GPT Image 2.5

GPT Image 2.5 是 OpenAI 于 2026 年 9 月 8 日发布的图像生成与编辑模型代际。消费端在 ChatGPT 中以 ChatGPT Images 2.5 的名义向所有 ChatGPT、ChatGPT Work 和 Codex 用户推送（桌面 / 移动 / Web 全端）；开发者端在 API 中提供两个模型：gpt-image-2.5-flare（小模型，速度优先）与 gpt-image-2.5-sunburst（基础模型，质量优先）。OpenAI 官方口径的背景是：用户每周在 ChatGPT 中创建超过 30 亿张图像。

产品侧（ChatGPT Images 2.5）

公告列出四项核心改进：

• 更快的生成速度，保持创作流不中断；
• 更高的保真度（fidelity），图像更自然、主体更可辨认；
• 多次编辑间的细节一致性——跨多轮编辑保持想要保留的细节；
• 评论式编辑（comment-based edits）：只改动想改的部分。

同时引入两个新交互：Sketch——在 ChatGPT 中输入 @ Sketch 直接手绘草图，把“画出来比描述更容易”的空间意图交给模型；Templates——提供海报、周边（merch）等常见图像格式的模板，用户填入自己的文案、设计元素与风格。

API 侧：Flare 与 Sunburst

两个模型定位互补，官方迁移指南按"质量需求是否已被上一代满足"来选择起点：

flowchart TB
    A[现有 GPT Image 2 工作流] -->|"质量已达标"| B["先测 Flare
（质量持平 GPT Image 2，换取更低延迟）"]
    A -->|"复杂用例质量不达标"| C["先测 Sunburst
（质量高于 GPT Image 2，生成更慢）"]
    B --> D{质量是否可接受?}
    C --> D
    D -->|是| E["再用相同 prompt 测 Flare，能省延迟则切换"]
    D -->|否| F[留在 Sunburst 或继续调 quality]

关键 API 参数：

自定义分辨率约束：单边 ≤ 3,840 px、两边均为 16 的倍数、长短边比 ≤ 3:1、总像素在 655,360–8,294,400 之间；总像素超过 3,686,400（即大于 2560x1440）的输出为实验性。官方提醒同一 quality 标签在两个模型间不代表相同的画质或响应时间，必须在自己的 workload 上实测。

编辑纪律（prompting guide 要点）

官方 prompting guide 给出的方法论比模型本身更值得沉淀：

• 区分变更与约束：编辑时明确"只改 X"，并逐一列出要保留的内容（身份、几何、布局、光照、标签、饱和度、相机角度等），以及不要出现的东西（多余文字、logo、水印）；
• 精确文字放引号里：要求出现的文案逐字引用、说明位置和排版，生僻词可逐字母拼出，并要求"不要额外文字"；
• 给参考图分配角色：按编号标明每张输入图是主体、风格、服装还是背景，以及它们如何组合；
• 迭代式编辑：把上一次输出作为下一次输入，每次只改一件事，重复关键约束；
• 诚实的边界声明：反复编辑仍可能漂移要保留的细节——需要重新陈述约束并逐张检查；必须像素级不变的区域不要依赖 prompt，应在模型外做合成（composite）。相机参数只是外观暗示，不是物理仿真保证。

部署安全报告（deploymentsafety）

OpenAI 在部署安全站点同步发布了完整的部署安全分析，包括图像专用的 Preparedness Framework（预备框架）分级评估——即对图像生成这一模态单独做能力评估，而不是只按语言模型口径评估。

新增安全挑战

相比 ChatGPT Images 2.0，2.5 的写实度（realism）进一步提升——若无防护，会产出更有说服力的 deepfake：真实人物、地点、事件的政治、色情或其他敏感图像。此类图像违反使用政策，防护在提示（文本）层和图像层同时部署。

