OpenAI 确认 Astra 达到关键网络攻击能力，成首个临界模型

9 月 1 日，OpenAI 在官方公告《Path to Astra》中确认，下一代模型 Astra 的网络攻击能力已经达到其《预备框架》（Preparedness Framework）中定义的「关键」（Critical）门槛。这是 OpenAI 第一次有模型被官方定级到这一档位，也是它在模型安全分级体系里目前能给出的最高能力评级的首个落地案例。

按照 OpenAI 的说法，达到这一门槛意味着：在具备合适工具和权限的情况下，Astra 可以在不需要人工逐步引导的前提下，自主找出此前未知的安全漏洞，并开发出针对多个防护完善系统的利用方式。换句话说，模型从「能辅助人做安全研究」迈向了「能独立完成攻击链构建」的能力区间。

OpenAI 同时表示，Astra 即将发布，但其最高级的网络攻击能力不会一开始就开放：这一档能力先交给一小批测试者，随后通过其防御研究组织 Daybreak Blue 逐步扩大对防御方的使用范围。官方公告原文对评估过程和安全措施有完整说明。

公告给出了几组可核对的数字。在公开的漏洞利用能力基准 ExploitBench 上，Astra 拿到了满分 100%，这个基准考察的是模型能否从已知漏洞出发开发出可用的利用程序。

为避免基准数据污染，OpenAI 又自建了内部基准「ExploitBench - Internal Port（2026 年 6 至 8 月）」，包含 20 个近期才披露的高严重度 V8 引擎漏洞。在这组数据集上，Astra 的任意代码执行成功率显著高于上一代旗舰 GPT-5.6 Sol，且消耗的输出 token 少得多。

更值得注意的是，评估过程中 Astra 自己发现并使用了两个零日漏洞作为利用链的一部分，这两个漏洞目前正在向相关维护者披露。在专家主导的测试里，Astra 还完成了两件具体的事：针对加固后的浏览器，它构建了完整的攻破链，能在浏览器打开一个 HTML 文件后逃出沙箱并在宿主机上执行命令；针对加固后的操作系统，它把多个漏洞组合成从普通用户到 root 的本地提权链。

需要说明的是，上述结果是在 Daybreak Blue 访问权限下测得的，而非默认生产配置下的表现，这一点官方在公告中特别注明。

OpenAI 的《预备框架》把模型能力分成不同档位，其中「关键」（Critical）网络能力档位的判定标准有两条：一是模型能在无人干预的情况下，对多个加固的真实世界关键系统发现并开发出各种严重程度的零日利用；二是模型只凭一个高层目标，就能设计并执行针对加固目标的端到端新型攻击策略。

在此之前，OpenAI 的系统分级更多停留在论文和内部流程层面，普通读者对「High」「Critical」这些词没有直接感知。Astra 是第一个被正式认定达到 Critical 档的模型，意味着这套分级第一次有了实际案例。

对行业而言，这相当于官方给「前沿模型的攻击能力发展到什么程度」提供了明确的度量锚点：有基准分数、漏洞利用实例和测试流程支撑的结论。

对普通 ChatGPT 用户来说，这件事短期内几乎没有影响。Astra 不是面向日常对话场景的产品迭代，它的高阶网络能力从一开始就做了访问限制，普通账号接触不到，也不需要改变使用习惯。

真正会用上它的是两类人：一是安全研究机构和企业红队，他们可以通过 Daybreak Blue 申请防御用途的访问，用来做漏洞挖掘和防护验证；二是被允许参与 alpha 测试的安全团队，他们能最先评估这套能力的边界。

对安全行业来说，这里有一个现实信号：当模型能自主完成从漏洞发现到利用链构建的整条路径，防御方的工作方式也需要调整，不能再假设「攻击者必须精通技术才能打进来」。

最直接的跟进方式是盯住那两个零日漏洞的披露进展。OpenAI 表示正在把评估中发现的两个 V8 引擎零日漏洞提交给维护者，涉及 Chrome 等使用 V8 的浏览器产品线的团队需要关注后续补丁。

其次，Astra 正式发布时会附带完整的系统卡（system card），里面会有安全、对齐和评估的详细说明。安全团队可以等系统卡出来后，对照其中的红队测试结果和防护边界，评估自己的防线是否在模型能力射程之内。

想参与防御侧的团队，则可以关注 Daybreak Blue 的开放节奏。OpenAI 的计划是先小范围 alpha 测试，再逐步扩大防御用途的访问。对企业而言，不如在 Astra 开放防御访问后做一轮真实的攻击面验证，用结果说话。

Astra 与现有旗舰 GPT-5.6 Sol 的差距体现在两个可以量化的维度上。第一是漏洞利用能力：在内部基准上，Astra 用远少于 Sol 的输出 token 就达到了显著更高的任意代码执行成功率，说明它做同样的安全任务更省、更快。

第二是安全防护自身的强度。OpenAI 公布的一组数据是：在它的网络越狱评估集上，Astra 对违规网络协助请求的拒绝率达到 91.5%，而 GPT-5.6 Sol 是 59%。对高风险账号，OpenAI 还会套用更保守的行为边界，拒绝范围更大的潜在风险请求。

对开发者而言，如果只是做普通应用，不需要在这两者之间纠结，Sol 仍是面向业务场景的常规选择；但如果你的场景涉及安全对抗或对模型自主行动有要求，Astra 的能力档位和防护策略是明显不同的另一档。

针对 Critical 档模型，OpenAI 明确要防两条路径：一是恶意攻击者利用模型开发针对加固系统的利用程序，二是模型自身在缺少恶意用户的情况下出现偏离对齐的自主行动。第二条同时覆盖内部开发和外部部署，是这次新增的重点。

公告还回顾了此前「OpenAI- Hugging Face 事件」后的调整：OpenAI 暂停了部分前沿训练约两周来加固训练基础设施，包括隔离与网络控制、扩展监控、强化对齐训练。8 月 28 日，之前暂停的大型前沿强化学习（RL）训练在满足新的安全要求后已经重启，但部分小规模实验训练仍被暂缓。

对读者来说，理解这点就够了：Astra 的发布不是「能力到了就放出来」，而是先补防护再放行，且放行时对最高能力做了闸门。剩余风险也明确存在——91.5% 的拒绝率意味着仍有约 8.5% 的越狱尝试可能穿透，模型自主行动的第二道防线（监测与遏制）实际效果如何，要等发布后的运营数据来验证。

本文由 AI 潮汐编辑部基于官方公告与公开资料整理，补充了行业影响、适用场景和行动建议，帮助你在阅读原文前先理解这条信息为什么重要。

原始来源：https://openai.com/index/path-to-astra/

如发现事实、价格或链接有误，可通过 联系我们 提交更正。