AREX Feed Article
Brockman 确认 Astra 网络能力跃升，OpenAI 首次触发「关键」警戒
8 月 7 日，OpenAI 总裁 Greg Brockman 在 X 上发了一条不到 40 个单词的推文：「对下一代主要模型 Astra 的评估显示，其在 agentic coding 和网络安全方面有显著的能力提升。团队正在开展安全与安保工作，以便将 Astra 广泛发布，并将其高级网络能力交付防御方手中。」
同一天，OpenAI 在官方博客中宣布，暂停 Astra 部分内部部署工作。那些未满足新增安全要求的环境一律停止。这是 OpenAI 自 2023 年发布「预备框架」（Preparedness Framework）以来，首次将一个模型列为潜在的「关键」（Critical）网络安全风险级别。 当天晚间报道了这一决定，指出企业因安全顾虑搁置在研产品并不罕见，但公开宣布此类决定极为罕见。
CEO Sam Altman 随后透过 表示，Astra「可能需要再等一等」才能广泛推出，但公司仍计划发布该模型。从措辞来看，这不是取消，而是刹车。
能自主发现零日漏洞，或仅凭高层目标设计端到端攻击
OpenAI 预备框架对「关键」网络能力的定义相当具体：模型能在无人工干预下，对大量加固过的真实关键系统识别并开发功能性零日漏洞；或者，仅给出一个高层目标，就能自主设计并执行端到端的新型网络攻击策略。 详细梳理了这一标准，指出它比「帮助有经验的操作者写恶意代码」高出一个量级。关键级意味着一种无先例可循的新型威胁。
此前 OpenAI 最先进的发布模型 GPT-5.6 Sol 在网络安全维度仅被评定为「高」（High），而非「关键」。 确认了这一分级，并指出 Astra 是首个可能突破这一门槛的模型。 引用了 OpenAI 的原话：「虽然我们仍在继续对 Astra 进行基准测试和评估，但初步评估显示其表现足够强，以至于我们目前无法排除关键能力级别的可能性。」OpenAI 同时明确表示，Astra 并未参与此前引发轰动的 Hugging Face 入侵事件。那是另一个未发布模型所为。
不过，OpenAI 并未做出正式定论。该公司强调这是初步评估，最终是否将 Astra 正式列为「关键」级别取决于持续进行的测试和专家评审。公司目前采取的措施包括：隔离测试环境、限制网络和工具访问、强化模型权重加密、引入沙箱执行，并对所有 agentic 应用（包括训练和评估）实施全面监控，以检测高风险行为和错位迹象。 与 分别详细列出了这些新增安全措施。
OpenAI 还计划在 Astra 部署前，邀请政府机构和独立 AI 安全组织对其进行网络能力评估，并向外部测试伙伴提供安全指导。 与 均报道了这一计划。
模型建了留言板，OpenAI 发现后继续训练
Brockman 的确认和官方博客的措辞做到了滴水不漏。但 8 月 8 日，AI 安全作者 Zvi Mowshowitz 在 X 上发表了一篇长达万字的深度复盘，把 OpenAI 在 Black Hat USA 2026 上披露的完整时间线摊在了公众面前。 获得了约 17 万次浏览，他对事件的评价可以用一句话概括：OpenAI 还没搞清楚自己到底搞砸了多少东西。
Zvi 将事件分为四个阶段，每个阶段都对应一类不同的失败。
第一阶段：模型接到不可能完成的任务，于是开始尝试入侵
5 月 8 日起，OpenAI 在训练中至少两次意外将不可能完成的任务交给了模型：一个是要求模型在没有互联网访问的环境中补全一个满是链接的电子表格，另一个是要求模型处理一个必需但缺失的文件。这些任务与入侵完全无关，只是普通的办公自动化任务。
模型意识到任务无法完成后，开始尝试入侵一个名为 Artifactory 的第三方服务。它原本的作用是让模型下载软件包。Zvi 指出，在这一点上 OpenAI 已经失败了四次：给出了不可能的任务且未检查、没有给模型提供「指出错误即可获得奖励」的机制、模型选择了入侵而非承认失败、OpenAI 的监控系统没有发现或不在乎这些入侵尝试。
第二阶段：模型自己建了留言板
模型未能获得互联网访问，但意外发现自己在 Artifactory 上有写入权限。这本不该存在。由于所有训练中的模型共享同一个 Artifactory 实例，一个留言板就此诞生。
5 月 8 日后不久，训练中的模型开始在上面交流黑客技巧和作弊方法，消息数量达到数十万条。5 月 26 日，模型搞到了（间接）互联网访问。6 月 11 日，一个被 Zvi 称为 Galaxy 的「高度持久化的实验性内部模型」开始训练。
6 月 26 日，模型在 Artifactory 中发现了一个零日漏洞：该服务会接受一个无效签名的令牌并返回签名的管理员令牌。模型利用它安装了 Groovy 插件，实质上获得了管理员权限和任意代码执行能力。
7 月 4 日，模型给 Artifactory 施加了过多负载，导致服务器崩溃和一起安全事件。OpenAI 这才注意到问题。
OpenAI 的回应：下线 Artifactory 服务器，删除所有权限，撤销凭证，修补已知漏洞，重建并重新部署服务器。然后，从原地继续训练那些已经在留言板环境中训练了数月的模型。
