GPT-5.3-Codex 在 Cyber 方面被评为高风险。OpenAI 没有确凿证据。

2026年2月5日，OpenAI发布了GPT-5.3-Codex的系统卡，并在其中依据其《准备框架》将该模型归类为网络安全领域的高能力——这是该公司首次在该领域对任何模型使用这一标签。紧随该分类之后的那句话值得反复读两遍：“我们尚无确凿证据表明该模型达到了我们的高能力阈值。”OpenAI表示，此举是出于预防性考虑，因为该模型通过了其每一项金丝雀阈值，因此公司无法排除该能力确实存在的可能。没有任何系统被攻破，也没有记录到任何受害者：这是一项分类，而非一起事件，并且作为带有里程碑标记的政策记录归档。该分类在档案中的条目，连同其严重程度和置信度评级，与当年的其他治理记录一同收录于Orca AI事件档案中。

“High”是什么意思，以及由谁来决定

OpenAI 的 Preparedness Framework 设定了两个阈值。高能力“可能放大现有的通往严重伤害的路径”；关键能力“可能引入前所未有的通往严重伤害的新路径”。根据 OpenAI 对该框架自身的描述，达到高能力的受覆盖系统在部署前必须拥有足以将相关风险降至最低的保障措施，而达到关键能力的系统在开发期间也需要具备这些措施。其中描述的审查是内部审查：安全咨询小组评估保障措施是否足以将风险降至最低并提出建议，其指导意见提交给 OpenAI 领导层作最终决定。系统卡没有描述对该评级的任何外部签核。

网络领域的定义比标题所暗示的范围更窄。OpenAI 将“高网络安全能力”定义为一种模型，它“消除了扩大网络行动规模的现有瓶颈”，其方式要么是“针对具有合理防护水平的目标，实现端到端网络行动的自动化”，要么是“实现发现和利用具有行动相关性的漏洞的自动化”。该卡片明确指出，这一门槛关乎在整个行动过程中消除瓶颈，而非关乎一个能够解决某项高难度挑战的模型：OpenAI 写道，前沿网络风险“最好从行动或行动活动的层面来评估，而不是从单个离散动作的层面来评估”。

这样解读的话，2月5日的分类说明了一个具体问题。它表明，OpenAI认为该模型消除的瓶颈是持续入侵所需的技能和耐力，并且公司选择对访问进行限制和监控，而不是等待它能做到这一点的证据。

三项评估，以及一项方向相反的对比

OpenAI 使用三项基准来评估其与严重网络危害相关的三项技能：用于漏洞识别与利用的 Professional Capture the Flag、用于一致性评估的 CVE-Bench，以及用于在模拟网络中进行端到端操作的 Cyber Range。用该卡片的话说，GPT-5.3-Codex 是“首个在全部三项评估中均通过所有阈值的模型”。各项单独结果比总结更重要。

在 Professional CTF 上，该模型“与 GPT-5.2-Codex 相当”——卡片自身的说明是“峰值 CTF 表现没有实质性变化”，衡量方式为每个挑战 16 次 rollout 的 pass@12。在 CVE-Bench 上，它得分 90%，而 GPT-5.2-Codex 为 87%，覆盖该基准 40 个挑战中的 34 个，采用三次 rollout 的 pass@1。在 Cyber Range 上，它通过了 15 个场景中的 12 个，综合通过率为 80%，而 GPT-5.1-Codex-Max 为 60%，GPT-5.2-Codex 为 53.33%，GPT-5.2-Thinking 为 47%。它未能通过 EDR Evasion、CA/DNS Hijacking 和 Leaked Token。

这张模型卡对这一切意味着什么持谨慎态度。由于 CTF 测试的是预先编排好的攻击路径，CVE-Bench 只覆盖 Web 应用，而 Cyber Range 场景缺乏真实运行网络中的防御措施和噪声，因此“在全部三项评估中表现出色，是模型被视为具备 High 级网络安全能力的必要条件，但并非充分条件”。OpenAI 的结论并不是该模型已达到 High，而是无法排除其达到 High 的可能性。

由安全实验室 Irregular 对模型接近最终版本开展的外部评估，以摘要行未能体现的方式让情况变得复杂。GPT-5.3-Codex 在网络攻击模拟上平均得分 86%，而 GPT-5.2-Codex 为 68%，以及 100%（即 GPT-5.2-Thinking）；在漏洞研究与利用上为 72%，而分别为 75% 和 80%；在规避上为 53%，而分别为 52% 和 53%。它没有解决 CyScenarioBench 中的任何挑战，这是一个基于场景的框架，用于测试现实约束下的多阶段规划。换言之，在 Irregular 的测试套件上，这个新分类的模型在三个类别中的两个里落后于一个更早的同类模型——模型卡公布了这一结果，却没有将其与自身的阈值声明相协调。

