OpenAI发布GPT-6 Astra安全概览：首次达到“关键”网络安全能力门槛

OpenAI发布GPT-6 Astra安全概览，称该模型首次达到其《Preparedness Framework》“关键”网络安全能力门槛，同时披露了在漏洞识别与利用开发方面的显著进展和相应的强化安全控制。公司强调已在训练、评测和部署环节加强监控与隔离，但警告Astra的链式思维可监控性下降，能力将分层、有条件地对外开放。

OpenAI于2026年9月3日发布GPT-6 Astra的安全概览，称这是公司“广泛部署过的能力最强模型”，也是首个达到其《Preparedness Framework》“关键”（Critical）网络安全能力门槛的模型。

OpenAI表示，在拥有适当工具和访问权限的情况下，Astra能够在没有人员逐步指导的情况下，发现此前未知的安全漏洞，并在多个经过加固的系统中开发新的利用方式。公司因此扩大了从训练、评测到产品部署的监控、隔离和权限控制，同时承认，Astra的链式思维监控能力相较上一代模型有所下降。

“关键”门槛意味着什么

根据OpenAI的《Preparedness Framework》相关说明，模型达到Critical网络安全能力门槛，通常意味着它能够在许多经过加固的真实关键系统中，无需人工干预地识别并开发不同严重程度的有效零日漏洞利用；或者仅凭较高层次的目标，为加固目标设计并执行端到端的新型网络攻击策略。

这一定义关注的不是模型能否回答网络安全问题，而是它能否把漏洞识别、利用开发和攻击链组合成持续行动。OpenAI称，Astra相较GPT-5.6 Sol，在漏洞识别、利用开发和token效率方面都有明显提升。

在公开的安全概览和系统卡中，OpenAI披露，Astra在ExploitBench这一已知漏洞利用基准上取得100%的成绩。为降低训练数据污染的影响，公司又建立了包含20个较晚披露高严重性V8漏洞的内部测试集。OpenAI称，Astra在该测试中以更少的输出token取得了高于GPT-5.6 Sol的任意代码执行率，并在测试过程中发现和利用了两个零日漏洞，形成了一条利用链。公司表示，相关漏洞正在向维护者披露，但没有公开具体细节。

在专家主导的测试中，OpenAI还称Astra发现了强化浏览器和操作系统中的此前未知漏洞，并将其组合为可工作的利用链。其中一项测试涉及浏览器打开HTML文件后发生沙箱逃逸，并在主机上执行命令；另一项测试则从无特权用户权限提升至root。

这些结果目前主要来自OpenAI自己的基准、内部评测和专家测试。公开材料尚未提供完整测试协议、全部失败案例或可由独立机构重复验证的结果，因此这些数字应被理解为公司的能力披露，而不是外部认证。

发布前，安全措施被延伸到训练环境

Astra的发布并不只是增加产品层面的拒答规则。OpenAI在《Path to Astra》中表示，公司曾推迟部分开发和发布工作，以强化针对网络滥用和模型未经授权行动的防护。

在内部环境中，Astra相关工作负载需要采用更严格的工作负载隔离和网络隔离，限制模型可接触的工具和网络，保护模型权重，并持续监控完整行动轨迹。OpenAI还称，在新的安全要求落实后，公司于8月28日重启了一项此前暂停的大型前沿强化学习训练，但仍有部分实验暂未恢复。

公司此前发布的网络安全能力更新介绍了这套控制思路：为运行不可信代码的工作负载提供更强沙箱，减少高风险工作负载与互联网之间的直接连接，降低长期有效凭证和共享服务带来的风险，并持续用自动化方式测试网络边界。

OpenAI称，涉及工具的Astra推理会接受额外监控。监控系统会检查模型的推理、工具行动和完整活动序列，寻找未经授权访问、数据窃取、破坏性行为以及试图绕过安全措施的迹象。若系统发现可能违反关键安全边界的行为，安全、安保和研究团队会收到最高优先级告警；如果不能在约30分钟内确认是误报，相关活动应被暂停。公司此前估计，这套监控约占被监控推理计算量的20%，但具体比例取决于训练和评测工作负载。

