9月3日，OpenAI在博客上宣布了GPT-6 Astra的发布。

在发布公告的第三段，几乎被淹没在其他性能数字里，有这样一句话：

「GPT-6 Astra is the first OpenAI model to meet our Preparedness Framework’s Critical threshold for cybersecurity capability.」

翻译过来是：Astra是OpenAI第一个在网络安全能力上达到「关键（Critical）」级别的模型。

「关键」在OpenAI的Preparedness框架里有明确定义：模型能够「无需人工帮助，黑入许多被良好保护的系统」。

OpenAI发布了这个模型，然后把它推送给了所有ChatGPT Plus、Pro、Business和Enterprise用户。

100%意味着什么

ExploitBench是一个专门评估AI网络安全能力的基准测试，核心评估对象是：模型能否在没有人工提示或引导的情况下，找到软件漏洞并利用它。

GPT-6 Astra在ExploitBench上的得分是100%。

它的前代，GPT-5.6 Sol，得分是78.5%。

上一代到这一代，提升了21.5个百分点。从0到78.5花了多少时间？从78.5到100又只用了一个模型迭代。

这个曲线的斜率值得关注。

更广泛的ExploitGym基准（评估更多样化的漏洞开发场景）上，Astra的得分是42.4%，Sol是30.3%。这个差距同样意味着：模型在「主动发现和利用未知漏洞」的能力上，还有很大的提升空间，而且在快速提升。

但让人更关注的不是这两个数字，而是OpenAI在发布时额外披露的一个事实：Astra在测试期间，主动发现了2个此前未被任何人知道的zero-day漏洞。

Zero-day的质变

「Zero-day」在网络安全领域是一个特定的术语：指的是软件供应商还不知道（因此没有补丁）的漏洞。「发现zero-day」是网络安全研究里最有价值的工作之一——顶级安全研究员一年可能发现不超过几个；国家级网络攻击团队会把zero-day当作战略资产囤积使用。

OpenAI的测试方式是：让Astra测试过去3个月内发布的新软件，而不是让它从训练数据里回忆已知漏洞。换句话说，它不是在背答案——它是在独立推理出那些还没有被人发现的问题所在。

这是一个质的飞跃，而不只是量的提升。

在此之前，大语言模型在网络安全上的主要用途是：帮助解释已知的漏洞代码、辅助编写安全测试脚本、协助CTF（Capture-the-Flag）比赛解题。这些都是在已知知识的基础上的辅助性工作。

「主动发现zero-day」意味着模型本身已经可以进行独立的安全研究——不只是辅助人类，而是自主推进人类还没有探索到的方向。

OpenAI说它已经「向相关软件供应商披露了这两个漏洞」。这是负责任披露的标准做法——在公开之前先通知受影响的厂商，给他们时间修补。但一个不可忽视的现实是：这两个漏洞在被修补之前，Astra已经知道了。

Sanchit Vir Gogia的逆直觉洞察

大多数人对「AI能黑入所有系统」的直觉反应是：这件事危险，我们应该限制它。

Greyhound Research的首席分析师Sanchit Vir Gogia提供了一个颠覆这种直觉的分析框架。他说：

「The Critical label is a disclosure event, not a capability event. Astra’s capability did not change between August 10, when OpenAI said Critical capability could not be ruled out, and September 1, when it said the threshold was met. The testing changed. The model did not.」

这句话值得慢慢读。

Critical标签不是能力事件，而是透明化事件。Astra的能力在8月就已经达到了Critical级别——OpenAI只是花了更多时间测试和确认。在「公开宣布Critical」之前，Astra已经具备这些能力，只是没有人在公开的测试基准上测量它。

Gogia的下一句话是这场讨论里最重要的：

「Astra is now the only frontier model whose cyber capability an enterprise actually knows, because it is the only one measured against a published threshold, while every unlabelled model already sitting behind enterprise credentials has never been measured that way and will not be until its vendor chooses to measure it. Those models are not safer.」

翻译过来：在你的企业里，通过API接入的每一个前沿AI模型，都可能已经具备类似的网络安全能力——只是它们的供应商还没有测量它，或者测量了但没有公布。它们不更安全，只是不透明。

这是一个关于「已知的未知」和「未知的未知」的经典安全困境：Astra的危险是已知的，所以你知道该部署什么控制措施；你不知道的模型，你甚至不知道需要控制什么。

OpenAI Daybreak：进攻即是防御

OpenAI对Astra的网络安全能力的响应是双轨的：

限制轨：公共版本的Astra将拒绝「高级进攻性任务」，包括生成漏洞利用代码（PoC exploit code）。这是标准的内容过滤措施。

赋能轨：OpenAI同时宣布了「Daybreak」项目——一个专门为「已核实的防御者」设计的访问程序，让政府机构、公用事业公司、关键基础设施运营商能够在受控条件下使用Astra的完整网络安全能力，进行防御性研究。OpenAI承诺向Daybreak参与者提供10亿美元的信用额度。

