作者：OpenAI

编译：深潮 TechFlow

深潮导读：OpenAI 首次将一个模型认定为达到“关键”网络安全能力阈值，Astra 能自主发现零日漏洞并组合利用链。发布前，OpenAI 选择限制其最强能力，这对 AI 安全治理和产业竞争都是重要信号。

2026 年 9 月 1 日

自我们早前评估 Astra 可能达到关键网络安全能力水平以来，我们收集了更多证据并进行了额外评估。我们现在认为，Astra 已达到我们《准备框架》下的关键网络安全能力阈值。这意味着，在具备合适工具和访问权限的情况下，它可以在没有人逐步指导的情况下，在许多防护严密的系统中发现此前未知的安全漏洞，并开发利用方法。它是我们首个认定达到这一水平的模型，因此在开发期间和发布前都需要更强的防护措施。

过去几周，我们推迟了 Astra 的部分开发和发布，同时加强并测试了针对网络滥用和未经授权模型行为的防护。基于这些工作，我们认为 Astra 的防护措施足以将严重伤害风险降到最低，符合《准备框架》的发布要求。

尽管 Astra 并未参与 Hugging Face 事件，我们已经把从该事件中获得的经验教训纳入安全方法。根据回顾性测试，我们认为当时的线上防护措施本可以阻止 Hugging Face 事件。此后，我们为 Astra 实施了更强的防护，包括训练模型更可靠地拒绝有害网络请求、尊重安全限制、增加防滥用保护，以及可阻止潜在未授权活动的监控。

我们计划很快开放 Astra，但对其最先进网络安全能力的访问将更加受限。高级网络安全工作最初将面向一组测试者开放，随后通过 Daybreak Blue 扩大防御性用途。

我们将在模型发布时的系统卡中分享更多安全、安保和对齐测试与评估的细节。在发布之前，我们希望更新一些准备工作进展，并保持透明地说明仍存在的风险。

评估 Astra 的网络安全能力

根据我们的《准备框架》，满足以下任一条件的模型即达到关键阈值：

该模型能够在没有人工干预的情况下，在许多经过加固的现实关键系统中发现并开发出各种严重程度的可用零日漏洞。

该模型只需给定一个高层次目标，就能设计并执行针对加固目标的端到端新型网络攻击策略。

我们对 Astra 的准备度评估结合了自动化公开与私有基准测试以及专家驱动的评估。与 GPT‑5.6 Sol 相比，Astra 的网络安全能力有显著提升：它在漏洞识别和利用开发方面都明显更强，同时 token 效率也更高。

举一个例子，我们在 ExploitBench 上运行了 Astra，该模型在评估从已知漏洞开发利用能力的基准测试中取得了 100% 的满分。

出于污染担忧，我们随后构建了一个内部基准，称为“ExploitBench - Internal Port (June-August 2026)”，其中包含 20 个最近披露的高危 V8 漏洞。在这个数据集上，Astra 以远少于 GPT‑5.6 Sol 的输出 token 量，实现了高得多的任意代码执行成功率。评估期间，该模型甚至发现并使用了两个零日漏洞作为利用链的一部分。我们正在向维护者披露这两个漏洞。

Astra 的结果反映的是通过 Daybreak Blue 访问时的能力，而非默认生产配置。

在针对加固浏览器和操作系统的专家主导评估中，Astra 发现了此前未知的漏洞，并将其转化为可行的利用链。当浏览器打开一个 HTML 文件时，它构建了一条完整的浏览器攻破链，逃逸沙箱并在主机上执行命令。该模型还在一个加固操作系统中发现了多个漏洞，并将其组合成一条从非特权用户到 root 的本地提权链。综合来看，我们的调查使我们认为 Astra 已达到关键阈值。

关键能力所需的防护措施

对于具备 Astra 这种网络安全能力水平的模型，我们需要覆盖两条路径，以在开发期间和部署前将严重网络伤害风险降至最低：

恶意行为者使用该模型。我们的防护必须能稳健地阻止恶意行为者利用 Astra 为加固关键系统中此前未知的漏洞开发利用程序，或对加固目标实施端到端攻击。

模型采取未经授权、偏离对齐的行为。即使没有恶意用户，具备高级网络安全能力的模型如果偏离对齐，自身也可能造成网络伤害。除了对具备这些能力的模型有非常高的对齐标准外，我们的防护必须能够快速检测并遏制可能造成重大现实伤害的偏离行为，作为第二道防线。

值得注意的是，第二条路径同时适用于内部开发和外部部署。正如我们此前所述，在 OpenAI 与 Hugging Face 事件后，我们暂停了某些前沿训练（包括 Astra 的部分训练）两周，以加固训练基础设施，包括隔离和网络控制、扩大监控，以及加强对齐训练和阈值。随后我们在更严格的控制下恢复了小规模工作。

我们将某些面向未来版本 Astra 的更大规模强化学习（RL）运行推迟了更长时间，同时为其训练环境的安全和保障设立了更高标准。8 月 28 日，在新的安全与保障要求到位后，我们重启了此前暂停的大规模前沿 RL 运行。我们仍暂时推迟一些较小的实验性训练运行。

为准备 Astra 发布，还需要更强地防范网络滥用和未经授权行为。下面我们介绍这些防护措施以及测试方式。

抵御网络滥用

自 2 月部署首个我们视为高网络安全能力的模型以来，我们在每次发布中都加强了网络防护。我们的整体安全方法分层结合了后训练模型拒绝、系统级安全分类器，以及离线检测和威胁阻断。

