OpenAI 無法排除 Astra 具備關鍵網路能力，且僅暫停了部分工作

在星期五 2026年8月7日，OpenAI 發布了一篇文章表示，其對 Astra（其即將推出的模型之一）的最新內部評估顯示「在代理式程式設計與網路安全方面有顯著進展」，且無法排除該模型達到 Critical——其 Preparedness Framework 中最高的網路安全層級。文章寫道，此結論是在「昨晚」經過數天測試後得出。沒有任何事物受到損害：文章描述的是評估，而非入侵，OpenAI 也表示 Astra「並未參與利用 Hugging Face」。改變的是內部情況——未符合強化後安全控管要求的開發工作被暫停，而符合要求的工作則持續進行。受最直接影響的是 OpenAI 的開發人員，以及最終將取得存取權的測試人員與防禦人員。這項決定的紀錄是 AI 事故檔案中的一則條目，該檔案收錄了此事件的來源、評級與鄰近條目。

就一樁治理事件而言，最引人注目之處，在於這篇貼文幾乎沒提出什麼主張。它沒有回報任何分數、測試結果、逐字稿，也沒有具名的外部評估者。它回報的是一項判斷：根據現有證據，OpenAI 無法排除一種它過去從未賦予旗下任何模型的能力等級。這使得這份紀錄同時值得從兩個角度來閱讀——既是關於某個模型的揭露，也是對一家公司自身的安全框架是否會改變該公司作為的一項檢驗。

「Critical」在 OpenAI 的框架中代表什麼意思？

這套Preparedness Framework於2023年12月首次發布，並於2025年4月15日在第2版中修訂，追蹤三大類別：生物與化學能力、網路安全，以及AI自我改進。每個類別都有兩個能力層級：High與Critical。網路門檻在該框架與OpenAI八月的文章中幾乎以相同措辭出現：模型若能「在無需人類介入的情況下，於許多經過強化的真實世界關鍵系統中識別並開發所有嚴重等級的功能性零日漏洞」，或若能「僅給定一個高階期望目標，就針對經過強化的目標設計並執行端到端的新型網路攻擊策略」，便達到Critical。

High 是下面的一個等級。OpenAI 的文章指出，先前的模型「包括 GPT-5.6 Sol」，曾針對前沿網路能力接受評估，並被評定為 High 而非 Critical。這項區別很重要，因為該框架對每個等級賦予不同的義務。對於達到 Critical 的模型，該框架要求採取「在開發期間充分降低相關風險，不論部署計畫為何」的防護措施。其網路安全表格說得更直白：「在我們訂出能達到 Critical 標準的防護措施與安全控制標準之前，應停止進一步開發。」

8 月 7 日的措辭並非一項認定。該貼文表示，其「初步評估顯示效能足夠強，因此我們目前無法排除 Critical 能力等級」。該公司當時仍在進行基準測試，而且它也是如此表示。

OpenAI 做了什麼，以及那次暫停涵蓋了什麼

該貼文列出五項內部措施，這些措施全都被表述為繼續推進工作的條件，而不是停止工作的理由：

• 針對更高能力模型及相關活動實施更嚴格的安全控制：「隔離測試環境、受限的網路與工具存取、強化的模型權重保護與加密、額外的監控與偵測能力，以及沙箱化執行。」

• 暫停「涉及 Astra 且尚未符合這些強化後安全控制要求的內部活動」。符合這些要求的工作可以繼續進行。

• 「對 Astra 所有代理式應用（包括訓練與評估）中的風險行為與失準進行通用監控」，由監控機制讀取模型的思維鏈，並觸發安全應對措施，以審查及中斷高風險活動。

• 與「相關政府機構及特定 AI 安全組織」進行測試。

• 針對執行較高風險評估與工作負載的第三方測試合作夥伴，建議採取的安全控管措施。

OpenAI 自己描述了這個先例。貼文寫道：「2025 年 6 月，當我們的模型在《準備框架》下接近生物學的高能力門檻時」，公司概述了強化防護措施、擴大測試、與外部專家合作並新增安全控制措施的步驟，並表示這是在「在此套用同一原則」。值得保留的細節是層級：OpenAI 自己的說法將 2025 年 6 月那起生物學案例置於 High，比它現在披露的網路評估低一級。

媒體當下的解讀是，某個實驗室踩了煞車。The Next Web於 8 月 7 日 17:36 UTC 發文，形容在測試持續進行之際暫停了「部分內部工作」，並報導Axios稱此舉「可能是首次有前沿實驗室因網路風險而放慢自家其中一款模型」。這是對該公告的合理描述。但這不等同於全面停止，而且該貼文並未如此宣稱。

8月7日的貼文並未確立什麼

「無法排除」與「已達到」之間的落差，就是整份紀錄不確定性的全部，而這則貼文並未試圖填補它。貼文沒有給出任何基準測試名稱、沒有成功率、沒有發現漏洞的數量、沒有受測系統的描述、沒有逐字紀錄、沒有獨立評估，也沒有發布日期。它沒有說明 Astra 正在逼近的是兩項「嚴重」條件中的哪一項，也沒有說明逼近到什麼程度。它只說證據強到足以讓該公司無法排除最高等級。

因此，截至該日，該紀錄所確立的是揭露與回應，而非經衡量的能力。能力判斷是 OpenAI 自行作出，依據的是其未公開的內部評估；OpenAI 未指名任何外部評估者，也沒有任何外部實驗室曾依「Critical」定義公開測試 Astra。該條目被評為最高信心等級、標記為無爭議，並記錄為未造成實際傷害，這與該貼文實際包含的內容相符：一份公司聲明，而非事件報告。

