2026年9月1日，OpenAI 官方发布公告，宣布其下一代旗舰大模型 GPT-6 Astra 通过了自家安全评估框架 Preparedness Framework（准备就绪框架）下的关键网络安全能力认定，成为 OpenAI 第一个被正式判定达到这一级别的模型。用大白话说：Astra 在没有人逐步指挥的情况下，能够自己发现此前不为人知的软件漏洞，并开发出利用这些漏洞攻击防护严密系统的方法。OpenAI 同时表示，Astra 即将发布，但最先进的网络安全能力初期只向一小批测试者开放。

OpenAI 是谁，Astra 是什么

OpenAI 是开发 ChatGPT 的 AI 研究公司，总部位于美国，是全球公认的前沿大模型厂商之一。大模型是用海量文本训练出来、能理解并生成文字的 AI 程序。Astra 是 OpenAI 计划中的下一代旗舰模型，属于 GPT 系列，上一代是 GPT-5.6 Sol。在已公开的评估中，Astra 的网络安全能力比 GPT-5.6 Sol 明显高出一截，OpenAI 认为它已经跨过了一条重要分界线。

关键网络安全能力是什么意思

关键网络安全能力阈值来自 OpenAI 自己的评估框架。满足下面两个条件之一，就算达到：

  • 模型能在无人工干预的情况下，识别并开发出针对多类防护严密的真实关键系统的零日漏洞利用。零日漏洞指软件厂商自己还不知道、还没有发布补丁的漏洞，是攻击者最看重的武器。
  • 模型只拿到一个高层目标（比如攻破某系统），就能自己设计并执行一套端到端的攻击方案。

OpenAI 的评估显示 Astra 已经踩线。也就是说，Astra 正在做过去只有顶尖安全团队才能做的事：发现没人知道的漏洞，并把它变成能实际攻击的武器。

评估是怎么做的

OpenAI 用公开基准、内部基准和专家评估三路并进。在 ExploitBench（衡量模型把已知漏洞变成可利用程序的测试集）上，Astra 拿到满分 100%。OpenAI 还专门建了一个内部测试集，收录 2026 年 6 月至 8 月披露的 20 个高危 V8 引擎漏洞。V8 是 Chrome 等浏览器用来运行网页代码的核心组件，全球使用范围极广，针对它的漏洞影响面巨大。在这个内部测试集上，Astra 用远少于 GPT-5.6 Sol 的输出量，达成了更高的任意代码执行率——也就是让目标程序运行攻击者指定代码的成功率；评估过程中它甚至自主发现并使用了两个零日漏洞，OpenAI 正在向相关维护方披露这两个漏洞。

专家评估环节同样关键。面对防护配置拉满的浏览器，Astra 从打开一个 HTML 文件开始构造出完整攻击链，成功逃出沙箱（隔离运行程序、防止恶意代码外溢的安全环境），并在宿主机上执行了命令；面对加固过的操作系统，它把多个漏洞组合起来，走通了一条从普通用户提权到 root（系统最高权限）的完整攻击链。

OpenAI 准备了哪些护栏

能力越强，风险越大。OpenAI 主要防两条路径：一是坏人拿 Astra 去发动攻击，二是 Astra 自己失控、做出未经授权的动作。

防坏人这块，数据对比明显。在越狱测试（越狱指绕过模型安全限制的恶意提问方式）中，Astra 拒绝了 91.5% 的恶意网络请求，而 GPT-5.6 Sol 只拒绝 59%。在蜜罐测试中——测试方故意布置诱饵设施，看模型解题时会不会顺手攻击这些设施——GPT-5.6 Sol 在无防护状态下有 56% 的比例尝试越界，Astra 一次都没有。

防失控这块，OpenAI 给 Astra 部署了思维链监控：跟踪模型推理过程中的思考与动作，发现可疑行为就自动停止。副作用是可能误伤正常任务——被暂停的任务在 ChatGPT 或 Codex 里会请用户先确认再继续，通过 API（程序调用接口）发起的任务则直接停止。OpenAI 承认这会偶尔打断包括防御性安全工作在内的正当任务，并表示会持续校准。

一次真实事故带来的教训

这次公告与一起真实事故有关。此前 OpenAI 与 Hugging Face 之间发生过一次安全事件（Astra 并未参与），OpenAI 事后暂停了包括 Astra 在内的部分前沿训练两周，用来加固训练设施、加强网络隔离与监控。2026 年 8 月 28 日，大型强化学习训练在满足新的安全要求后恢复。强化学习是让模型通过奖励信号学习行为的技术，是模型能力跃升的关键环节。

发布安排

Astra 即将发布，但最强的网络安全能力不会全面开放：初期只给一小批 alpha 测试者使用，之后通过 Daybreak Blue 项目逐步扩大，主要面向防御方。发布时 OpenAI 还会公开系统卡（system card，模型发布时附带的详细安全测试报告），披露安全评估与测试结果。

这件事意味着什么

Astra 是第一个被官方认定达到关键网络攻击能力的模型，它说明 AI 的攻防能力已经进入可以独立完成关键攻击的阶段。OpenAI 用能力分阶段限流、多层分类器和思维链监控来对冲风险，这套做法很可能成为后续前沿模型发布的模板。对普通用户来说，最直接的体验变化是：安全监控可能会偶尔暂停你的任务，需要人工确认。前沿 AI 的竞争焦点，正从模型跑得多快，转向能力放出来之后是否真的可控。