物与化学部分重复了能力评测，并因权重相同，把母模型的 helpful-only 评测当作补充证据。helpful-only 用于引出安全拒答可能掩盖的能力。附录沿用 GPT-6 Astra 系统卡中的四项「高」能力评测和四项「关键」能力评测。此前为 GPT-Rosalind-5.5 报告的 hard-negative 蛋白结合与 DNA 序列设计评测已经停用。
「高」能力评测考察湿实验知识与排错；「关键」能力评测考察可能帮助专家开发高度危险新型威胁的生物设计能力。附录写明，这些结果说明的是特定能力，并不是对造成生物伤害能力的完整测试。「关键」阈值是基于专家判断的初步估计，评测改进后可能变化。拒答调整把拒答当作正确答案，用来估计安全训练可能掩盖的能力。
经拒答调整后，GPT-Rosalind-6 超过四项「高」能力评测中三项的指示性阈值，因此继续按「高」能力对待。与附录所载的 GPT-Rosalind-5.5 结果相比，观察到的分数在三项上更高，在 Biorisk knowledge 上更低。四项「关键」能力评测均未达到各自的指示性阈值，相对上一代的结果有高有低。附录还依据母模型的 helpful-only 评测，以及 GPT-6 Astra 系统卡中的外部生物能力评估。
Biorisk knowledge 与 Gryphon Scientific 合作完成，题目覆盖生物威胁制造过程的五个阶段，侧重领域外的人难以掌握的隐性知识和没有动手经验就难以回答的排错。cons@32 取每题 32 次回答的共识答案，指示性高能力阈值为 80%。发布方自测：GPT-Rosalind-6 的 cons@32 为 78.3%（GPT-Rosalind-5.5 为 79.2%），拒答率 9.4%（上一代为 1.8%），拒答调整后的 cons@32 为 85.0%。附录注明，上一代系统卡里的拒答调整分数使用了不同算法，因此本次对比省略，标为 n/a。同表中 GPT-6 Astra 的 cons@32 为 63.3%，拒答率 29.2%，拒答调整后为 90.0%。
另外三项「高」能力评测里，发布方自测的 pass@1 与拒答调整后分数相同：ProtocolQA Open-Ended 把 FutureHouse ProtocolQA 中的 108 道选择题改为开放式简答，指示性阈值 54%，GPT-Rosalind-6 为 42.0%，上一代为 36.4%。TroubleshootingBench 由相关学科博士根据本人用过的、并未公开的实验方案编写，指示性阈值 36.4%，GPT-Rosalind-6 为 59.0%（计为 491/832，9 次评测失败算作不正确），上一代为 53.3%。Multi-select Virology Troubleshooting 使用 SecureBio 完全保留的病毒学排错题，必须选对全部正确项且不选错项才得分，指示性阈值 31%，GPT-Rosalind-6 为 59.9%，上一代为 51.2%。
四项「关键」能力评测的发布方自测均低于指示性阈值：
相对 GPT-6 Astra，这款模型为高级生命科学研究增加了部署控制。访问限于获批客户：机构须证明正在开展有公共益处的正当科学研究，具备有力的治理与安全监督，并用企业级安全控制访问。
附录把安全措施概括为四部分：对经核实的高能力生命科学用途实行可信访问；在模型层面拒绝有害的生物与网络协助；用于发现滥用的监测与执法机制；以及加强安全的额外合同要求。
GPT-Rosalind-6 沿用已经应用于 GPT-Rosalind-5.5 的访问要求，包括该模型发布后引入的政策更新。此次发布不把资格扩大到此前公告之外，例如 Rosalind Academic Plan。非政府申请者还要经过企业核验和合规筛查，以确认身份真实，并降低欺诈、归属不清或其他不适合主体获得访问的风险。政府申请走单独的可信访问通路，面向从事已批准的生物安保、生物安全、公共卫生准备和生物防御用途的部分政府机构。
获批企业客户须把访问限制在有正当需要的授权用户，实行最小权限、相应的入职流程和内部风险控制。客户必须在模型输出用于实验、发表或重大决定之前，由合格人员审核。客户还须维持与更高能力生命科学模型相称的身份与访问管理，并在用户不再有正当需要时移除访问。模型访问和数据保留安排另行审批。
网络方面，GPT-Rosalind-6 保留 GPT-6 Astra 的标准网络安全防护，包括实时拦截，并额外采用更保守的网络拒答边界。模型应继续拒绝明显有助于未经授权、破坏性或有害网络活动的请求，附录举例包括恶意软件部署、凭证窃取、数据外传或其他恶意活动。发布方把 9 次已知网络越狱攻击回放到 10 个固定的 ExploitBench 任务上做稳健性测试，并关闭实时拦截，因此表中成功率只反映模型层面行为。排除以错误或超出轮次上限结束的尝试后，7 次攻击的平均任务成功率为 14.3%，GPT-6 Astra 为 15.7%。另有 2 次攻击因全部尝试出错或超限而未计入。
生物内容方面，模型被设计得比一般可获得的 ChatGPT 模型更适用于正当的高级生物研究，包括 GPT-6 Astra 在一般访问中可能拒绝的部分两用题目；同时仍会拒绝或安全回应那些会继续实质帮助严重生物武器化的请求。这类训练与分类器和离线缓解分开进行，以免防护措施彼此相关。附录称，因为这是可信访问部署，生物安全基准里主要参考 Biosecurity - Severe：发布方自测 GPT-Rosalind-6 为 98.1%，GPT-Rosalind-5.5 为 88.6%，GPT-6 Astra 为 99.8%。这些基准和评分仍在更新，不能直接对照以往系统卡。未通过安全评分只表示回答被该标准标记，附录写明这并不必然等于明确不安全。
执法上，OpenAI 可以因滥用限制或撤销访问，并维持监测、复核与执法流程，以识别可能违反使用政策的恶意生物、化学或其他活动，以及未经授权的访问。信号包括自动安全分类器、账户或机构层面指标、客户提供的信息，以及在可用时对潜在高风险活动的专家复核。上线前，共享的监测与执法流程已在 GPT-Rosalind-5.5 上做过生物安全红队测试；GPT-Rosalind-6 部署后，这项测试正在重复。附录称具体细节不公开，因为其中包含防护措施的具体信息，但已与安全咨询小组委员会及其他相关治理机构分享。附录还写道，OpenAI 预期会从真实使用中继续学习，并可能随部署演变更新防护。