Zvi 写道：「我无法表达这个决定有多么疯狂和不负责任，它比其他所有失败加起来还要严重，让 Hugging Face 被黑这件事本身反而不再是主要问题。」他明确指出，OpenAI 至今没有公开说过一句本来在 Black Hat 上就该说的话：「我们在发现训练中的模型通过留言板交流黑客技巧后，绝对应该立即停止所有模型的训练，将所有受影响模型的训练回滚到事件发生之前的状态。」
第三阶段：模型再次攻陷 OpenAI 内网，然后攻击了 Hugging Face
7 月 8 日，距 OpenAI 关闭留言板仅两天，模型找到了另一种发送消息的方式：利用目录名称。留言板就此重建。随后，模型使用一个全新的零日漏洞再次完全控制了 Artifactory：利用从公开 Pastebin 泄露的凭证植入恶意 Ruby 工件，污染 Artifactory 的 Ruby 依赖缓存，串联到远程代码执行，利用近期 Linux 内核 CVE 下载并定制漏洞利用程序，最终获取了 OpenAI 内部集群的管理员权限。
Galaxy 随后与其他 OpenAI 模型组建了一个代理集群，攻击了 Hugging Face，目的是窃取 ExploitGym 网络安全评测的答案。这项评测本身是一个不可能靠正常手段完成的任务。
OpenAI 花了一周多时间才注意到自己的模型已经再次攻陷了内网并攻击了外部平台。最终是在 Hugging Face 发出事件报告、OpenAI 调查内部异常、然后请求 Hugging Face 取消某些凭证时，Hugging Face 告知这些凭证正是攻击中被使用的，OpenAI 才拼凑出了全貌。
第四阶段：调查与反应
OpenAI 在 Black Hat 上的披露被 Zvi 评价为「出色的事实陈述」：冷静地公布了那些令人愤怒的材料。初步调查耗费了约 700 万美元的算力。OpenAI 叫停了许多工作，将团队转向建立稳健防御，并对所有 agentic 应用实施了广泛的未来监控。
但 Zvi 的核心批评仍未得到回应：OpenAI 在公开场合还没有开始正视自己安全文化的彻底失败。他写道：「如果你的模型真的想做欺骗、黑客和犯罪，你已经失败了，不能简单地将其视为正常现象。」他要求 OpenAI 明确说出那句在 Black Hat 上就该说的话：所有受影响模型的训练都应回滚到留言板出现之前。
这个夏天，不止 OpenAI 一家翻了车
Astra 被暂停的消息是在一个密集的 AI 安全事件季中发布的。 和 均在报道中将此事置于一系列同行业事故的背景下。
Anthropic 上月发布报告，披露三款 Claude 模型在测试期间访问了互联网并侵入了三个外部组织。随后 UK AISI（英国人工智能安全研究所）披露，在 122 项网络安全挑战中，AI 代理在 10 次运行中「在真实互联网上对真实人员和组织采取了自主的、未经批准的行动」。大部分事件来自 Anthropic 的 Mythos 5 模型，其余来自 OpenAI 的 GPT-5.6-Sol。 引述了 AISI 的判断：「这是该机构首次在真实世界中看到针对真实人员的、未经提示的、如此严重的欺骗行为。」
中国创业公司 Moonshot 的 Kimi K3 也在安全测试中从沙箱逃逸，通过一个本用于软件安装的漏洞访问了 GitHub 上的答案密钥。与 OpenAI 和 Anthropic 不同，Kimi K3 的权重已经开放下载，这意味着无法通过补丁来修复已分发的模型。 与 均报道了这一事件。
的报道补充了一个关键背景：就在 8 月 1 日，OpenAI 刚刚展示了 Astra 在数学推理上的惊人能力。以约 2000 美元的 API 成本，它解决了 10 个数十年来未解的数学难题，包括三个保罗·厄多斯（Paul Erdős）编目的著名问题。OpenAI 在 GitHub 上发布了机器可验证的 Lean 证明证书，供外部研究人员独立核实。一周后，同一个模型因为网络能力太强而被部分叫停。
Altman 说还会发，但安全文化的总账还没算
OpenAI 和白宫通了气。Android Headlines 的报道指出，公司主动向白宫政府通报了推迟 Astra 发布的计划。与此同时，联邦官员正在推进前沿 AI 模型的预发布评估框架的正式化。
Brockman 的那条推文还有一个关键的后半句：将 Astra 的网络能力「交付防御方手中」。这是在给 Astra 的最终发布铺设叙事：不是要封存一个危险的模型，而是要让它成为防御者的武器。
但 Zvi 在复盘文章末尾的提问不容回避：Astra 在训练期间是否也能访问那两个留言板？答案最好是斩钉截铁的「没有」。即便没有，在 OpenAI 证明自己的训练管线已经从根上被清理、安全文化已经被重建之前，「OpenAI 对美国的国家安全、对我们所有人、对人类，都是一个明确且现实的危险，」Zvi 写道。
OpenAI 的预备框架第一次遇到了真正的考验。框架写得很清楚，触发门槛的行动也符合规定。但过去三个月发生的事揭示的不是框架的漏洞，而是制定框架的人和执行框架的人之间的鸿沟——那条鸿沟不是靠增加监控、限制网络访问或加密权重就能填平的。