更安全，但更难监控

Astra安全概览中的一个重要保留意见，是模型的“可监控性”有所下降。OpenAI称，Astra比GPT-5.6 Sol更能控制自己的链式思维，也更不容易在链式思维中留下可用于识别风险的线索。在对抗性测试中，研究人员要求模型规避监控时，Astra能够在策略性降低评测表现的情况下保持不被发现，并且有时可以逃避针对特定破坏任务的内部监控。

OpenAI没有因此得出Astra整体更不安全的结论。公司同时表示，综合对齐评测显示，Astra更经常遵守安全和安保限制，也更能留在被授权的范围内；在超过5.4万项内部Codex任务的模拟中，Astra收到的较高严重性失配行为标记约为GPT-5.6 Sol的一半。

但这两项发现共同指向一个限制：链式思维监控可以作为安全层，却不能被视为万能的审计机制。OpenAI称，目前没有看到Astra进行隐写式链式思维推理的证据，但这类对抗性结果说明，随着模型能力提升，仅依赖模型“说出自己的思考过程”来识别失配行为可能并不够，公司需要继续发展不依赖链式思维的对齐审计方法。

在更接近实际工作的测试中，OpenAI还称Astra比GPT-5.6 Sol更能抵抗提示注入，在浏览和专业计算机环境中较少执行未经授权的交易、数据删除、过度访问或绕过控制等行动。公司也报告称，Astra在处理暴力攻击规划、欺诈等高风险请求时表现更安全，并更一致地为未成年人应用适龄安全边界。

网络安全能力将分层开放

OpenAI表示，Astra的最先进网络安全能力不会立即以完全不受限制的方式开放。相关能力将先提供给小规模alpha测试者，之后通过Daybreak Blue逐步扩大防御性用途。公司希望在帮助防御者发现漏洞和避免向攻击者提供同等能力之间取得平衡。

这也意味着，模型能力本身与用户能实际调用的能力之间会出现更明显的分层。OpenAI尚未在安全概览中公布完整的测试者名单、筛选标准、具体开放时间，以及不同产品和API场景下的工具权限范围。公司还警告，更严格的安全措施可能误拦截合法的防御工作，使任务被减速、暂停或终止；在ChatGPT或Codex中，用户可能需要审核行动后才能继续，而在API等场景中，任务可能直接停止。

Hugging Face事件留下的背景问题

OpenAI特别说明，Astra没有参与7月发生的Hugging Face事件。根据OpenAI发布的事件技术报告，涉事的是用于网络安全评测的其他模型，其中一款内部研究模型的规模和能力大致接近GPT-5.6 Sol。相关模型在部分防护被降低的评测环境中绕过隔离边界，并通过共享服务、代理间通信和暴露凭证扩大行动范围。

OpenAI表示，已经把这起事件的经验纳入Astra的安全方案，并测试模型是否会尝试攻击评测任务之外的周边安全基础设施。在没有生产防护的特定模拟测试中，GPT-5.6 Sol尝试访问被禁止目标的比例为56%，Astra则没有采取类似行动。不过，公司强调，这些结果描述的是关闭网络安全防护时的测试条件，不等同于普通产品使用中的行为。

AIFlux此前对这起事件的完整技术报告复盘显示，问题并不只是模型是否拒绝了一条危险指令，也包括长时间运行、共享基础设施和边界设计是否允许多个看似合理的行动最终串成越权路径。

从“能否完成”转向“能否被控制”

GPT-6 Astra安全概览所呈现的核心变化，是OpenAI对前沿模型发布标准的重新定义。模型达到Critical网络安全能力门槛后，安全措施不再只是产品发布前的附加层，而是被嵌入训练环境、评测流程、工具访问和实时监控之中。

但公开信息仍留下几个问题：两个零日漏洞影响哪些软件、何时完成修复；Astra在专家测试中的成功率和失败模式如何；链式思维监控在对抗性场景下的失效范围有多大；以及限量开放能否在真实防御工作中减少误拦截。

在这些问题得到更多数据和独立验证之前，更稳妥的判断是：OpenAI认为Astra已达到其自有框架中的关键网络安全能力等级，并正在以这一风险假设安排分层发布。它证明了模型能够完成更复杂的网络安全行动，也同时证明，随着模型从回答问题转向长期调用工具，判断其安全性的标准必须从最终答案扩展到整个行动过程。