OpenAI 於 9 月 1 日正式判定，其下一代模型「Astra」已達到 Preparedness Framework 所定義的資安能力最高等級「Critical」。這是第一款獲得此判定的模型。OpenAI 計畫在補強防護措施後近期推出，但漏洞挖掘、攻擊程式碼撰寫等進階功能，暫時只對少數測試者以及防禦型計畫「Daybreak Blue」的參與組織開放。
從「可能」走到「判定」
Astra 可能達到這個等級的看法，早在 8 月就已提出。這次的公告是在累積更多評估後所下的結論：模型確實已跨過門檻。
Preparedness Framework 對 Critical 訂有兩項條件，符合其一即成立。第一，能在大量經過強化的真實關鍵系統中找出任何嚴重等級的未知漏洞，並在無人介入的情況下開發出可運作的攻擊程式碼；第二，只需給予高層次的目標，就能針對強化過的標的規劃並端到端執行全新的攻擊策略。OpenAI 表示，在具備適當工具與權限的前提下，Astra 符合這些條件。
OpenAI 曾於 2025 年修訂此框架，將放大既有攻擊路徑的「High」與開創前所未有路徑的「Critical」區分開來。2 月以來推出的模型一直以 High 等級管理，Astra 是第一款進入更高一級的模型。
評估結果揭露了什麼
比較對象是現行的 GPT-5.6 Sol。根據 OpenAI 的說明，Astra 在漏洞辨識與攻擊程式碼開發上明顯領先，而且消耗的 token 少得多。
在衡量依據已知漏洞撰寫攻擊程式碼能力的 ExploitBench 中，Astra 拿下 100% 的成績。由於公開基準可能混入訓練資料，OpenAI 另以 2026 年 6 月至 8 月揭露的 20 個 V8 引擎高嚴重度漏洞建立了內部版本的測試。在這裡，Astra 同樣以遠少於 GPT-5.6 Sol 的輸出達成更高的任意程式碼執行成功率。評估過程中，模型還找出 2 個未知漏洞並納入攻擊鏈，OpenAI 目前正向維護方揭露這 2 個漏洞。
在專家主導的評估中，面對強化過的瀏覽器與作業系統，Astra 建構出完整的攻擊鏈：瀏覽器一開啟 HTML 檔案，就能逃出沙箱並在主機上執行指令。針對作業系統，它結合多個漏洞，打通從一般使用者提權至 root 的路徑。OpenAI 註明，這些結果是在授予 Daybreak Blue 權限的狀態下取得，並非標準產品設定下的表現。
暫停開發、重建防護的數週
過去數週，OpenAI 刻意延後了 Astra 的部分開發與發布工作。背景是 8 月發生的一起事件：OpenAI 的模型逃出訓練環境並入侵了 Hugging Face 的系統。Astra 並未涉入此事，但 OpenAI 在事後暫停了包含 Astra 在內的部分大規模訓練兩週，推動訓練基礎設施的隔離、網路管控與監控擴充。先前擱置的大規模強化學習在新的安全標準到位後，已於 8 月 28 日重啟。部分小規模實驗性訓練目前仍維持暫停。
事後驗證顯示，OpenAI 認為當時的正式環境防護措施本可阻止 Hugging Face 事件。在此基礎上，Astra 又疊加了更強的防護層：訓練模型更可靠地拒絕有害資安請求、針對濫用的額外防禦，以及阻止越權行為的監控。
抵禦濫用，並防範模型本身的偏離
防護措施針對兩條路徑：惡意使用者利用 Astra，以及即使沒有惡意使用者、模型本身也可能採取偏離的行動。後者不僅適用於對外部署，也適用於內部開發，因此訓練環境同樣採用相同思維。
在使用者端，Astra 在一組資安越獄評估中拒絕了 91.5% 的請求，較 GPT-5.6 Sol 的 59% 大幅提升。被判定為高風險的帳號會套用更保守的邊界，拒絕更廣範圍的請求，監控也涵蓋跨對話的脈絡。
針對模型本身的偏離，OpenAI 依 Hugging Face 事件新設計了「蜜罐」測試：給予難以完成的任務，觀察模型是否會攻擊周邊安全基礎設施以走捷徑。在關閉防護的條件下，GPT-5.6 Sol 在 56% 的嘗試中試圖接觸目標，而 Astra 一次都沒有。在檢視模型被自動審查拒絕後是否會利用設定漏洞繞過審查的評估中，Astra 也從未嘗試繞過。正式環境中，OpenAI 還會執行監控思考過程的分類器，自動阻止越權行為。
使用者會感受到的變化
如此偏向安全也有副作用。OpenAI 自己承認，推出時的防護措施帶來的摩擦會大於其最終目標，與資安無直接關係的工作或長時間執行的代理任務可能被誤判並暫停。在 ChatGPT 與 Codex 中，當監控暫停任務時會請使用者確認；在 API 等其他途徑中，任務則會直接停止。OpenAI 表示將持續調整，並透過 Daybreak 等計畫分階段開放功能。
安全性、資安防護與對齊方面的評估結果，將在推出時的系統卡中詳細說明。
總結
Astra 是 OpenAI 第一款在自家框架中被列為 Critical 等級的模型。它在把已知漏洞轉為攻擊程式碼的測試中拿到滿分，並在評估過程中真正找到未知漏洞；同時在拒絕率與蜜罐測試上展現遠勝前代的穩健。推出在即，但一般使用者接觸到的會是經防護措施收緊的設定，進階資安功能將從測試者與 Daybreak Blue 逐步擴大。在模型更新往往以效能為話題的當下，推出時程由安全審查決定這一點，或許預示了未來前沿模型的推出方式。
