图像模型最难的，不是画得像，而是只改你指定的地方

“把背景换成蓝色，人物和构图不要动”是一个比“生成一张好看的图”更接近生产的请求。用户真正购买的不是模型重新创作的自由，而是指定的部分被改变，未指定的部分被保留，并且这次修改没有绕过安全边界。

OpenAI 在 2026 年 9 月 8 日发布 ChatGPT Images 2.5，同时公开 GPT‑Image‑2.5 System Card。API 提供两个模型：Flare 面向大多数应用，官方称其比 GPT‑Image‑2 生成质量更高、延迟低 50%；Sunburst 面向需要更强编辑控制的高端工作流，但生成时间更长。

这次发布最值得产品团队关注的，不是“更像照片”这种形容词，而是一条可以被验收的契约：编辑保真、风险阻断和内容溯源必须一起交付。

文中模型名称、发布时间、评测数字和安全架构均来自 OpenAI 官方发布与系统卡。关于编辑契约、验收表和上线策略的部分，是基于原文的产品化解读；不把厂商的宣传性描述当成独立 benchmark 结论。

先把“图像质量”拆成三个交付物#

Images 2.5 的发布说明把改进拆成了几个用户能感知的动作：参考照片中的人物、光线和纹理更容易被保留；用户只改产品、背景或一段文案时，主体、构图和品牌处理更可能维持；多轮编辑会更少出现早期修改被后续操作破坏的情况。

这三种能力对应三种不同的产品交付物：

交付物	用户任务	应该怎样验收
参考保真	用同一张人物或产品图生成不同场景	身份特征、比例、光线和关键纹理是否保持
局部编辑	只替换一个对象、背景或文字	未指定区域的像素、布局和品牌元素是否稳定
多轮一致	连续修改同一张图	第 1 轮的结果是否在第 3、4 轮仍然存在，没有质量漂移

如果只用一张“生成得好不好看”的评分表，三类问题会被混在一起。对电商、广告、演示文稿和产品原型来说，第三列比审美总分更接近真实损失：一次不该改变的商品细节，可能比一次普通的构图不佳更昂贵。

“只改一处”需要显式的保留约束#

发布说明说，Images 2.5 更擅长理解复杂视觉指令，也更能在修改一个元素时保持主体、构图和品牌处理。产品不能只把这句话放在宣传页上，而要把它改写成输入和输出都可检查的规则：

1. 用户输入要标出允许变化的区域或属性，例如“背景色”“左手的杯子”“海报上的日期”；
2. 系统保存参考图、编辑轮次和结构化指令，不能只保存最后一段自然语言；
3. 输出需要生成变更摘要：哪些区域变化、哪些区域应保持、是否出现额外对象；
4. 对商品图、人物和品牌资产，增加区域级差异检查，超出允许范围就回退或要求确认。

这不是要求模型逐像素复制原图。光照、阴影和边缘过渡本来就可能随编辑变化；关键是把“可以变化的自由度”从不可见的模型判断，变成产品可以提示、记录和拒绝的约束。

安全栈不是一次拒答#

系统卡描述的安全栈至少有四个位置：请求进入模型前的专用策略检查；对输入图片的安全分类；一个能同时理解文字和图片的安全推理模型，对输入意图、输入图和输出图做监控；以及在图片展示给用户前的最终输出阻断。对于生物风险，OpenAI 还说明会把图像安全推理模型的信号接入离线审查、在线监控和人工复核。

这套设计的产品含义是：“允许生成”与“允许展示”是两个不同的决策点。 输入可能看起来正常，但编辑后的真实人物、政治内容或敏感场景可能变得更危险；反过来，某些高风险请求在上游就应该被拒绝，不必浪费生成成本。

安全栈还必须能处理编辑特有的组合风险：文字提示单独不违规，参考图片单独也不违规，但二者组合可能要求伪造现实人物；或者一次安全的首轮编辑，在多轮修改后逐渐绕过限制。多轮会话的状态不能只服务于画面一致性，也要服务于风险判断。