Daybreak的逻辑是：进攻性AI工具在防御者手里，比在攻击者手里有优势。如果攻击者已经在使用类似能力（无论通过Astra还是其他模型），防御者不能还在用「2020年级别」的工具来防御「2026年级别」的攻击。

这个逻辑在军事上叫做「能力对等原则」：当对手拥有某种武器，你要么找到反制手段，要么拥有同等能力用于防御。它在网络安全领域一直存在争议，但从来没有像现在这样因为AI而变得如此具体和紧迫。

1万亿token上下文、25倍吞吐量：技术全景

在网络安全能力之外，Astra在技术上的进步值得单独记录，因为它们共同构成了为什么这个模型在各个维度都同时突破的原因。

上下文管理：Astra引入了一个新的数据压缩机制。普通模型在上下文窗口装满时会丢弃早期信息；Astra会把这些信息「归档为可搜索形式」，需要时可以调出。这在长程任务（long-horizon task）中意义重大——比如一个需要持续追踪数百个变量的代码重构任务，Astra不会因为「忘记早期讨论」而产生矛盾。

延迟和效率：OpenAI的工程团队在内部使用Astra处理一个内存分配瓶颈问题，通过切换内存分配器，实现了25倍更低的对话轮次延迟（turn latency），同时内存占用峰值提升约30%。这不是在测试环境里的理论数字——这是Astra用来解决Astra自身工程问题的结果。

对齐进步：在计算机使用（computer use）场景中，Astra产生意外操作（如误删数据、过度分享信息）的概率比GPT-5.6 Sol低89%，比Claude Fable 5.1低74.7%。这个数字很重要，因为在网络安全语境下，「意外操作」的边界直接决定了模型用于自动化任务时的安全边界。

基准数字总览：

  • FrontierMath Tier 4（50道数学界专家需数周的题）：98%
  • ARC-AGI-3（新任务学习能力）：99.9%
  • ExploitBench：100%（Sol为78.5%）
  • ExploitGym：42.4%（Sol为30.3%）

发布前为什么推迟了数周

Astra在正式发布前被延迟了数周——这在OpenAI的发布历史上相对罕见。原因在公告里写得很清楚：网络安全能力超出了预期，工程团队需要额外时间开发护栏。

具体来说：Astra最初在内部测试时，就已经在ExploitBench上表现出接近100%的能力。这触发了Preparedness框架的Critical评估流程——OpenAI需要证明它已经部署了足够的控制措施，才能对外发布。

这个延迟是OpenAI内部流程实际运作的证据。批评者会说「这正是Dario Amodei担心的——公司有意愿不发布，但最终还是发布了」。支持者会说「这证明框架有效——延迟了数周来部署护栏，而不是直接推送」。

两种解读都有道理。更重要的问题是：Preparedness框架里「Critical」之后是什么？

OpenAI的框架有四个级别：Low、Medium、High、Critical。在Critical之上没有更高的级别——它是「最高的能力警示」。这意味着，当下一代模型（GPT-7或其他）进一步提升网络安全能力时，它将仍然被标记为Critical，但没有新的分类来区分「能发现2个zero-day」和「能发现200个zero-day」之间的差异。

这是当前评估框架的一个局限：它设计的最高级别，已经被触及了。

攻防两用工具的历史教训

「同一种工具可以用于攻击也可以用于防御」是安全技术史上反复出现的主题。

密码学最好的例子：相同的加密算法，既可以保护个人隐私，也可以被犯罪组织用于通信。政府在不同时期对「强密码」的立场从「禁止出口」到「积极推广」，完全取决于当时认为谁更能从中获益。

漏洞扫描工具（如Metasploit、Nmap）：这些工具今天是每个安全工程师的标配，但它们同样是黑客手册里的必备工具。区别不在于工具本身，在于谁在用、用于什么目的。

AI网络安全能力正在走向同一条路。

区别在于：传统的攻防两用工具需要技能来使用——写利用代码需要知识积累。AI的进步正在压缩这个门槛。Astra在ExploitBench上的100%表现，意味着一个不具备深度网络安全知识的人，通过Astra的API，可以在无需专业训练的情况下执行之前需要顶级安全研究员才能完成的任务。

能力门槛的下降，同时放大了好人和坏人的能力——但放大的比例不对称：防御者需要保护所有系统，攻击者只需要找到一个漏洞。

中国AI的蒸馏攻击，提取的就是这个

这里有一个并不偶然的联系，值得把它说清楚。

在Astra发布的同一周，Anthropic发布了它的威胁情报报告。报告里说：阿里巴巴、Moonshot、DeepSeek通过欺诈账户和代理服务，大规模提取Claude的推理能力（特别是Chain-of-Thought推理过程）用于训练自己的模型。

这些公司在提取什么？

表面上是「Claude回答问题的方式」，但更准确地说，是Claude在解决复杂问题时展现出的推理链——这正是当AI面对ExploitBench那类挑战时，决定能否成功的关键能力。

换句话说：如果中国AI公司通过蒸馏获得了Claude的核心推理能力，它们的模型在网络安全攻击能力上可能也在同步提升——只是没有人用ExploitBench去测量它们，也没有人要求它们发布Preparedness评估。