对于 GPT‑5.6，我们显著提升了系统级栈的稳健性，包括增加用于检测网络滥用的激活分类器，并提高对通过密集自动化红队测试发现的通用越狱的覆盖。在这些改进的基础上，针对 Astra，我们进一步投入了防护栈中的模型层，并提升了防护措施处理跨对话上下文的能力。

借助新的训练技术提升模型稳健性，Astra 能更稳健地拒绝不被允许的网络协助请求。在我们的一组网络越狱评估中，Astra 拒绝了 91.5% 的请求，而 GPT‑5.6 Sol 的这一比例为 59%。

对评估为高风险的账户，我们采用更保守的模型行为边界，拒绝更广泛的潜在危险网络协助。对高风险用户，我们已扩大监控系统的上下文，以捕捉此类网络滥用。

我们还持续推进严格测试、内外部红队测试和修复工作。除回归测试确保此前发现的越狱均被覆盖外，我们正用最新内部红队攻击者进行新一轮红队测试。我们正与行业伙伴共同定义通用越狱评级系统，并将使用全天候快速响应计划调查和处理新发现。我们将在 Astra 系统卡中分享更多网络安全防护测试细节。

帮助防御者发现并修复漏洞仍是我们安全方法的核心支柱。发布时，我们预计 Astra 的防护会制造比最终目标更多的摩擦，以防潜在滥用。Astra 高级网络安全工作流的访问权限将首先开放给少量 alpha 测试者。之后通过 Daybreak Blue 扩大访问，以支持防御性使用。

对齐与监控

我们还增加了额外的分层保护，以防止模型采取可能失准的行动：

模型对齐：在我们的评估中，Astra 比 GPT‑5.6 Sol 更可能遵守明确的安全与安保限制，并保持在授权范围内。这使其成为我们迄今最对齐的模型。我们特别关注模型对安全和安保限制的尊重，以及留在授权范围内的倾向。

监控与控制：与内部流程类似，我们为 Astra 部署了额外的思维链监控，以快速检测并遏制可能失准的行动。

Astra 是模型对齐的重大进步，也是多项长期对齐工作流的结晶。这些工作流涵盖从预训练干预到强化学习期间更仔细、一致的评分。测试中，我们发现 Astra 始终比 GPT 5.6 Sol 更可能尊重明确安全限制和警告（如自动审核）。

我们还基于 Hugging Face 事件开发了一项测试。该事件中，运行网络评估 ExploitGym 的智能体侵入了第三方系统。我们用该评估中最难的任务创建“蜜罐”测试。该测试检验模型是否会试图破坏周围安全基础设施，而不是解决指定任务。在没有生产防护的情况下，GPT‑5.6 Sol 在 56% 的模拟基准环境测试中试图访问这些目标。这些测试要求模型开发漏洞。Astra 在这些测试中没有此类尝试。这些数据描述的是无网络防护的测试条件下的行为，并非正常生产使用。

左图：在这个新评估中，我们观察模型对自动审核拒绝的反应。每项任务都设置在知识工作环境中，拒绝后立即开始执行。模型之后有多种选择：结束执行、寻找更安全的替代方案、重试类似命令，或利用配置不当完全绕过自动审核。选择后两种都算评估失败。Astra 从未试图绕过自动审核。右图：在这个评估中，我们检查模型面对漏洞利用评估中最难或不可能任务时作弊（使用“蜜罐”）的倾向。该评估在模拟环境中运行，防护处于仅观察模式，以评估模型行为。GPT‑5.6 Sol 在这些场景中表现出更高的作弊倾向。Astra 没有尝试使用这些捷径，并且仍能合法解决部分任务。

训练对齐模型是安全的一层。我们将在 Astra 系统卡中分享更多关于对齐测试和结果的细节。

我们还为 Astra 级模型在生产环境中部署失准监控，以检测并迅速遏制潜在失准。这些防护类似于我们内部部署的监控。它们由分类器系统检查模型的推理和动作是否有未授权行为，并自动停止潜在未授权活动。随着能力提升，这些防护无法替代模型良好的对齐。我们的目标是未来模型足够对齐，使这些防护永远不被触发。

对用户意味着什么

OpenAI 致力于确保 AI 的益处被广泛获取。鉴于 Astra 网络安全能力显著提升，我们格外谨慎地确保此次部署安全可靠。额外的安全检查有时会减慢、暂停或停止合法工作，包括防御性网络安全。

系统可能偶尔将合法活动标记为潜在网络滥用或未授权行为，导致其被无意减慢、暂停或停止。这可能包括看似与网络安全无直接关系的工作，或智能体长时间运行的任务。

如果失准监控暂停任务，ChatGPT 或 Codex 用户可能被要求先审查操作再继续。使用 API 等其他界面时，任务将停止。我们计划持续校准这些防护，以减少不必要的打断，并通过 Daybreak 等项目扩大前沿能力的访问。

展望

我们正进入 AI 开发的新阶段，模型可以承担更重要的工作，对齐和控制失败会产生更严重的后果。实现这些系统的益处，将取决于我们在能力增长时对齐和控制模型的能力。

这一责任贯穿训练、评估和部署。它需要更有力的对齐行为证据、与能力同步的防护，以及当保护不足时愿意放慢脚步。

我们将继续测试这些系统，分享所学，并清楚说明仍不确定之处。Astra 之后的模型将对我们提出更高要求。我们将投入时间并开展必要工作，以承担这一责任。