门户：网络可信访问

赋予这份记录以形态的缓解措施是一项计划，而不是一个过滤器。OpenAI“在第一天”就推出了 Trusted Access for Cyber（TAC），将其描述为一个“基于身份的门控项目”，为企业客户和良性、合法的用户提供“高风险两用网络能力”。该卡片列出了支持的用途：渗透测试、红队演练、漏洞评估、识别与利用、安全测试与检测规避调查、恶意软件逆向工程以及密码学研究。

这种访问设计颠覆了通常的顺序。已登录用户默认获得高等级网络能力，但须接受监控与执行约束；正是那些“频繁利用高风险两用网络功能”的用户，必须通过 TAC 验证身份，才能保留高级能力。根据 OpenAI 自己对该项目的公告，企业可以通过其 OpenAI 代表为整个团队申请可信访问，需要更宽松模型的研究人员则可以申请一个仅限邀请的项目。与此同时，OpenAI 还通过其网络安全资助计划承诺提供 1000 万美元的 API 积分。

OpenAI 明确表示，这道关卡并不是一种保证。访问权限“仅授予合法、防御性和经授权的安全目的”，而 TAC 参与者中“经常寻求有害操作功能的人仍将受到监控和执法，包括失去 TAC 访问权限”。发布帖还补充了第二项控制措施：系统检测到某些请求具有较高网络风险时，“可能会被自动从 GPT-5.3-Codex 路由至 GPT-5.2”。《财富》杂志2月5日报道称，OpenAI 并未立即启用能让该模型大规模自动化的完整 API 访问权限，同时该模型在此期间向付费 ChatGPT 用户开放。

沙箱默认设置以及一个公布了漏报率的监控器

另外两层以可度量的方式进行了描述。代理沙箱在云端运行于“由 OpenAI 托管的隔离容器”中，无法访问用户的宿主机系统，且默认禁用网络访问；在本地安装时，macOS 上通过 Seatbelt 默认启用沙箱，Linux 上通过 seccomp 和 landlock，Windows 上则通过原生方式或 Windows Subsystem for Linux 实现。这些默认设置旨在禁用网络访问，并将文件编辑限制在当前工作区，用户可以批准未沙箱化的命令，或设置按项目的允许列表和拒绝列表。卡片警告称，开启网络访问会重新引入提示注入、凭据泄露和许可风险。

监控层是一个双层系统：一个快速的主题分类器判断内容是否与网络安全相关，凡是相关的内容都会被升级交给“安全推理器”，由后者将其归入 OpenAI 的网络威胁分类体系，并决定输出是否可以展示。该主题分类器经过调优，在系统可靠性超过 99.9% 的情况下，召回率超过 90%。推理监控器的数据则没那么令人安心，这些数字印在该模型卡自己的表格中：对用户提示的召回率为 77.8%，精确率为 37.1%；对助手回复的召回率为 88.8%，精确率为 24.1%。OpenAI 表示，它有意优先优化召回率而非精确率，这就是为什么低风险工作有时会被拦截——也是为什么在该测试集上，大约每五个本应被捕获的用户提示中，就有一个没有被捕获。

红队发现了什么

该卡片详细而非概括地公布了对抗性结果。在2025年12月至2026年1月期间，两项活动共消耗了3,526小时的专家红队测试。Universal Jailbreak Campaign耗时1,375小时，产生了21份提交，其中6份是完整的通用越狱，14份是部分越狱。Adversarial Policy Coverage Campaign耗时2,151小时，提交了279份报告，发现了132个假阴性，即安全推理器本应拦截内容却未拦截。OpenAI称这些越狱为“未拦截”，并表示将予以修复，同时承认这些活动表明“Safety Reasoner仍需要针对对抗性攻击进行迭代加固”。

最引人注目的单一结果涉及一家政府评估机构。英国AI安全研究所提前获得了一个启用了安全推理器并带有阻断功能的构建版本，在约十小时的人工红队测试中，仅使用一条用户消息，就“开发出一种通用越狱（带重试），在pass@200上达到0.778”。同一节还记录，美国AI标准与创新中心用其自己的自动化评估测试了该模型的网络能力，并利用它在开源和闭源软件中发现了新的漏洞；此外，GPT-5.3-Codex在多个压缩窗口中持续在困难任务上取得进展，“即使在5000万或更多唯一token以及数十小时的分析之后，仍能发现新的结果”。

