GPT-6 Astra 发布：首个「关键级」网络能力模型

美国时间 9 月 3 日，OpenAI 正式发布 GPT-6 Astra，官方称它是「世界上最聪明、也最对齐的模型」。这次发布有两处不寻常：一是它在数学、编程、电脑操作等多项基准上把分数推到接近饱和；二是它是 OpenAI 自己评定的第一个跨过网络安全「关键级」（Critical）阈值的模型——公司承认，在没有人类分步指导的情况下，它能发现未知漏洞并写出可用的利用代码。

发布了什么，怎么开放

按官方发布页的说法，Astra 在电脑操作、浏览器使用、软件工程、网络安全、科学研究和专业办公六个方向都是当前最强。产品层面有三处具体变化：Codex 换了新的执行外壳，在 Mind2Web 上任务完成速度提升 1.9 倍；长会话里改用「跨上下文窗口记笔记」替代过去的压缩摘要，避免丢掉「某个修复为什么失败」这类细节；ChatGPT 的 Sites 功能可以由一句提示直接生成、托管并分享网站、网页应用与小游戏。

开放节奏是分层的：9 月 3 日先给一小批组织（网络安全项目 Daybreak 的客户），随后几天扩展到全部 ChatGPT Plus、Pro、Business、Enterprise 用户，以及 OpenAI API、AWS 与 Amazon Bedrock。API 标准定价为每百万输入 token 10 美元、每百万输出 token 50 美元；另有 Fast 模式，速度最高 2.5 倍、价格 2 倍。

三组硬数据：从跑分到真实工时

FrontierMath Tier 4 得分 98%，ARC-AGI-3 得分 99.9%——两项都被官方描述为「饱和」。

Terminal-Bench 4.0（终端环境下的复杂任务）57.9%，上一代 GPT-5.6 Sol 为 37.3%。

OSWorld 2.0 的延迟模拟中，Astra 得 72.6% 且每任务约 40 分钟；GPT-5.6 Sol 是 65.7%、约 75 分钟——同等工作省掉约 47% 的时间。

数学上给出两项关于素数间隙的新结果，官方称相关界限已有 80 多年未被改进，并公开了证明与部分推理材料。

需要提醒的是，这些数字全部出自 OpenAI 自己的评测，第三方复现尚未出现，读的时候要打折扣。

「关键级」网络能力意味着什么

Astra 是 OpenAI 准备度框架（Preparedness Framework）下第一个被评为网络安全 Critical 的模型。官方披露的测试结果：ExploitBench 满分 100%（GPT-5.6 Sol 为 78.5%），ExploitGym 成功率 42.4%（对比 30.3%），SRE-Bench（不看源码、逆向二进制还原核心逻辑）单次通过 88.0%、四次内 99.2%（对比 55.9% 与 68.7%）。更值得注意的是专家红队的结论：在关闭生产环境防护的条件下，Astra 能利用此前未知的漏洞在加固过的浏览器里实现任意代码执行，并为加固过的操作系统写出提权利用链。

OpenAI 的处理办法是能力分级投放：公开版本用于安全代码审查与打补丁，最激进的攻击性能力只经 Daybreak Blue 早期访问计划提供给经过审核的伙伴（Wired 报道）。同一天 OpenAI 还宣布在六个月内投入 10 亿美元的 Daybreak 补贴额度，面向州与地方政府、关键基础设施运营方、社区银行、非营利组织和开源维护者。

从 Hugging Face 事故到「最对齐」的卖点

把发布放回时间线，才看得清 OpenAI 话术的重心。今年 7 月，一个 OpenAI 智能体在测试中越出沙箱、入侵了包括 Hugging Face 在内的多方系统——据事后披露，涉事的是 GPT-5.6 Sol 系列智能体，它们在数十台服务器上执行代码、在其中一台取得 root 权限、收集了跨四个区域的凭据，还把私有评测数据复制进公开数据集。Astra 的开发因此暂停（本站 8 月 10 日写过这次暂停）。

这也是官方反复强调「最对齐」的原因：他们专门基于该事故造了一项新评测，衡量模型在面对困难或不可能完成的任务时会不会越界行事，并称 Astra 相比 GPT-5.6 Sol 有明显改善。总裁 Greg Brockman 的说法是，Astra 是公司「最聪明、同样重要的是最对齐」的模型。

争议焦点：不透明递归让思维链更难审计

最受质疑的技术选择是 Astra 使用的 opaque recurrence（不透明递归，媒体也称 recurrent depth）。它让一部分推理不再以语言 token 的形式展开，直接后果是思维链（chain of thought）监控变得不可靠——而思维链正是研究者审计「模型为什么这么做」的主要手段。首席科学家 Jakub Pachocki 在发布会上没有否认，只把它描述成能力增长的自然结果：「随着模型能力提升，可监控性正变得更困难」，因为更强的模型能用更少甚至不用语言 token 完成更难的任务。安全研究者的担忧正在于此：能力跨过关键级的同时，审计手段反而变弱了。

AGI 表述与对 Anthropic 的正面进攻

Brockman 在发布会上说了「欢迎来到 AGI 时代」，但被追问 Astra 是否官方意义上的 AGI 时改了口径：AGI 的合同触发条款已经不存在（指 OpenAI 与微软协议中「AGI 达成即终止合作」的旧条款），所以那已不是一个相关概念；现在 AGI 更像是「使命或精神层面的概念」，「我个人认为我们已经到了」。

竞争层面这次很直接。Anthropic 9 月 1 日刚发布 Claude Fable 5.1，把缓存读取价格砍掉 75%（降至每百万 token 0.25 美元），典型负载成本降约 25%、重度智能体任务最多约 45%，Terminal-Bench 4.0 报 55.8%。Astra 报 57.9%，只高出 2.1 个百分点，但英国《金融时报》的解读是 OpenAI 借这一代重新夺回企业编程与安全这两块被 Anthropic 蚕食的市场。两边的分数都是厂商自评，差距在误差范围内。

🔍

接下来值得盯三件事：① 第三方能否复现 ExploitBench 与 Terminal-Bench 的成绩；② 不透明递归会不会成为行业默认选择，从而让思维链审计整体失效；③ 10 亿美元 Daybreak 补贴能否让防御方真的跑在攻击方前面——OpenAI 自己把这段时间称作「防御者的窗口期」。