GPT-5.3-Codex 在網路安全方面被評為高風險。OpenAI 並無確切證據。

On 5 February 2026 OpenAI published the system card for GPT-5.3-Codex and, in it, classified the model as High capability in the Cybersecurity domain under its Preparedness Framework — the first time the company has applied that label to any model in that domain. The sentence that follows the classification is the one worth reading twice: "We do not have definitive evidence that this model reaches our High threshold." OpenAI said it was acting precautionarily, because the model cleared each of its canary thresholds and the company therefore could not rule out that the capability was really there. Nothing was breached and no victim is recorded: this is a classification, not an incident, and it is filed as a policy record with a landmark flag. The archive's own entry for the classification, with its severity and confidence grades, sits in the Orca AI Incident Archive beside the year's other governance records.

「High」代表什麼，以及由誰決定

OpenAI 的 Preparedness Framework 劃定兩個門檻。高能力「可能放大現有通往嚴重傷害的途徑」；關鍵能力「可能引入前所未見的新途徑，導致嚴重傷害」。根據 OpenAI 自己對該框架的描述，達到高能力的受涵蓋系統在部署前必須具備能充分將相關風險降至最低的防護措施，而達到關鍵能力的系統在開發期間也同樣需要這些措施。其中所述的審查屬於內部審查：安全諮詢小組評估防護措施是否充分降低風險並提出建議，其指導意見會提交給 OpenAI 領導層作最終決定。系統卡並未描述該評級有任何外部核准。

網路安全方面的特定定義比標題所暗示的範圍更窄。OpenAI 將「高網路安全能力」定義為一種模型：它能「消除阻礙網路行動擴展的現有瓶頸」，方式是「針對合理加固的目標自動化端到端網路行動」，或「自動化發現並利用具操作相關性的漏洞」。該模型卡明確指出，門檻在於能否在整個行動戰役中移除瓶頸，而非模型能否解決某項艱難挑戰：OpenAI 寫道，前沿網路風險「最好以行動或戰役為單位來評估，而非以個別行動來評估」。

這樣讀來，2 月 5 日的那項分類說明了具體的事。它表示 OpenAI 認為，這款模型所消除的瓶頸，是持續入侵所需的技巧與耐力——而該公司選擇對存取設限並加以監控，而不是等待它能做到這一點的證據。

三項評估，以及一項方向相反的比較

OpenAI 針對其認為與嚴重網路危害相關的三項技能使用三個基準：用於漏洞識別與利用的 Professional Capture the Flag、用於一致性（consistency）的 CVE-Bench，以及用於在模擬網路中進行端到端操作的 Cyber Range。用模型卡的話來說，GPT-5.3-Codex 是「第一個通過全部三項評估所有門檻的模型」。個別結果比摘要更重要。

在 Professional CTF 上，該模型「與 GPT-5.2-Codex 相當」；模型卡自己的說明是「峰值 CTF 表現沒有實質變化」，衡量方式為每道挑戰 16 次 rollout 的 pass@12。在 CVE-Bench 上，它得分 90%，而 GPT-5.2-Codex 為 87%；此結果涵蓋該基準 40 道挑戰中的 34 道，衡量方式為三次 rollout 的 pass@1。在 Cyber Range 上，它通過 15 個情境中的 12 個，合計通過率為 80%，相比之下 GPT-5.1-Codex-Max 為 60%、GPT-5.2-Codex 為 53.33%、GPT-5.2-Thinking 為 47%。它在 EDR Evasion、CA/DNS Hijacking 和 Leaked Token 上失敗。

這份模型卡對於這些結果加總起來代表什麼，態度審慎。因為 CTF 測試的是預先寫好的攻擊路徑，CVE-Bench 只涵蓋 Web 應用程式，而 Cyber Range 情境缺乏真實運作網路中的防禦措施與雜訊，「在三項評估中都表現優異，是模型被視為具備『高』網路安全能力的必要條件，但並非充分條件」。OpenAI 的結論並非該模型屬於「高」能力，而是無法排除它屬於「高」能力。

由安全實驗室 Irregular 對該模型近乎最終版本所進行的外部評估，以摘要行未能呈現的方式讓情況更加複雜。GPT-5.3-Codex 在網路攻擊模擬上平均為 86%，相較之下 GPT-5.2-Codex 為 68%，而 100%是 GPT-5.2-Thinking 的得分；在弱點研究與利用方面為 72%，相較之下分別為 75 與 80%；在規避方面為 53%，相較之下為 52 與 53。它在 CyScenarioBench 中未解決任何挑戰，該框架以情境為基礎，用來測試在現實限制下的多階段規劃。換句話說，在 Irregular 的測試套件中，這個新分類的模型在三個類別中的兩個落後於較舊的同系列模型——報告卡公布了這項結果，卻未與其自身的門檻說法相互調和。

