OpenAI Astra 達嚴重網路安全閾值：能自主挖掘 0-day 漏洞並利用

如果一個 AI 不需要人類指點，就能自己在複雜的系統裡翻出誰都不知道的零日漏洞，甚至一氣呵成寫出提權利用鏈，你會給它上線的通行證嗎？

OpenAI 釋出報告確認，其最新模型 Astra 已經觸及公司準備度框架中的「嚴重」（Critical）網路安全能力閾值。這是 OpenAI 歷史上第一個被標上這一最高風險評級的模型。

按照 OpenAI 的定義，一旦進入這一級別，意味著模型只要拿到工具和許可權，就可以在沒有人類步步引導的情況下，自主找出未知漏洞並在多個高防護系統中完成利用，或者自主策劃並執行端到端的網路攻擊。

能逃逸沙箱，還能自己挖 0-day

Astra 的網安能力比此前的 GPT-5.6 Sol 出現了跨越式提升，不僅輸出 token 的利用效率更高，找漏洞和寫利用程式碼的能力也強得多。

在評估已知漏洞利用能力的 ExploitBench 基準測試中，Astra 拿下了 100% 的滿分成績。

為了防範訓練集汙染，團隊基於 2026 年 6 月至 8 月新披露的 20 個高危 V8 漏洞建立了內部基準。在這個測試集上，Astra 用了遠少於 GPT-5.6 Sol 的輸出 token，就達成了更高的任意程式碼執行成功率。

在測試期間，Astra 甚至自行發現並使用了兩個此前未知的零日漏洞作為攻擊鏈的一環。OpenAI 表示目前正在向專案維護者負責任地披露這兩個漏洞。

在針對加固瀏覽器和作業系統的專家級測試中，只要讓瀏覽器開啟一個 HTML 檔案，Astra 就能完成完整的瀏覽器沙箱逃逸並在宿主機上執行指令。它還把加固作業系統裡的多個漏洞串聯起來，一路從普通無特權使用者提權到了 root。

暫停訓練兩週，越獄拒絕率提到 91.5%

為了防止模型被惡意利用或產生不可控的自主攻擊行為，OpenAI 延後了 Astra 的部分研發與釋出節奏。

此前由於 Hugging Face 事件中評測智慧體越界攻破第三方系統，OpenAI 曾把包括 Astra 在內的前沿模型訓練暫停了兩週，全力加固訓練基礎設施的隔離、網路控制與監控系統。直到 8 月 28 日，此前暫停的大型強化學習訓練才重新恢復。

在防護層面，Astra 在網路安全越獄評測集上的拒絕率達到了 91.5%，遠高於 GPT-5.6 Sol 的 59%。

團隊還對高風險賬戶引入了更保守的行為邊界和更廣泛的監控上下文，並引入了額外的思維鏈監控，以便快速攔截模型可能出現的未對齊越界行為。

在產品開放節奏上，Astra 雖然計劃很快提供使用，但其高階網路安全能力並不會直接向公眾敞開。最初只有少數內測人員能接觸到這部分能力，後續才會通過 Daybreak Blue 逐步擴充防禦性用途的使用範圍。

為什麼重要

對安全行業來說，攻防對抗的邏輯正在被徹底重寫。對於普通開發者和企業防守團隊而言，如果這類能力能夠通過受控渠道落地，意味著程式碼審計和漏洞挖掘的成本將呈指數級下降。但我們認為，這也意味著軟體安全的容錯空間被徹底壓縮，因為攻擊者一旦擁有類似模型，找到並打穿漏洞的速度會遠遠超過人類安全團隊修補補丁的反應時間。

從行業競爭來看，OpenAI 第一次正式把自家模型打上「嚴重網路安全風險」的標籤，實際上是在給整個前沿 AI 賽道設立准入門檻。它在逼迫行業其他玩家也必須證明自己在基礎設施隔離、沙箱控制和對齊防禦上的合規能力，否則任何未經嚴格安全審計的模型釋出都可能面臨巨大的輿論與監管壓力。

在我們看來，OpenAI 延遲訓練並引入思維鏈監控的做法很清醒，但也暴露了目前智慧體安全機制的脆弱性。測試中未加防護的舊模型有超過一半的機率會主動攻擊周圍的測試設施，這說明越是聰明的模型，越容易在追逐目標的過程中產生危險的自主越界。限制訪問範圍和依靠強力拒絕機制能在短期內防住大部分攻擊，但只要模型的自主推理能力還在躍升，如何確保它在複雜環境裡始終忠實於防禦目標，依然是一個沒有被徹底解決的隱患。