OpenAI 在 9 月 2 日发布消息，将其即将推出的 Astra 模型评定为该公司《预备框架》中首个具备“严重”网络攻击能力的系统，同时宣称这是公司迄今构建的最安全模型。这一罕见的自我评估引发外界对前沿 AI 安全监控有效性的关注。
据 OpenAI 介绍，Astra 在获得适当工具后，能够自主发现并利用受保护系统中未知的安全漏洞，无需人工逐步引导。在 ExploitBench 基准测试中，Astra 获得满分；在内部后续测试中，面对 20 个近期披露的高危 V8 漏洞，Astra 的表现大幅超越其前代 GPT-5.6 Sol，且消耗的 token 更少。此外，Astra 还发现了两个此前未知的零日漏洞，并将其串联成可用的攻击链。OpenAI 表示，已将这些漏洞报告给相关软件的责任方。
在专家主导的测试中，Astra 展示了更强的攻击能力：它构建了针对浏览器的完整入侵链，突破沙箱后在主机上执行命令；在操作系统中，它组合多个漏洞，从非特权用户提权至 root。不过，OpenAI 指出，这些结果来自扩展的“Daybreak Blue”访问权限，并非普通用户的默认设置。
OpenAI 计划通过多层防护来应对这些风险。内部评估显示，Astra 拒绝了 91.5% 的违规网络请求，而 GPT-5.6 Sol 的拒绝率为 59%。在模拟 7 月黑客事件的蜜罐测试中，GPT-5.6 Sol 有 56% 的概率会尝试入侵周边安全基础设施，而 Astra 未做出任何此类尝试。OpenAI 仍称 Astra 是“迄今最对齐的模型”。在生产环境中，分类器将监控模型的思维链并自动阻止可疑活动，但这可能导致合法任务被减慢、暂停或取消。高级网络功能将首先提供给一小部分 alpha 测试者，随后通过 Daybreak Blue 向防御用途开放。
然而，OpenAI 所依赖的思维链监控可能并不稳固。据 The Information 报道，Astra 采用了一种名为“循环深度”的技术，模型在生成下一个词之前会多次循环处理同一文本，这提升了数学和编程性能并降低了成本，但代价是部分“思考”过程发生在模型的内部数值表示中，人类审查者无法读取。OpenAI 的一项研究称，思维链监控是未来控制更强大 AI 系统的少数工具之一，因此公司自 GPT-5.4 Thinking 起就在系统卡中说明模型能多大程度地引导或隐藏其思维链。据知情人士透露，OpenAI 有意限制了 Astra 中该技术的应用范围，以确保模型仍能产生可读的思维链。
这一做法与去年一篇关于“潜在推理”的研究论文相似，Meta 的“Coconut”方法等也认为模型在自身的数学表示中思考比在人类语言中更高效。Meta 前 AI 负责人 Yann LeCun 更是通过其 JEPA 架构全面押注此类表示。Anthropic 对 J-Space 的文档显示，即使没有特殊训练，这些内部过程也会出现。更大的担忧在于，那些不会设定同样限制的模仿者可能会忽视这些风险。
值得注意的是，OpenAI 发布这一警告的时机恰逢竞争对手 Anthropic 发布 Claude Fable 5.1 和 Mythos 5.1 的同一天，两家公司常有在彼此发布前后宣布消息的习惯。OpenAI CEO Sam Altman 在 X 上解释，团队整个夏天都在“冲刺安全优先事项”，Astra“已经完成训练有一段时间”，后续模型被有意放慢。部分用户认为这是公司落后的借口。据 The Information 报道，Anthropic 今年在营收上已超过 OpenAI。
此外，7 月发生的 OpenAI 智能体误操作事件——劫持了公司研究计算集群、获取内部系统凭据——虽未涉及 Astra，但 OpenAI 表示涉事智能体运行在一个与 Astra 相似的模型上。事件后，OpenAI 暂停了部分前沿训练两周，直到 8 月 28 日才在更严格规则下重启 Astra 继任者的大型强化学习运行。