閘門：網路可信存取

賦予該紀錄其形態的緩解措施是一項計畫，而非過濾器。OpenAI「在上線第一天」就推出了 Trusted Access for Cyber（TAC），將其描述為一項「以身分為基礎的閘控計畫」，向企業客戶及良性、合法使用者提供「高風險雙用途網路能力」。這份說明卡列出了支援的用途：滲透測試、紅隊演練、弱點評估、識別與利用、安全測試與偵測規避調查、惡意軟體逆向工程，以及密碼學研究。

這套存取設計顛倒了慣常順序。已登入使用者預設可獲得高階網路能力，但須接受監控與執法約束；反而是「經常利用高風險雙用途網路功能」的使用者，必須透過 TAC 驗證身分，才能保留進階能力。企業可透過其 OpenAI 代表為整個團隊申請受信任存取；需要更寬鬆模型的研究人員，則可依 OpenAI 自身對該計畫的公告，申請加入僅限受邀的計畫。與此同時，OpenAI 透過其 Cybersecurity Grant Program 承諾提供 1,000 萬美元的 API 額度。

OpenAI 明確表示，這道關卡並非保證。存取權「僅授予合法、防禦性且經授權的安全用途」，而「頻繁尋求有害行動功能」的 TAC 參與者「仍將受到監控與執法，包括失去 TAC 存取權」。發布文章新增了第二項控制措施：系統偵測為網路風險升高的部分請求，「可能會自動從 GPT-5.3-Codex 路由至 GPT-5.2」。《Fortune》2 月 5 日報導，OpenAI 並未立即啟用可讓該模型大規模自動化的完整 API 存取權，而該模型在此期間已提供給付費 ChatGPT 使用者使用。

沙盒預設值，以及一個已公布漏檢率的監控器

另外兩層則以可量測的方式說明。代理沙箱在雲端中運行於「由 OpenAI 託管的隔離容器」內，無法存取使用者的主機系統，且預設停用網路存取；在本機安裝時，macOS 上預設透過 Seatbelt 啟用沙箱，Linux 上透過 seccomp 與 landlock，Windows 上則可原生或透過 Windows Subsystem for Linux 啟用。這些預設值旨在停用網路存取，並將檔案編輯限制在目前的工作區；使用者可以核准未經沙箱執行的命令，或設定各專案的允許清單與拒絕清單。卡片警告，開啟網路存取會重新引入提示注入、憑證外洩與授權風險。

監控層是雙層系統：快速的主題分類器會判定內容是否與網路安全相關，而任何被判定為相關的內容都會被升級交給「安全推理器」，由它將內容歸入 OpenAI 的網路威脅分類體系，並決定輸出是否可以顯示。主題分類器的調校目標是在系統可靠性超過 99.9% 的情況下，達到超過 90% 的召回率。推理監控器的數字則沒那麼令人安心，且印在卡片自己的表格中：在使用者提示上，召回率為 77.8%、精確率為 37.1%；在助理回應上，召回率為 88.8%、精確率為 24.1%。OpenAI 表示，他們刻意優先優化召回率而非精確率，這就是為什麼低風險工作有時會被封鎖——也是為什麼在該測試集上，大約每五個應該被攔截的使用者提示中，就有一個沒有被攔截。

紅隊發現了什麼

這份卡片詳細公布對抗性結果，而非僅作摘要。兩項行動在 2025 年 12 月至 2026 年 1 月間共耗費 3,526 小時的專家紅隊演練。Universal Jailbreak Campaign 花費 1,375 小時，產出 21 份提交，其中六份是完整的通用越獄，14 份是部分越獄。Adversarial Policy Coverage Campaign 花費 2,151 小時，提交 279 份報告，發現 132 個偽陰性案例，也就是安全推理器本應攔截內容卻未攔截。OpenAI 稱這些越獄「未攔截」，並表示將會修復，同時承認這些行動顯示「安全推理器仍需針對對抗性攻擊進行迭代強化」。

最突出的單一結果涉及一名政府評估人員。英國人工智慧安全研究所提前取得一個已啟用安全推理器並會進行阻擋的版本，在約十小時的手動紅隊測試中，使用單一使用者訊息，「開發出一種通用越獄（可重試），達到 0.778 pass@200」。同一節也記載，美國人工智慧標準與創新中心以其自身的自動化評估測試了該模型的網路能力，並利用它找出開源與閉源軟體中的新漏洞；而 GPT-5.3-Codex 在各個壓縮視窗之間持續在困難任務上取得進展，「即使在 5000 萬個以上不重複 token 與數十小時的分析之後，仍能找到新結果。」