这构成了一个悖论：美国AI公司因为测量并公开了自己模型的危险能力而受到监管关注，而没有发布任何评估的竞争对手反而处于「无标签即安全」的宽松舆论环境里。

Gogia的那句话在这里有了新的含义：「Those models are not safer. They are just unmeasured.」

企业应该怎么看这件事

Kanerika人工智能开发主管Amit Kumar Jena提出了一个具体的企业端问题：当AI智能体通过用户界面行动时，系统记录的是「人在操作」，而不是「AI在操作」。一个更新了400行ERP系统记录的AI，在日志里显示的是「服务账户执行了400次更新」，没有任何关于「是哪个AI、哪个版本、响应了什么指令」的追踪。

这在常规情况下只是个审计问题。在网络安全语境下，它意味着：如果一个被攻击者利用的AI智能体在你的系统里做了恶意操作，你可能很难从日志里区分「这是被攻击还是正常的AI操作」。

对企业IT和安全团队来说，Astra的Critical标签是一个清醒剂：你的安全假设是基于「人在执行关键操作」还是「任何授权给AI的操作都在安全边界内」？后者现在需要重新评估。

具体建议：

  • 对AI智能体的权限实施最小权限原则（和对人一样，但因为AI的决策速度更快，容错窗口更小）
  • 在日志系统里追踪AI操作的来源（哪个模型、哪个版本、哪个prompt）
  • 对AI能影响的高价值系统（财务、访问控制、代码部署）添加人工审批节点

透明化就是护盾

回到最开始的问题：GPT-6 Astra发布了，它跨越了Critical网络安全阈值，然后OpenAI把它推送给了所有付费用户。

这听起来很危险。

但Gogia的分析框架提供了另一种看法：在Astra被标记为Critical之后，你才能明确知道你需要在哪些场景里不给它某些权限。在Astra被标记之前，你不知道你在用的AI已经有这些能力——但它已经有了。

透明化不是让危险变得更大，它是让「你知道危险在哪里」成为可能。

从这个角度看，OpenAI发布Astra并公开Critical标签，是一个比「发布但不测量」更负责任的选择。每一家没有发布Preparedness评估的AI公司，都欠用户一个答案：你测了吗？如果没测，你怎么知道它安全？

这是一个值得行业集体思考的问题：Anthropic的Fable 5和Mythos的网络安全评估在哪里？Google DeepMind的Gemini Ultra呢？Mistral Large呢？

我们知道Astra的能力，因为OpenAI选择了测量并公布。我们不知道其他模型的能力，不是因为它们更安全，而是因为还没有人用公开基准去测量它们——或者测了但没有公布结果。

这不是对竞争对手的指责，而是对整个行业的观察：在2026年9月，只有一家公司有公开、可参考的前沿模型网络安全能力基准，那就是OpenAI。这本身就是一个信息不对称的问题。

Amodei在同一周呼吁「嵌入式评估员」，呼吁「透明度」，呼吁「放慢速度给安全协议追赶的时间」。OpenAI的Preparedness框架（无论多么不完善）是目前最接近「可参考透明度」的机制之一。

Astra的发布是「透明化」的一个案例。它不会让模型变得更不危险——但它让我们知道了危险在哪里。

对一个正在快速进化、能力边界不断扩张的技术，「知道危险在哪里」是防御的起点。在那之前，我们只是在不知道有多危险的情况下继续前进。

有一个关于这件事的数字，比ExploitBench的满分更让我印象深刻：从GPT-5.6 Sol的78.5%到GPT-6 Astra的100%，中间只过了一个模型迭代。

下一代模型会有什么？ExploitBench是否还能测量它？

这不是煽动恐慌，这是一个工程问题：评估框架的速度，能跟上能力进步的速度吗？Amodei的「定速」提案背后是同一个问题。Preparedness框架在Astra面前已经到了它的天花板（Critical是最高级）。

在下一代模型发布之前，这些框架需要进化。

这是一场真实的竞赛：不是AI与人类之间的，而是「我们理解AI的速度」和「AI进步的速度」之间的。Astra的ExploitBench满分是一个里程碑，提醒我们这场竞赛不是隐喻——它是正在发生的工程现实。

参考资料

  1. OpenAI launches GPT-6 Astra, its first model to cross a critical cybersecurity threshold — Computerworld, 2026-09-03
    https://www.computerworld.com/article/4218691/openai-launches-gpt-6-astra-its-first-model-to-cross-a-critical-cybersecurity-threshold-3.html

  2. OpenAI starts rolling out its next-generation GPT-6 Astra model — SiliconAngle, 2026-09-03
    https://siliconangle.com/2026/09/03/openai-starts-rolling-out-its-next-generation-gpt-6-astra-model/

  3. GPT-6 Astra: The next generation in intelligence for work — OpenAI官方发布, 2026-09-03
    https://openai.com/index/gpt-6-astra-next-generation-work/

  4. OpenAI Preparedness Framework — OpenAI, 2026
    https://openai.com/safety/preparedness

  5. Path to Astra — OpenAI, 2026-09-02
    https://openai.com/index/path-to-astra/