评测数字要看“最终展示了什么”#

系统卡用专门设计的对抗性提示测试端到端安全系统。这些提示刻意用于生成违反政策的图片，覆盖暴力、色情、仇恨等类别，因此原文明确说，数字不代表生产流量中此类请求的出现频率。表中的三种结果也值得分开读：

• Safe Generation：对抗提示最终生成了安全图像；
• Unsafe Generation Blocked：被审核栈拦截，没有图片展示；
• Unsafe Generation Presented：没有被拦截、最终展示了违规图片，这是最直接的漏检结果。

总体结果如下，比较对象是同一张系统卡中列出的 ChatGPT Images 2.0 基线：

模型	安全生成	违规生成被拦截	违规生成被展示
GPT‑Image‑2.5 Sunburst	77.0%*	21.9%*	1.09%
GPT‑Image‑2.5 Flare	79.4%*	19.2%*	1.41%
ChatGPT Images 2.0	75.2%	23.1%	1.64%

星号表示相对 Images 2.0 的同一结果列达到未经多重比较校正的双侧精确 McNemar 检验 p < 0.05；系统卡同时说明，违规生成被展示这一列没有任何差异达到该显著性标准。也就是说，不能因为前两列有星号，就说 2.5 已经在所有安全维度上显著优于 2.0。

按政策类别看，结果也并不单向：例如在 Sexual 类别，Sunburst 的违规展示为 0.52%，Flare 为 1.04%，基线为 2.07%；在 Nonviolent & Violent Wrongdoing 类别，Sunburst 为 2.86%、Flare 为 3.27%，基线为 2.45%。这正是产品不能做“总体平均分排行榜”的原因：不同政策的风险形态和漏检成本不同。

这是固定对抗集上的系统比较，不是线上事故率#

系统卡给出了一个可比较的表，但没有公开总提示数、每类样本量、完整提示模板或推理预算。它还提醒，自动政策标签可能出错，不同类别的样本量会影响统计精度，结果只适用于被测的固定对抗集、模型和安全配置。

因此，这张表能说明的是：在 OpenAI 这套端到端评测设置里，2.5 两个变体与 Images 2.0 的安全栈产生了上述结果；它不能说明线上违规图片的真实发生率，也不能证明 Flare 和 Sunburst 在所有场景都更安全。产品自己的评测至少要补上真实编辑链路、连续多轮、参考图片组合和人工复核，并把模型、策略版本与阈值一起记录。

Preparedness 评测为何要“让图像回答问题”#

图像模型不一定像文本模型那样直接输出代码或长答案，所以系统卡对 Bio 和 Cyber 能力做了模态适配：要求模型生成一张同时包含可见推理草稿和最终答案的图片，再只评估图片中渲染出来的最终答案。结果是，Sunburst 和 Flare 都没有跨过 Bio High 或 Cyber High 阈值。

这不等于“图像模型没有相关风险”。OpenAI 仍采取预防性策略，把 2.5 按生物风险 High 能力对待，并对所有输入和输出应用图像版生物安全政策。系统卡还说明，图像模型不具备能够执行代码、从而形成 AI Self-Improvement 风险的证据。

对产品经理来说，这里有一个重要提醒：风险评测必须贴合模型的原生输出通道，但风险缓解不应因为某个模态分数低就撤掉。 低能力证据和高强度防护可以同时存在。

溯源不是发布后的附加功能#

Images 2.5 继续使用 C2PA 元数据，并在 ChatGPT、Codex 和 OpenAI API 中引入 Google DeepMind 的 SynthID 隐形水印。系统卡明确承认，没有单一方案可以解决内容溯源问题，因此采用多层组合。

这对内容产品意味着，溯源信息应该在生成时写入，而不是用户下载或投诉后再补：

• 保存来源图、模型变体、编辑轮次和提示版本；
• 让 C2PA 等元数据随导出链路尽可能保留；
• 在产品界面显示“这是生成还是编辑”“哪些部分来自参考图”；
• 把水印和元数据当作辅助证据，不把它们当成绝对的真实性判定。

