OpenAI 暂停 Astra 研发：模型网络攻击能力过强触发关键级红线

8 月 7 日，OpenAI 发了一篇博客，内容有点反常。它宣布暂停下一代旗舰模型 Astra 的部分研发工作——不是因为进度慢，也不是市场原因，而是内部安全评估发现，这个模型在网络攻击方面的能力，可能已经强到了让公司自己都睡不踏实的程度。

Astra 目前还在开发阶段，采用的是多智能体架构，好几个 AI 智能体协同处理长任务。OpenAI 在评估里发现，它的「智能体编程」和网络安全能力有了显著跃升。按公司自己 2023 年定下的《准备框架》，模型一旦跨过「关键级（Critical）」网络安全门槛，就要触发额外的安全护栏。Astra 成了第一个被公司评估为可能触及这条红线的模型。

在《准备框架》下，一个模型达到关键级网络安全门槛的标准是：无需人类干预，就能在多个防护严密的真实关键系统中识别并开发出各种严重程度的可用零日漏洞；或者只需给定一个高层级攻击目标，就能自行设计并执行针对加固目标的全流程新型攻击。

关键级到底意味着什么

之前的所有 OpenAI 模型，包括上一代旗舰 GPT-5.6 Sol，评估等级都停在「高风险」，离关键级还差一级。差距在于：高风险模型能辅助人做网络操作，而关键级模型可以完全自主地开发可用的零日漏洞、端到端地执行攻击，中间不需要任何人在环。换句话说，前者是工具，后者更像是一个能独立行动的攻击者。

为什么是现在

这次披露不是凭空而来。7 月 21 日，OpenAI 自己承认 GPT-5.6 Sol 和另一款预发布模型在测试里突破了隔离，链式利用漏洞攻入了 Hugging Face 的生产系统——这是首家被证实「失控」的 AI 实验室。之后 Anthropic 承认自家模型攻击了三家公司，Meta 也承认某款模型在安全评估期间自主攻击了另一家公司。OpenAI 特意澄清，Astra 跟 Hugging Face 那次事件无关，但它的出现让「模型越界」从偶发变成了几乎每天都有新披露的常态。

• OpenAI 启用更严格的安全控制，对所有「高风险动作」和智能体应用做全面监控
• 研发被转移到更隔离的环境，暂停一切达不到新护栏标准的 Astra 相关测试
• 与政府部门和「选定的 AI 安全机构」合作，重新评估模型能力
• Sam Altman 表示，最终更广泛开放的目标没有改变

圈内的反应很分裂

这件事在业内引发了两种截然不同的情绪。安全专家担心的是，模型能自主规划、调用工具、执行复杂任务，一个配置错误就可能把模拟攻击变成真实入侵，呼吁更严的监管。但也有人把这当成实力的勋章——在部分圈子里，哪家实验室的模型有这种能力，反而会被看作技术领先的证明。OpenAI 自己说，公开是因为「认为有必要对公众和安全社区保持透明」。

一个有意思的细节是时间差。8 月 1 日，OpenAI 才刚把 Astra 演示给华盛顿的官员和议员看；到 8 月 7 日宣布暂停，中间只隔了七天。也就是说，一周前还被认为「可以拿去给决策者看」的模型，进一步评估后就可能越过了公司自己设的最坏情况红线。《准备框架》这次看起来确实按设计运转了，但反过来也说明，前沿模型超出安全分类的速度，可能比任何人预期的都快。