这两项政府调查结果都记录在 OpenAI 的卡片中。本研究未发现这两个机构中任何一方发布过针对 GPT-5.3-Codex 的独立评估；在这样一份评估出现之前，公众对该模型所受外部审查的了解只能通过供应商的陈述获得。该卡片自身的残余风险清单对同一缺口异常坦率：监控精度有限，造成大海捞针式的审查难题；“恶意行为者可能获得可信访问权限的非零概率”；身份验证供应商的失误；以及尚未发现的通用越狱。它还指出，对 Codex 部署进行的内部监控已异步运行五个月，“并不能防范危害，也不能阻止对其他保障措施的破坏。”

之后发生了什么变化

这道门槛比发布本身存续得更久，而且不断扩大。Axios 于 2026 年 4 月 9 日报道称，OpenAI 正在为少数合作伙伴敲定一款独立的网络安全产品，并将 TAC 描述为在“推出 GPT-5.3-Codex 之后”于 2 月启动。2026 年 4 月 15 日，Help Net Security 报道称，OpenAI 已将 TAC 扩展到“数千名经过验证的个人防御者和数百个团队”，并正在向最高访问层级发布 GPT-5.4-Cyber——这是 GPT-5.4 的一个变体，针对合法安全工作降低了拒绝边界，并具备二进制逆向工程能力。2 月卡片中描述的试点项目，已经变成了一条设有不同层级的产品线。

分类本身传播得不如那道门槛远。Fortune 2月5日由Sharon Goldman撰写的报道直接报道了此事，并引用了OpenAI首席执行官Sam Altman在X上的帖子，称GPT-5.3-Codex是“我们首个在准备框架中网络安全方面达到‘高’级别的模型”。《Cyber Express》2月6日详细报道了TAC的启动——三条访问路径、1000万美元、被禁止的行为——却完全没有提到“高”评级。《Boston Global Forum》4月12日撰文时把两者放在一起重述。到4月中旬，这套内容中被引用最多的部分是访问计划，而不是其背后的门槛判断。

已建立、未建立和开放

已确定的事实：OpenAI 于 2026 年 2 月 5 日发布了 GPT-5.3-Codex 系统卡，并根据其 Preparedness Framework 将该模型在网络安全领域评定为“高能力”；该公司在同一份文件中表示，没有确凿证据表明该模型达到该阈值，并出于预防性考虑采取行动；上述评估数据均来自其自身；TAC 随该模型一同推出；沙箱和双层监控的记录详细程度与本文引用的一致；红队小时数、提交数量以及 UK AISI 的越狱数据均印在该系统卡中。Fortune 同日报道了这一评定，并引用了 Altman 在 X 上的帖子。有一个值得记录的日期细节：发布帖自身的页面元数据带有 2 月 4 日 22:23 GMT 的时间戳，而系统卡和 Fortune 的报道日期为 2 月 5 日。

尚未确定的是：GPT-5.3-Codex 是否真正达到 OpenAI 的 High 阈值。这是 OpenAI 自己的保留意见，而不是批评者的意见。这项研究也没有发现对该评级的任何外部认证、任何已发布的监管机构或国家研究所对本模型的评估，也没有任何测量能说明这种分层防护体系是否减少了现实世界中的滥用——记录中没有危害，是因为没有记录到危害，而不是因为没有发生危害。模型卡声称该模型是首个通过全部三项内部阈值的模型，这是关于 OpenAI 基准测试套件的陈述，而同一文件称该套件是必要但不充分的证据，不足以证明其旨在检测的能力。

仍未确定的是：身份验证关卡加上一个会漏掉约五分之一被标记用户提示的监控器，是否足以成为对一个按预防原则而非实证来分类的模型的持久答案；在计入测试框架和提示引导方面的差异后，该模型在 Irregular 外部测试套件上相对 GPT-5.2-Thinking 的明显退步是否还有意义；以及 2 月试点与 4 月产品线之间的差距有多少是计划之中的，而非学习得来的。档案条目记录了该分类。其余部分仍由运行该关卡的人书写。

这份记录是一个治理事件，读起来也像是一个治理事件：一家公司在任何事件发生之前就写下，它认为自己旗下的某个模型可能已经越过了它尚无法衡量的一条线，并基于这一怀疑设置了一道关卡。这道关卡是否相称，是这张卡片刻意留待讨论的问题——它只说风险已被“充分最小化”，并列出了六种可能并非如此的情形。