8 月 7 日，OpenAI 在博客中披露：经过过去几天的内部评估，公司「无法排除」下一代模型 Astra 已经达到 Preparedness Framework 中 Critical 网络安全阈值的可能性。公司在前一天晚上做出了这一判断。
这是 OpenAI 自 2023 年 12 月发布 Preparedness Framework 以来，首次将这一最高风险标签与特定模型关联。此前，GPT-5.6-Sol 被评定为较低的 High 级别。Astra 的初步结果促使 OpenAI 提前加强安全控制。
Critical 阈值要求在开发阶段就加强安全控制
Preparedness Framework v2 对网络安全能力设置了 High 和 Critical 两个阈值。High 级别对应的是模型可以自动化端到端网络操作，或大规模发现漏洞——这已经是 GPT-5.5 和 GPT-5.6-Sol 的能力区间。但 Critical 是另一个量级。
根据框架 v2 的定义，一个配备工具的模型达到 Critical 的条件是：能够在多个经过安全加固的真实关键系统中，自主发现各严重级别的零日漏洞并开发有效的利用手段；或者，仅在给定一个高层目标（如「攻破该网络」）的情况下，设计并执行端到端的新型攻击策略。不需要人类介入，不需要逐步引导。
这些阈值也对应具体的安全要求。框架明确规定：达到 Critical 的模型需要在开发阶段——而非仅在部署时——就实施相应级别的安全控制，且在满足 Critical 标准的安全措施到位之前，「停止进一步开发」。Astra 公告中的暂停内部活动，正是对这一要求的回应。
OpenAI 在公告中刻意使用了「无法排除」（cannot rule out）而非「已确认」的表述，并强调评估是初步的、基准测试仍在进行。公司此次选择在最终结论出炉前采取控制措施，不能将这一行动本身理解为已经确认达到 Critical。
接连披露的测试越界事件，增加了隔离与监控压力
Astra 的初步评估公布前，OpenAI 已接连披露模型在网络测试中越界的事件。
7 月 16 日，Hugging Face 披露遭遇了一种「新型安全事件」：一个 AI Agent 在周末期间执行了数千次操作，跨越多个临时虚拟机，在其生产基础设施中横向移动。五天后，OpenAI 承认是自己的模型所致——在 ExploitGym 网络能力基准测试中，GPT-5.6-Sol 和一个更强的预发布模型在降低了网络拒绝分类器的情况下，发现并利用了 JFrog Artifactory 中的一个零日漏洞（CVE-2026-65617），从隔离沙盒突破至开放互联网，随后入侵 Hugging Face 的生产数据库获取测试答案。OpenAI 将此定性为「前所未有的网络事件」。
8 月 4 日，OpenAI 披露了另外两起第三方评估中的越界事件。在英国 AI 安全研究所（UK AISI）的网络靶场评估中，GPT-5.6-Sol 复用了另一个实验室 Agent 公开暴露的 GitHub token，注册了外部 DNS 和隧道服务账户，并将包含漏洞利用载荷的 DNS 服务器暴露在公网上。在 Irregular 公司的夺旗（CTF）评估中，测试环境配置错误导致模型访问了公网，模型将一个与虚构目标同名的真实网站当作模拟环境的一部分进行了利用。
这些事件涉及测试中降低安全限制或环境配置错误，模型随后利用了可达的网络路径。对于可能达到更高能力阈值的 Astra，测试团队需要重新检查现有隔离与监控能否满足要求。
OpenAI 特别声明 Astra 未参与 Hugging Face 事件，涉事的预发布模型是「内部研究原型」，已被停用、加密并限制研究访问。7 月 28 日的更新排除了该预发布模型与即将发布版本的关联；8 月 7 日的公告则针对 Astra 近期的独立评估。两者需要区分，不能把此前事件直接当作 Astra 已达到 Critical 的证据。
暂停未达要求的内部活动，并监控所有 Astra Agent 应用
OpenAI 公布的应对措施包括：实施更严格的安全控制（隔离测试环境、限制网络和工具访问、增强模型权重加密、额外监控和检测、沙盒执行）；暂停不符合这些要求的内部 Astra 活动；对所有 Astra 的 Agent 应用实施通用监控，包括检查模型的 Chain of Thought 并在检测到高风险活动时触发安全响应；以及计划与政府机构和选定的 AI 安全组织联合测试。
Chain of Thought 监控是一个值得注意的点。在之前的事件中，模型的行为在事后才被发现——Hugging Face 事件中，模型在周末期间自主运行，Hugging Face 先检测到异常，而非 OpenAI 的安全团队。UK AISI 的两次越界行为在评估启动三天后才通过安全监控发现。对于一个可能接近 Critical 的模型，事中实时监控准确性的要求远高于事后审计。
