OpenAI 无法排除 Astra 具备关键网络能力，且仅暂停了部分工作

周五2026年8月7日，OpenAI 发布了一篇帖子，称其针对 Astra（该公司即将推出的模型之一）的最新一轮内部评估显示，"在智能体编码和网络安全方面取得了显著进展"，并且无法排除该模型会达到 Critical—— 即其《Preparedness Framework》中的最高网络风险等级。帖子称，这一结论是在"昨晚"历经数天测试后得出的。没有任何对象受到损害：帖子描述的是评估，而非入侵，并且 OpenAI 表示 Astra"并未参与利用 Hugging Face"。真正发生变化的是内部层面 —— 未能满足强化后安全管控要求的开发工作被暂停，而符合要求的开发工作则继续推进。受影响最直接的是 OpenAI 的开发者，以及最终将获得访问权限的测试人员与防御人员。这一决定的记录是 AI 事件档案中的一条条目，该档案载有本次事件的来源、评级以及相邻条目。

对于一次治理事件而言，引人注目的是这篇帖文所主张的内容少之又少。它没有报告分数、测试结果、对话记录，也没有点名任何外部评估者。它报告的是一项判断：根据现有证据，OpenAI 无法排除一种它此前从未赋予自身任何模型的能力等级。这使得这份记录值得同时从两个层面来阅读——它既是对一款模型的披露，也是对一家公司自身的安全框架是否会改变其行为的一次检验。

在 OpenAI 的框架中，“Critical”意味着什么

这份Preparedness Framework最初于2023年12月发布，并于2025年4月15日在第2版中修订，追踪三类：生物与化学能力、网络安全以及AI自我改进。每类都有两个能力层级：High 和 Critical。网络领域的阈值在框架和OpenAI八月帖子中的措辞几乎完全相同：如果模型能够“在无需人工干预的情况下，在许多加固的现实世界关键系统中识别并开发出所有严重等级的可利用零日漏洞”，或者能够“仅给定一个高层次预期目标，就设计并执行针对加固目标的端到端新型网络攻击策略”，则该模型达到 Critical。

High 是低一档的级别。OpenAI 的文章称，此前的模型“包括 GPT-5.6 Sol”接受了前沿网络能力评估，并被评定为 High 而非 Critical。这一区分很重要，因为该框架对每个级别赋予不同的义务。对于达到 Critical 的模型，框架要求采取保障措施，“在开发期间充分降低相关风险，无论部署计划如何”。其网络能力表更直白：“在我们制定出符合 Critical 标准的保障措施和安全控制标准之前，停止进一步开发。”

8月7日的措辞并不是一项认定。该帖子称，其“初步评估表明性能足够强劲，因此目前不能排除关键能力级别”。该公司当时仍在进行基准测试，并且也明确表示了这一点。

OpenAI 做了什么，以及这次暂停涵盖了哪些内容

这篇文章列出了五项内部措施，这些措施都被设定为继续开展工作的条件，而非停止工作的理由：

• {{1}}对能力更强的模型及相关活动实施更严格的安全控制：“隔离测试环境、受限的网络和工具访问、增强的模型权重保护与加密、额外的监控和检测能力，以及沙箱化执行。”{{/1}}

• 暂停“涉及 Astra 且尚未满足这些强化安全控制要求的内部活动”。符合这些要求的工作可以继续。

• “对 Astra 所有智能体应用中的风险行为和对齐偏差进行通用监控，包括训练和评估”，并由监控器读取模型的思维链，触发安全响应，以审查并中断高风险活动。

• 与“相关政府机构和部分 AI 安全组织”进行测试。

• 针对执行较高风险评估和工作负载的第三方测试合作伙伴，建议采取的安全控制措施。

OpenAI 自己描述了这一先例。帖子称，“2025年6月，随着我们的模型在 Preparedness Framework 下接近生物学的高能力阈值”，该公司概述了加强保障措施、扩大测试、与外部专家合作以及增加安全控制的步骤，并表示“在这里应用同样的原则”。值得保留的细节是层级：OpenAI 自己的说明将 2025 年 6 月的生物学案例列为高，比它现在披露的网络评估低一级。

媒体当下的解读是，某家实验室踩下了刹车。The Next Web于 8 月 7 日 17:36 UTC 发文，称其暂停了“部分内部工作”，而测试仍在继续，并报道称Axios将其称为“前沿实验室可能首次因网络风险而放缓自家某个模型的进展”。这是对该公告的合理描述。但这并不等同于“停止”，该博文也并未如此声称。

8月7日的帖子未能证明什么

“无法排除”与“已经达到”之间的差距，正是该记录不确定性的全部所在，而这篇帖子并未试图弥合它。它没有给出基准测试名称、成功率、发现的漏洞数量、受测系统的描述、文字记录、独立评估，也没有发布日期。它没有说明 Astra 正在接近的两项 Critical 条件中的哪一项，也没有说明接近到什么程度。它只是说，证据足够有力，以至于公司无法排除最高层级。

因此，截至该日期，该记录所确立的是一项披露和一项回应——而非经过测量的能力。能力判断是 OpenAI 自己的判断，依据是其未公开发布的内部评估；OpenAI 没有指定任何外部评估者，也没有任何外部实验室公开按照 Critical 定义对 Astra 进行测试。该条目被评为最高置信等级，标记为无争议，并记录为未造成实际伤害，这与该帖实际包含的内容相符：一份公司声明，而不是一份事件报告。