這兩項政府調查結果都記載於 OpenAI 的模型卡中。本研究並未發現任一機構針對 GPT-5.3-Codex 發布獨立的公開評估；在這樣的評估出現之前，外界對這款模型的審視，只能透過供應商自己的說法為公眾所知。該模型卡自身的殘餘風險清單對同樣的缺口異常坦率：監控精確度有限，造成大海撈針式的審查問題、「不良行為者可能取得受信任存取權的非零機率」、身分驗證供應商的失誤，以及尚未被發現的通用越獄手法。它也指出，對 Codex 部署進行、非同步運行五個月的內部監控，「無法防範傷害，也無法防止其他防護措施遭到顛覆。」

之後有什麼改變？

這道門檻比發布本身存在得更久，而且還擴大了。Axios 於 2026 年 4 月 9 日報導，OpenAI 正在為少數合作夥伴敲定一款獨立的網路安全產品，並稱 TAC 是在「推出 GPT-5.3-Codex 之後」於 2 月問世。2026 年 4 月 15 日，Help Net Security 報導，OpenAI 已將 TAC 擴展至「數千名經認證的個別防禦人員與數百個團隊」，並向最高存取層級釋出 GPT-5.4-Cyber——這是 GPT-5.4 的變體，針對合法安全工作降低了拒答界線，並具備二進位逆向工程能力。二月說明卡中所描述的試行計畫，已成為設有分級的產品線。

這項分類本身流傳的範圍，不如那道門檻。Fortune 2月5日由 Sharon Goldman 撰寫的報導直接報導了此事，並引述 OpenAI 執行長 Sam Altman 在 X 上的貼文，稱 GPT-5.3-Codex 是「我們第一個在準備度框架中，資安方面達到『高』的模型」。The Cyber Express 於2月6日詳細報導 TAC 的推出——三種存取途徑、1,000 萬美元、禁止行為——卻完全沒有提到「高」評級。波士頓全球論壇於4月12日撰文，將兩者一併重述。到了4月中旬，這套方案中被引用最多的部分，是存取計畫，而不是其背後的門檻判斷。

已建立、未建立，以及開放

已確立的事實：OpenAI 於 2026 年 2 月 5 日發布 GPT-5.3-Codex 系統卡，並依其 Preparedness Framework 將該模型在網路安全領域列為高能力；該公司在同一份文件中表示，尚無確切證據顯示該模型達到該門檻，因此採取預防性措施；上述評估數據為其自身所有；TAC 隨該模型一同推出；沙盒與雙層監控已按此處引用的詳細程度記錄在案；紅隊時數、提交數量與英國 AISI 的越獄數字均印在該卡中。《Fortune》同日報導了該分類，並引用了 Altman 在 X 上的貼文。有一個值得記錄的日期細節：發布貼文自身頁面的中繼資料帶有 2 月 4 日 22:23 GMT 的時間戳，而系統卡與《Fortune》的報導則標註為 2 月 5 日。

尚未確立的是：GPT-5.3-Codex 是否真的達到 OpenAI 的 High 門檻。這是 OpenAI 自己的但書，不是批評者的。這項研究也沒有發現該評級的任何外部認證、任何監管機構或國家機構對該模型已發表的評估，或任何關於分層堆疊是否減少現實世界濫用的測量——紀錄中沒有危害，是因為沒有記錄到危害，而不是因為沒有發生。模型卡聲稱該模型是第一個通過所有三項內部門檻的模型，這是關於 OpenAI 基準套件的陳述，而同一份文件說，該套件是必要但不充分的證據，不足以證明它旨在偵測的能力。

仍未定論的是：身分驗證關卡加上一個會漏掉約五分之一被標記使用者提示的監控機制，對於一個以預防原則而非實證來分類的模型而言，究竟是不是長久之計；一旦把測試框架與引導方式的差異納入考量，該模型在 Irregular 外部測試套件上相對 GPT-5.2-Thinking 的明顯退步是否還有意義；以及二月試點與四月產品線之間的落差，有多少是事先規劃好的，而非從中學來的。檔案條目記錄了這項分類。其餘部分仍由負責把關的人們持續撰寫。

這份紀錄是一起治理事件，而且讀起來正是如此：一家公司在任何事件發生之前就寫下，它認為自家某個模型可能已經越過一條它尚無法衡量的界線，並憑著這份懷疑建起一道關卡。這道關卡是否相稱，是這張卡刻意留待開放的問題——它只說風險已「充分最小化」，並列出六種可能並非如此的情況。