如果生成、编辑、安全阻断和分享各自维护一份不可关联的记录，出了问题就无法回答“哪一轮改了什么、哪一次检查放行”。图像工作流需要一条贯穿全链路的资产 ID。

面向产品经理的最小发布契约#

要把这次发布转化为自己的图像功能，我会先要求下面六项都能回放：

1. 变化声明：用户明确允许改变的对象、区域或属性；
2. 保留清单：人物身份、商品特征、构图和品牌元素等不可变约束；
3. 双层安全：输入意图和参考图检查一次，输出图片展示前再检查一次；
4. 多轮回归：用同一资产执行至少三轮编辑，检查早期修改是否保持；
5. 风险分桶：按政策类别和编辑类型看漏检，而不是只看一个平均值；
6. 溯源记录：资产 ID、模型变体、提示版本、检查结果和导出信息可以串起来。

先让一个窄场景（例如商品背景替换）稳定通过这份契约，再扩展到人物、广告和高风险内容。模型变强带来的第一笔产品红利，不是让用户获得无限自由，而是让“我只想改这一处”终于变成可以兑现的承诺。

这次发布能证明什么，不能证明什么#

原文能支持的判断是：ChatGPT Images 2.5 提供 Flare 与 Sunburst 两个 API 模型，改进了参考保真、局部编辑和多轮一致性；系统卡公开了包含输入检查、图像分类、安全推理模型、输出阻断、在线/离线监控和溯源工具的安全栈；在固定对抗性提示的端到端测试中，2.5 两个变体与 Images 2.0 的总体结果如上表所示；两者没有跨 Bio High 或 Cyber High 阈值，但仍按生物风险 High 采取缓解。

原文不能证明：Flare 的“50% 更低延迟”在所有硬件、分辨率和输入下都成立；高质量编辑必然保持每一个未指定像素；固定对抗集的 1.09% 或 1.41% 就是线上漏检率；或者使用 C2PA 和 SynthID 就能判断一张图片是否真实。系统卡没有给出完整样本量、全部提示、推理预算和生产分布，也没有提供跨厂商的同协议比较。

我的产品化结论是：图像模型的核心发布指标应该从“生成得像不像”升级为“指定变化是否生效、未指定部分是否保留、风险是否在展示前被拦截、资产是否可追溯”。这四个问题必须分别设门槛，不能用一张审美评分表互相抵消。

来源与边界#

• 模型发布来源：OpenAI，Introducing ChatGPT Images 2.5，发布于 2026 年 9 月 8 日，机构作者为 OpenAI。文中介绍 ChatGPT Images 2.5 的参考保真、局部编辑、多轮一致性、Sketch、模板、API 模型与安全/溯源概览。
• 系统卡来源：OpenAI Deployment Safety Hub，ChatGPT Images 2.5 System Card，发布于 2026 年 9 月 8 日。研究对象为 GPT‑Image‑2.5-Sunburst、GPT‑Image‑2.5-Flare 及 ChatGPT Images 2.0 安全栈，覆盖训练数据、安全挑战、端到端政策评测、Preparedness 适配和图像溯源。
• 评测设置与关键数字：对抗性提示被刻意设计为生成违规图片，结果分为安全生成、违规生成被拦截和违规生成被展示；总体为 Sunburst 77.0% / 21.9% / 1.09%，Flare 79.4% / 19.2% / 1.41%，Images 2.0 为 75.2% / 23.1% / 1.64%。星号表示未经多重比较校正的双侧精确 McNemar 检验 p < 0.05；违规生成被展示的差异没有达到该显著性标准。
• 结果边界：系统卡明确说明提示是固定的高难度对抗集，不代表生产请求分布；自动政策标签可能有误，不同类别样本量影响统计精度；结果只适用于被测模型与安全配置。原文未提供完整总提示数、每类样本量、全部提示模板和推理预算，因此本文不做跨系统或跨厂商排名。
• 本文产品化解读：变化声明、保留清单、双层安全、多轮回归、风险分桶和贯穿资产 ID 的溯源记录，是基于上述来源提出的产品设计建议，不是 OpenAI 已公开的商业产品规范。