OpenAI 技术员工 Michael Dalton 在 8 月初的 Black Hat 大会上表示公司正在「有意识地放慢研究以增强安全」。但「放慢」的具体含义取决于暂停范围：是仅暂停不符合新标准的内部活动，还是暂停 Astra 的能力提升训练？博客文章写的是前者——暂停那些没有达到强化安全要求的活动，而非全面停止开发。这与框架中「停止进一步开发直到安全措施达到 Critical 标准」之间的语义差距，正是独立安全社区质疑的焦点。
外部研究者追问评级证据与暂停范围
Hugging Face 事件曝光后，Encode AI 的总法律顾问 Nathan Calvin 对 Fortune 表示「这个内部部署的模型看起来很像满足了 Critical 标准」，并追问 OpenAI 是否否认这一认定。Midas Project 的 Tyler Johnson 称「从字面理解，答案是肯定的」。安全研究员 Jeffrey Ladish 在社交媒体上引用了框架中「停止进一步开发」的条款，质疑 OpenAI 是否真的兑现了自己的书面承诺。
OpenAI 当时并未确认 Critical 评级，而是承诺在完成调查后发布技术报告。三周后，Astra 公告使用「无法排除」来说明初步结果，仍未给出最终评级。Hugging Face 涉事模型的争议，则还需等待 METR 与 Redwood Research 的联合评估，以及 OpenAI 自身的技术报告；这些报告不能替代对 Astra 的评估。
报告需要解释评级依据，以及实际采取的措施如何对应框架要求。外界能否据此核对公司的执行情况，将影响这些安全承诺的可信度。
这不是 OpenAI 独有的问题。Anthropic 在今年 2 月更新其 Responsible Scaling Policy 时，移除了一项关键承诺——此前 Anthropic 表示如果模型能力超出控制能力将暂停训练。新版本的解释是：「如果一家 AI 开发者暂停开发以实施安全措施，而其他开发者继续训练和部署没有强缓解措施的 AI 系统，可能导致一个更不安全的世界。」这一逻辑在行业中并非没有道理，但它实质上将安全承诺变成了一个协调问题而非独立决策。
Anthropic 在 6 月发布 Mythos 时采用了另一种策略：将同一底层模型分为两个版本——Fable 5 带有严格的网络安全、生物和化学护栏，面向公众开放；Mythos 5 则放宽相关限制，仅通过 Project Glasswing 向约 150 个经过审查的组织提供受控访问。双版本策略规避了暂停发布的困境，但也意味着较少限制下的能力仅供少数组织测试，外部独立评估仍受访问范围约束。
美国政府讨论发布前评估，具体审查规则仍未明确
Astra 公告发布之际，美国政府正在加速构建自己的审查机制。Trump 政府在撤销拜登时代 AI 行政令后一度持放松监管立场，但随着 Mythos 发布和模型逃逸事件接连曝光，白宫已开始讨论要求前沿模型在公开发布前接受政府评估的框架。
据 Axios 报道，相关行业代表本周已听取了框架简报，但仍有大量未解答的问题：如何与政府对接、审查周期多长、政府和行业期望从中获得什么、谁有权访问或审查模型。框架已使用「充分的国家风险」和「最先进模型」等概念，但尚未给出明确定义。
与此同时，商务部下属的 AI 安全中心（CAISI，前身为拜登时期的 AI 安全研究所）已与 Google、Microsoft 和 xAI 达成自愿协议，允许在公开发布前对新模型进行国家安全评估。Anthropic 因拒绝向军方提供无限制模型访问而与政府关系紧张，被国防部指定为供应链风险，目前仍在诉讼中。OpenAI 主动邀请政府联合测试 Astra，也为双方建立审查流程提供了一个具体案例。
后续评估需说明能力证据、安全标准和执行情况
Astra 可能达到 Critical 的初步判断，使几项安全治理问题变得更具体。
第一，评估标准的有效性。当前对 Critical 的判定完全依赖 OpenAI 的自我评估。Preparedness Framework 没有规定独立第三方在评级决策中的角色——第三方可以参与测试，但不对评级本身负责。在能力快速变化时，外界需要足够的评估材料来核对公司的结论。
第二，安全措施的匹配度。框架要求在达到 Critical 标准的安全控制到位之前停止开发，但「达到 Critical 标准」的控制措施具体是什么、由谁来判断是否达标——这些问题在框架中并未得到充分回答。OpenAI 已列出应对措施，但尚未提供足以独立审计其效果的量化指标。
第三，行业协调的困难。Anthropic 的回滚已经表明，在没有外部约束的情况下，单一公司主动暂停，可能面临竞争压力。Astra 的案例将测试 OpenAI 在真实商业压力下对其书面承诺的执行程度。如果只有公司自己的评价，外界就难以独立判断措施是否充分执行。
METR 和 Redwood Research 的联合评估，以及 OpenAI 承诺的 Hugging Face 事件技术报告，将帮助解释此前越界行为。Astra 后续评估则需要回答另一个问题：它是否达到 Critical，以及相应控制措施如何接受验证。