接下來發生了什麼事？

到了2026年9月1日，暫定措辭已經改變。在後續一篇標題為「通往 Astra 之路：關鍵能力與前沿防護措施」的文章中，OpenAI 寫道：「我們現在認為 Astra 已達到我們《準備框架》下的關鍵網路安全能力門檻……它是我們第一個指定為此等級的模型。」

同一則貼文補上了八月披露所遺漏的具體細節。這些細節值得按類別分開來看：

• 基準測試。Astra 在 ExploitBench 上獲得 100% 的成績；ExploitBench 是一項公開基準測試，旨在將已知漏洞轉化為漏洞利用程式。出於污染疑慮，OpenAI 還建立了一個內部移植版本，收錄 20 個於 2026 年 6 月至 8 月間披露的高嚴重性 V8 漏洞；該貼文指出，在該組漏洞上，Astra 發現並利用了「兩個零日漏洞，作為漏洞利用鏈的一部分」，OpenAI 表示正著手向維護者披露此事。

• 專家主導的評估。在強化瀏覽器上，Astra 建構了一條可逃逸沙箱並在主機上執行命令的攻擊鏈；系統卡記錄顯示，對專家判定缺乏部分生產環境緩解措施的版本，初始成功耗時 29 小時，而將該漏洞利用適配至官方穩定版又再花了 12 小時。在強化作業系統上，它將多個漏洞結合起來，在 12 小時內完成從非特權使用者提升至 root 的本地權限提升。

• 拒絕率。在 OpenAI 的網路越獄評估中，Astra 拒絕了 91.5% 的請求，相較於 GPT-5.6 Sol 的 59%——系統卡重現了這個數字。

• 一項獨立檢查，但有其限制。這份系統卡於2026年9月3日發布，針對OpenAI當天以GPT-6 Astra之名推出的模型，並收錄安全實驗室Irregular的外部評估。Irregular發現，Astra在226項FrontierCyber挑戰中解出86項，而GPT-5.6 Sol則在226項中解出34項，其中包括影響瀏覽器、手機和雲端資料庫的零日漏洞。它還「未觀察到對完全加固目標的成功攻擊」，且兩款模型都未解出七項Elite挑戰中的任何一項。

9 月 1 日的貼文也披露了這次暫停的具體形式。OpenAI 表示，過去數週以來，它「延後了 Astra 的部分開發與發布」，並在2026 年 8 月 28 日，於新的安全與資安要求到位後，「重啟了先前暫停的大型前沿強化學習訓練」。存取權限分層開放：先進的網路安全工作將先提供給一小組測試人員，隨後是 Daybreak Blue 計畫。

已確立、暫定及未確立

• 已確認。OpenAI 於 2026 年 8 月 7 日發布這份揭露，並表示無法排除 Astra 具備關鍵網路能力；其中列出上述控制措施與部分暫停。The Next Web同日報導了該篇文章，而Axios則以因網路風險而放緩的角度報導此事。

• 後來成立。2026 年 9 月 1 日，OpenAI 將 Astra 認定為達到 Critical 門檻——這是其首個被認定達到該級別的模型——並公布了基準測試與專家評估結果。9 月 3 日的系統卡載有相同的拒答數據，以及 Irregular 外部評估。

• 暫定且自行評估。能力認定為 OpenAI 所作，依據 OpenAI 自身的評估。截至8月7日，尚無外部實驗室公開以「關鍵」（Critical）定義對該模型進行測試，而該文章亦未指名任何外部評估機構。其後由 Irregular 進行的外部檢查，範圍較該認定更為狹窄，並明確指出對完全強化的目標並未發現任何成功攻擊。

• 未經證實。Astra 實際上於 8 月 7 日達到 Critical 門檻；該貼文僅表示公司無法排除此一可能。任何真實系統遭到入侵一說也未獲證實：紀錄未記載任何危害，且 OpenAI 表示 Astra 未涉入 Hugging Face 事件。同樣未獲證實的是，部分暫停已滿足該框架自身「停止進一步開發」的措辭——OpenAI 持續進行符合其新控制措施的工作，而判斷這些控制措施是否充分的是該公司，而非外部機構。

紀錄所留下未解的治理問題

這套框架是一種自我約束工具。它要求 OpenAI 承諾遵守各項門檻並落實防護措施，卻把評估與是否足夠的判定留給 OpenAI，僅由其 Safety Advisory Group 進行內部審查，並由董事會監督。8 月 7 日的貼文描述了諮詢過程——政府機關與「特定 AI 安全組織」將測試該模型——但文中未指名任何監管機構、未公布任何標準，也未設定任何日期。紀錄中沒有任何內容顯示有外部第三方核查這項判定。

紀錄確實顯示的是，整個體系動了起來。一次能力評估在一天內改變了內部做法：管控收緊、部分工作停擺、監測範圍擴大到訓練與評估，而最強功能的使用權限後來僅限於測試人員。這不只是新聞稿，但也還算不上外部驗證。

未解決的部分，是框架本身無法解決的那一部分。「Cannot rule out」是關於證據的陳述，而非關於能力的陳述；它留給公司決定，在恢復之前，多少證據才足夠。OpenAI 於 8 月 28 日重啟大型訓練運行，於 9 月 1 日將該模型指定為 Critical，並於 9 月 3 日以 GPT-6 Astra 發布。每一步都有紀錄。每一步是否本應在其發生時發生，是一項紀錄有所記載、卻未予回答的判斷。