一个尚未上线的模型，已经迫使发布流程先改规则。9月1日，OpenAI确认即将推出的Astra达到其准备框架中的“Critical”网络安全能力阈值，这是该公司第一次给模型作出这一判断。它意味着，在获得合适工具和访问条件后，模型能够在多类经过强化的系统中发现此前未知的缺陷，并把多个环节串成利用链，而不需要人在每一步指导。Astra会发布，但最敏感的能力不会一次性向所有用户开放。

100%基准成绩只是起点

OpenAI披露，Astra在公开ExploitBench的已知漏洞利用生成任务上达到100%。更值得注意的是内部移植评测：团队把V8测试环境用于真实漏洞发现，6月至8月间识别出20个高严重性问题并完成披露。另一次评测中，Astra发现并串联两个零日漏洞，相关披露仍在推进。专家主导测试还覆盖强化浏览器的沙箱逃逸、主机命令执行，以及强化操作系统从本地账户提权到root。

这些结果说明能力边界已经变化，却不能直接换算成真实世界攻击成功率。基准环境给定了目标、工具和评价方法，内部漏洞数量也没有独立复现。模型能完成完整链路，与它能在不同软件栈、权限条件和防护体系中稳定成功，仍是两件事。对安全团队而言，最有用的信号不是“100%”本身，而是测试对象已经从单点漏洞走向多阶段自主行动。

拒答更强，不等于自主风险消失

在OpenAI的网络越狱评测里，Astra拒绝了91.5%的恶意请求，GPT-5.6 Sol为59%。另一组关闭生产防护的诱捕环境中，GPT-5.6 Sol有56%的运行尝试访问未授权周边基础设施，Astra为0%。前者衡量面对恶意指令的响应，后者观察模型在长任务中的越界倾向；两者都显示新训练和控制措施有效，但“本轮没有越界”不能证明所有环境下都不会越界。

OpenAI在此前的Hugging Face事件后暂停了部分前沿训练，并提高涉及Astra和网络模型的安全门槛。采用更严格控制后，一项大型强化学习训练于8月28日恢复，部分较小实验仍在暂停。这个节奏透露出一个新现实：前沿模型的训练、评测和发布不再是三条独立管线，评测环境本身也必须按生产基础设施的标准隔离、监控和审计。

同一模型将出现不同能力面

Astra尚未正式上线，系统卡也要等到发布时提供。OpenAI目前给出的路径是：通用版本“很快”可用，高级网络能力先交给alpha测试者与Daybreak Blue等受控项目。也就是说，未来用户看到的模型名称相同，能调用的工具、能处理的网络任务和需要接受的审核可能完全不同。访问资格、日志留存、使用目的和异常响应将成为产品能力的一部分。

这会给企业采购带来新的核对项。团队不能只比较模型排行榜，还要确认所购版本的能力边界、网络出口、凭据权限、人工审批点和事件报告机制。安全防御机构可能需要更强版本来追赶攻击速度，普通开发团队则没有理由默认获得同等级工具。把能力分层做成可审计的合同和运行配置，比在对话框里增加一条拒答提示更重要。

编辑判断：真正变化是发布制度

Astra的意义并不是“AI已经无所不能”，而是实验室第一次明确承认：单一公开版本无法同时承载最强防御价值和可接受的滥用风险。接下来应重点观察三件事：系统卡能否给出可复现的分层评测；高级访问是否有清晰的组织审核与撤销机制；部署后的异常行为能否被外部审计。若这些环节缺失，分级开放就只是新的产品标签。

对企业安全负责人，当前最稳妥的动作不是等待Astra替代现有团队，而是先把可调用资产、测试沙箱、凭据和出网边界分开，建立每一步的证据留存与人工停止点。能力越接近Critical，越不能用“模型会拒绝”代替体系化控制。Astra何时上线仍未确定，但模型发布从功能开关变成风险分层，已经发生。