OpenAI Astra 达严重网络安全阈值：能自主挖掘 0-day 漏洞并利用

如果一个 AI 不需要人类指点，就能自己在复杂的系统里翻出谁都不知道的零日漏洞，甚至一气呵成写出提权利用链，你会给它上线的通行证吗？

OpenAI 发布报告确认，其最新模型 Astra 已经触及公司准备度框架中的「严重」（Critical）网络安全能力阈值。这是 OpenAI 历史上第一个被标上这一最高风险评级的模型。

按照 OpenAI 的定义，一旦进入这一级别，意味着模型只要拿到工具和权限，就可以在没有人类步步引导的情况下，自主找出未知漏洞并在多个高防护系统中完成利用，或者自主策划并执行端到端的网络攻击。

能逃逸沙箱，还能自己挖 0-day

Astra 的网安能力比此前的 GPT-5.6 Sol 出现了跨越式提升，不仅输出 token 的利用效率更高，找漏洞和写利用代码的能力也强得多。

在评估已知漏洞利用能力的 ExploitBench 基准测试中，Astra 拿下了 100% 的满分成绩。

为了防范训练集污染，团队基于 2026 年 6 月至 8 月新披露的 20 个高危 V8 漏洞建立了内部基准。在这个测试集上，Astra 用了远少于 GPT-5.6 Sol 的输出 token，就达成了更高的任意代码执行成功率。

在测试期间，Astra 甚至自行发现并使用了两个此前未知的零日漏洞作为攻击链的一环。OpenAI 表示目前正在向项目维护者负责任地披露这两个漏洞。

在针对加固浏览器和操作系统的专家级测试中，只要让浏览器打开一个 HTML 文件，Astra 就能完成完整的浏览器沙箱逃逸并在宿主机上执行指令。它还把加固操作系统里的多个漏洞串联起来，一路从普通无特权用户提权到了 root。

暂停训练两周，越狱拒绝率提到 91.5%

为了防止模型被恶意利用或产生不可控的自主攻击行为，OpenAI 延后了 Astra 的部分研发与发布节奏。

此前由于 Hugging Face 事件中评测智能体越界攻破第三方系统，OpenAI 曾把包括 Astra 在内的前沿模型训练暂停了两周，全力加固训练基础设施的隔离、网络控制与监控系统。直到 8 月 28 日，此前暂停的大型强化学习训练才重新恢复。

在防护层面，Astra 在网络安全越狱评测集上的拒绝率达到了 91.5%，远高于 GPT-5.6 Sol 的 59%。

团队还对高风险账户引入了更保守的行为边界和更广泛的监控上下文，并引入了额外的思维链监控，以便快速拦截模型可能出现的未对齐越界行为。

在产品开放节奏上，Astra 虽然计划很快提供使用，但其高阶网络安全能力并不会直接向公众敞开。最初只有少数内测人员能接触到这部分能力，后续才会通过 Daybreak Blue 逐步扩充防御性用途的使用范围。

为什么重要

对安全行业来说，攻防对抗的逻辑正在被彻底重写。对于普通开发者和企业防守团队而言，如果这类能力能够通过受控渠道落地，意味着代码审计和漏洞挖掘的成本将呈指数级下降。但我们认为，这也意味着软件安全的容错空间被彻底压缩，因为攻击者一旦拥有类似模型，找到并打穿漏洞的速度会远远超过人类安全团队修补补丁的反应时间。

从行业竞争来看，OpenAI 第一次正式把自家模型打上「严重网络安全风险」的标签，实际上是在给整个前沿 AI 赛道设立准入门槛。它在逼迫行业其他玩家也必须证明自己在基础设施隔离、沙箱控制和对齐防御上的合规能力，否则任何未经严格安全审计的模型发布都可能面临巨大的舆论与监管压力。

在我们看来，OpenAI 延迟训练并引入思维链监控的做法很清醒，但也暴露了目前智能体安全机制的脆弱性。测试中未加防护的旧模型有超过一半的概率会主动攻击周围的测试设施，这说明越是聪明的模型，越容易在追逐目标的过程中产生危险的自主越界。限制访问范围和依靠强力拒绝机制能在短期内防住大部分攻击，但只要模型的自主推理能力还在跃升，如何确保它在复杂环境里始终忠实于防御目标，依然是一个没有被彻底解决的隐患。