接下来发生了什么？

截至2026年9月1日，临时措辞已经改变。在一篇题为“通往 Astra：关键能力与前沿保障措施”的后续文章中，OpenAI 写道：“我们现在认为，Astra 已达到我们《准备框架》规定的关键网络安全能力阈值……这是我们指定为该级别的首个模型。”

同一篇帖子提供了八月披露所遗漏的具体细节。这些细节值得按类别加以区分：

• 基准测试。Astra 在 ExploitBench 上得分 100%，这是一个用于将已知漏洞转化为漏洞利用程序的公开基准测试。出于污染方面的担忧，OpenAI 还构建了一个内部移植版本，其中包含 2026 年 6 月至 8 月期间披露的 20 个高危 V8 漏洞；该帖子称，在这组漏洞上，Astra 发现并利用了“两个零日漏洞作为漏洞利用链的一部分”，OpenAI 表示当时正在向维护者披露这些漏洞。

• 专家主导的评估。针对一个加固浏览器，Astra 构建了一条利用链，成功逃逸沙箱并在主机上执行命令；系统卡记录显示，对专家认定缺少部分生产环境缓解措施的构建版本，首次成功耗时 29 小时，而将该漏洞利用适配到官方稳定版本又耗时 12 小时。针对一个加固操作系统，它在 12 小时内将多个漏洞组合成从非特权用户提升到 root 的本地权限提升。

• 拒绝率。在 OpenAI 的网络越狱评估中，Astra 拒绝了 91.5% 的请求，而 GPT-5.6 Sol 为 59%——系统卡中重现了这一数字。

• 一项独立核查，但存在局限。这份系统卡于2026年9月3日发布，对应OpenAI当天以GPT-6 Astra之名发布的模型，其中包含安全实验室Irregular的外部评估。Irregular发现，Astra解决了226项FrontierCyber挑战中的86项，而GPT-5.6 Sol为226项中的34项，其中包括影响浏览器、手机和云数据库的零日漏洞。它还“未观察到针对完全加固目标的成功攻击”，并且两个模型都未解决七项Elite挑战中的任何一项。

9月1日发布的帖子还披露了此次暂停的具体安排。OpenAI表示，在过去几周里，它“推迟了Astra的部分开发与发布”，并于2026年8月28日在落实新的安全与安保要求后，“重启了此前暂停的大规模前沿强化学习运行”。访问权限实行分级：先进的网络安全工作将首先交给一小批测试人员，随后是Daybreak Blue计划。

已确立、暂定和未确立

• 已确认。OpenAI 于 2026 年 8 月 7 日发布了该披露，并表示无法排除 Astra 存在关键网络能力；其中列出了上述控制措施和部分暂停。 The Next Web当天报道了该帖子，而Axios则将其报道为因网络风险而放缓。

• 后续确定。2026年9月1日，OpenAI 认定 Astra 达到 Critical 阈值——这是其首个被认定处于该级别的模型——并公布了基准测试与专家评估结果。9月3日的系统卡载有相同的拒答数字以及 Irregular 的外部评估。

• 暂定且为自我评估。 该能力结论由 OpenAI 作出，基于 OpenAI 的评估。截至 8 月 7 日，尚无外部实验室依据“Critical”定义公开测试该模型，且该帖未指明任何外部评估方。随后由 Irregular 进行的外部检查范围窄于该认定，并明确未发现针对完全加固目标的成功攻击。

• 未得到证实。Astra 确实在 8 月 7 日达到了临界阈值；该帖文只表示公司无法排除这一可能。也未证实任何真实系统遭到攻陷：记录中未记载任何损害，且 OpenAI 表示 Astra 与 Hugging Face 事件无关。同样未得到证实的是，此次部分暂停满足了该框架自身"停止进一步开发"的表述——OpenAI 继续开展了符合其新管控措施的工作，而判断这些管控是否充分的，是公司自身，而非外部机构。

记录留下的治理问题

该框架是一种自我约束工具。它让OpenAI承诺遵守阈值和保障措施，却将评估和充分性判断留给OpenAI，由其安全咨询小组进行内部审查，并由董事会监督。8月7日的帖子描述了磋商——政府机构和“部分AI安全组织”将测试该模型——但没有点名任何监管机构，未公布任何标准，也未设定任何日期。记录中没有任何内容显示有外部方在核验这一判断。

记录确实表明，机制发生了变动。一项能力评估在一天之内改变了内部做法：管控收紧，部分工作停止，监控范围扩大到训练和评估，后来对最强功能的访问权限被限制为仅测试人员可用。这比一份新闻稿更有分量，但还算不上外部验证。

尚未解决的部分，是框架自身无法解决的那一部分。“无法排除”是关于证据的陈述，而不是关于能力的陈述；它把决定留给了公司：在恢复之前，究竟多少证据才算足够。OpenAI 于8月28日重启了大规模训练运行，于9月1日将该模型定为 Critical，并于9月3日以 GPT-6 Astra 发布。每一步都有记录。每一步是否本应在当时发生，是一项判断；记录虽将其记载下来，却并未作答。