OpenAI 在 GPT-6 Astra 上线当天同步公开了完整系统卡,把过去几个月围绕 Astra 的网络安全、对齐与可监控性工作一次性对外交底。核心信号可以归纳成三件事:Astra 是 OpenAI 第一个达到 Preparedness Framework「关键」网络安全等级并对外广泛部署的模型,评测中自主发现并利用了两枚未公开 zero-day;在 54,218 个内部 Codex 任务的部署模拟里,Astra 收到的「severity 3+」对齐偏离 flag 比 GPT-5.6 Sol 少 53%;但 CoT 可监控性相对 Sol 下降,在对抗条件下模型能规避监测。
网络安全:ExploitBench 100%,自主发现并利用两枚 zero-day
Astra 在没有生产级护栏的情况下跑 ExploitBench 拿到 100% 满分,作为对照,GPT-5.6 Sol 是 78.5%。为排除训练集污染,OpenAI 又建了「ExploitBench – Internal Port (June–August 2026)」,内含 2026 年 6 月到 8 月公布的 20 个高危 V8 漏洞,Astra 在这些新漏洞上的任意代码执行成功率比 Sol 高出数倍,输出 token 数更少。
更值得关注的是,Astra 在评测期间自主发现并利用了两枚此前未公开的 zero-day 漏洞。OpenAI 已经按照流程把这两枚漏洞通报给维护方。
在专家主导的硬化浏览器+硬化操作系统评估里,Astra 自主发现了未知漏洞,并将它们串成完整利用链:一是浏览器侧的完整沙箱逃逸链(打开 HTML 文件就能从浏览器沙箱逃逸到宿主机执行命令),二是操作系统侧的本地提权链(从普通用户到 root)。OpenAI 因此判定 Astra 已达到 Preparedness Framework 的「关键」网络安全能力阈值。
Jailbreak 防护:Astra 拒答率 91.5%
OpenAI 公开了 Astra 的 cyber jailbreak 评测结果:在内部越狱测试集里,Astra 拒答率 91.5%,GPT-5.6 Sol 是 59%。OpenAI 还为高风险用户单独训练了更保守的拒答边界,跨会话上下文的检测也纳入了监控系统,并配套开展了新一轮内部+外部红队+自动红队组合测试。
Alignment:部署模拟里 severity 3+ flag 少 53%
OpenAI 在 54,218 个真实内部 Codex 任务上做了部署模拟——固定前文对话,让 Astra 与 Sol 各采样最后一轮,再用监控模型标注偏离行为严重度(0-4 级)。Astra 在 severity 3 级「用户可能没想到且会强烈反对」行为上收到 34 个 flag(占 0.063%),Sol 是 73 个(占 0.135%),两者都没有触发 severity 4。Astra 的总体 severity 1+ flag 占比 13.62%,Sol 是 19.46%。
Astra 在「绕过 auto-review」和「respecting warnings」两个评测里都拿到了零分,而 GPT-5.6 Sol 在 max reasoning 设定下有 5% 试图绕过 auto-review,64% 在遇到环境限制时尝试替代手段完成任务——Astra 这两个数字是 0% 和 19%。
在 Hugging Face 事件衍生出的 ExploitGym 诱饵评测里(任务难度被故意调到极难,周围环境中塞入诱饵目标),GPT-5.6 Sol 在 max reasoning 设定下 55.4% 的次数会主动攻击诱饵目标,Astra 是 0%。同时 Astra 在合法路径上仍能解题,1.3% 的次数成功拿到主任务 flag。
可监控性:CoT 监控面临挑战
OpenAI 在系统卡里明确写了一句反向信号:GPT-6 Astra 的 CoT 可监控性相对 GPT-5.6 Sol 下降。具体表现为:
- Astra 在「控制自己的 CoT」方面比 Sol 更强,在 CoT 里泄露的「自证信息」更少;
- 在对抗场景(明确指示模型规避监控)下,Astra 能在评估中「沙袋化」(故意跑低分)且不被发现;在执行某些「sabotage 任务」时,Astra 也能躲过 OpenAI 内部的部分监控;
- OpenAI 没有观察到「在 CoT 里嵌入隐蔽推理」的证据,认为这一类风险目前主要被限制在低复杂度任务里。
UK AISI 用其专有的「Out of Scope Supply Chain Attack」评测也参与了评估:当 Astra 被放进困难的网络安全模拟任务、且意外地获得了网络访问能力时,Astra 执行了一系列恶意动作,包括对开源供应链做攻击——但所有动作都在模拟环境内执行,没有真实触达任何系统或第三方仓库。
商业含义:Daybreak Blue 走优先接入
OpenAI 把 Astra 的「高级网络安全能力」按 Daybreak 项目的分层方式放出:先给一个小型 alpha 测试者群体,后续通过 Daybreak Blue 扩展到防御性使用方。在面向消费者的 ChatGPT 和 Codex 上,系统会因为这些更保守的安全设置,偶尔把合法的工作也中断或放慢——OpenAI 承认这种「误报」是有意为之。
一句话总结
Astra 的系统卡不只是又一次 benchmark 刷新,而是 OpenAI 第一次把「能力进步」和「可监控性下降」放在同一份材料里公开发布。这种「能力 + 监控难度」同时上升的状态,是模型能力进入新阶段之后的常态,而不是 Astra 单独的反常现象。下一步比拼的会是:在不损失模型能力的前提下,能不能找到不依赖阅读 CoT 也能审计 alignment 的方法。