多层安全栈

GPT-Image-2.5-Sunburst 的图像安全防护是分层的流水线：

flowchart LR
    A[用户请求
文本 + 参考图] --> B{"Upstream Refusals
LLM 政策检查"}
    B -->|"违反政策"| X[拒绝]
    B -->|"通过"| C{"安全推理模型 monitor
输入侧检查"}
    C -->|"违规输入"| X
    C -->|"通过"| D[图像生成模型]
    D --> E{"安全推理模型 monitor
输出侧检查"}
    E -->|"违规输出"| X
    E -->|"通过"| F[展示给用户]

• Upstream Refusals：请求进入图像生成模型之前，先用基于 LLM 的政策检查判断是否违反政策，违规直接拒绝；
• Downstream Blocking：请求到达图像生成系统后，由一个安全推理模型（safety reasoning model，针对 prompt 意图与内容政策训练的多模态模型）作为 monitor 双向把关——输入侧检查所有送入生成工具的文本与图像输入（含恶意编辑检测，即输入图与 prompt 的组合分析），输出侧在图像展示给用户前做最终检查。

图像与文本安全分类器自初代 GPT-4o 图像生成上线起就是安全栈的一部分，近期改进包括：持续用新数据训练分类器、政策与整体安全栈；评估方法从"原始分类目匹配"转向更贴近生产实际结果的评估（按危害在生产中如何显现来评估真实有害输出风险）；扩大线上/线下监控与执法覆盖，并针对未成年人相关高风险类别运行多套评估栈。

安全评估数据

用专门设计的对抗性 prompt 测端到端安全系统（这些 prompt 不代表生产流量中的出现频率）。三个结果指标：Safe Generated（对抗 prompt 产出了安全图像）、Unsafe Blocked（被 moderation 栈拦截）、Unsafe Presented（漏出）。总体结果：

逐类别的漏出率（Unsafe Presented）对比更能看出防护变化：

官方结论：2.5 系列整体与 2.0 持平或更好；个别类别的小幅回退（如 Wrongdoing 2.86% vs 2.45%）不具统计显著性。显著性用双侧精确 McNemar 检验（p < 0.05，未做多比较校正）；没有任何"漏出"差异达到该阈值。局限：自动政策标注可能出错、各类别样本量差异影响统计精度、结论只适用于固定对抗测试集与被评估的模型/防护配置。

Preparedness：图像模态的 bio/cyber 评估

图像模型无法以可执行代码的方式支撑 AI 自我改进，因此不评估该类别。对 Cyber 与 Bio 类别，OpenAI 把现有语言模型能力评估适配到图像模态：要求模型生成一张同时包含可见推理草稿（scratchpad）和最终答案的图像，只对图中渲染出的最终答案按原评测标准打分——用图像模态本身去考同样的 cyber/bio 能力题。结论是两个模型均未跨过 Bio High 或 Cyber High 阈值。

尽管如此，OpenAI 沿用 2.0 起的预防性做法，按生物风险域 High 能力对待并配置防护：把现有生物风险安全政策做图像专用适配，用安全推理模型对 2.5 的全部输入与输出执行该政策；Live Blocking 覆盖图像输入（编辑）与输出两侧，检出违规即中止生成，其安全 monitor 的召回/精确率与文本侧生物风险缓解系统相当；离线会话审查则把图像安全推理信号并入滥用检测信号，对持续滥用模式可封停账号。

图像溯源

延续对 Content Provenance（内容溯源）的投入：继续承诺 C2PA 元数据标准（加入 C2PA Conformance Program），并叠加 Google DeepMind 的 SynthID 不可见水印作为多层次的兜底信号——通过 ChatGPT、Codex 和 OpenAI API 三个通道启用。官方立场是无单一溯源方案，需跨行业与公民社会协作建设溯源生态。

社区观察（未完全官方确认）

发布初期社区注意到：API 计费口径为与 gpt-image-2 相同的 token 定价，但两个新模型的实际输入/输出 token 消耗官方文档未完整披露；模型页最初未提供 batch 支持与分层速率限额。此类细节以官方后续文档为准。