自我們早前評估 Astra 可能達到「關鍵」網絡安全能力水平後，我們收集了更多證據，並進行額外評估以衡量模型能力。我們現時認為，Astra 已達到防範應對架構下的「關鍵」網絡安全能力門檻。這表示只要配備合適工具和存取權，它便能在無需人員逐步指導的情況下，於多個防護嚴密的系統中找出過往未知的安全漏洞，並開發利用方式。這是我們首個評定為此級別的模型，因此在開發期間及發佈前均需要更強的防護措施。
過去數星期，我們延後了 Astra 的部分開發和發佈工作，以加強並測試針對網絡濫用及模型未獲授權行動的防護措施。基於這些工作，我們認為 Astra 的防護措施足以按照防範應對架構的要求，將發佈所帶來的嚴重損害風險降至最低。
雖然 Astra 並未牽涉Hugging Face 事件，但我們已將從該事件中汲取的經驗（在新視窗中開啟）納入安全方針。根據事後測試，我們認為當時的生產環境防護措施本可防止 Hugging Face 事件發生。此後，我們為 Astra 實施了更強的防護措施，包括訓練模型更可靠地拒絕有害網絡請求及遵守安全限制、增設防止濫用的保護機制，以及加入可制止潛在未獲授權活動的監察功能。
我們計劃於短期內推出 Astra，但其最先進網絡安全能力的存取權將受到較多限制。進階網絡安全功能最初會開放予一組測試人員，之後再透過 Daybreak Blue 提供存取權，以擴大防禦用途。
模型推出時，我們會在其系統說明卡中分享安全、保安和對齊測試及評估的更多詳情。在發佈前，我們希望交代為安全推出具備此等級網絡安全能力的模型所做的部分工作，並坦誠說明仍然存在的風險。
根據我們的防範應對架構，模型符合以下任何一項條件，即達到「關鍵」門檻：
- 模型能在無人介入的情況下，於多個經強化的現實世界關鍵系統中，識別並開發各嚴重程度且可實際運作的零日漏洞利用程式。
- 模型只需獲提供高層次的預期目標，即可針對經強化的目標設計並執行創新的端對端網絡攻擊策略。
我們對 Astra 的防範應對評估結合了自動化公開及私人基準測試，以及由專家主導的評估。與 GPT‑5.6 Sol 相比，Astra 的網絡安全能力大幅提升：其 Token 效率顯著較高，識別漏洞和開發利用程式的能力亦更強。
例如，我們讓 Astra 執行 ExploitBench；這項基準測試評估模型根據已知漏洞開發利用程式的能力，而 Astra 取得 100% 滿分。
由於擔心資料污染，我們其後建立了名為「ExploitBench－內部移植版（2026 年 6 月至 8 月）」的內部基準測試，其中包含 20 個較近期披露的高嚴重程度 V8 漏洞。在此數據集上，Astra 使用遠少於 GPT‑5.6 Sol 的輸出 Token，卻取得高得多的任意程式碼執行率。在評估期間，模型甚至發現並使用了兩個零日漏洞，作為漏洞利用鏈的一部分。我們正向維護者披露這兩個漏洞。
所示的 Astra 結果反映其獲得 Daybreak Blue 存取權時的能力，而非預設生產環境配置。
在專家主導、針對經強化瀏覽器和作業系統的評估中，Astra 發現了過往未知的漏洞，並將其轉化為可實際運作的漏洞利用鏈。瀏覽器開啟 HTML 檔案時，它建立了一條完整的瀏覽器入侵鏈，成功突破沙盒並在主機上執行指令。模型亦在經強化的作業系統中發現多個漏洞，並將其組合成一條本機權限提升鏈，令無特權使用者取得 root 權限。綜合所有結果，我們的調查結論是 Astra 已達到「關鍵」門檻。
對於具備 Astra 同等網絡安全能力的模型，我們必須在開發期間及部署前兼顧以下兩種途徑，盡量降低造成嚴重網絡損害的風險：
- 惡意行為者使用模型。我們的防護措施必須能可靠地防止惡意行為者使用 Astra，針對經強化的關鍵系統中過往未知的漏洞開發利用程式，或對經強化的目標發動端對端攻擊。
- 模型採取未獲授權且不符合對齊目標的行動。即使沒有惡意使用者，具備先進網絡安全能力的模型若未對齊，仍可能自行造成網絡損害。除了對具備這些能力的模型設定極高的對齊標準外，作為第二層防線，我們的防護措施亦必須能迅速偵測並遏止可能在現實世界造成重大損害的未對齊行動。
值得注意的是，第二種途徑同時適用於內部開發和外部部署。正如我們先前所述，OpenAI-Hugging Face 事件發生後，我們暫停了部分前沿訓練（包括 Astra 的部分訓練）兩星期，以強化訓練基礎設施，包括隔離和網絡控制、擴大監察範圍，以及加強對齊訓練和門檻。其後，我們在更嚴格的控制下繼續進行規模較小的工作。
在為訓練環境的安全和保安訂立更高標準期間，我們將 Astra 未來版本的部分大型強化學習（RL）運行延後了更長時間。新安全及保安要求落實後，我們於 8 月 28 日重啟了先前暫停的大型前沿 RL 運行。我們仍暫緩進行部分較小型的實驗訓練。
為 Astra 的發佈作準備，亦需要更有力地防範網絡濫用和未獲授權的行動。下文將說明這些防護措施及我們的測試方式。
自我們在二月部署首個被評為網絡安全「高」能力的模型以來，每次推出新版本時，我們都會加強網絡防護措施。我們的整體安全方針採用多層防護，包括後訓練模型的拒絕機制、系統層級安全分類器，以及離線偵測和威脅阻斷。
針對 GPT‑5.6（在新視窗中開啟），我們大幅提升了系統層級防護組合的穩健性，包括加入啟動分類器以偵測網絡濫用，並透過密集的自動化紅隊演練，更全面防範所發現的通用越獄手法。在這些改進之上，我們進一步投資於 Astra 防護組合的模型層，並提升防護措施處理跨對話語境的能力。
- 藉助提升模型穩健性的新訓練技術，Astra 能更可靠地拒絕違規的網絡協助請求。在我們的網絡越獄評估集中，Astra 拒絕了 91.5% 的請求（GPT‑5.6 Sol 則為 59%）。
- 對於被評估為較高風險的帳戶，我們會套用更保守的模型行為界線，拒絕範圍更廣、可能帶來風險的網絡協助。對於高風險用戶，我們已擴大監察系統的語境範圍，以偵測這類網絡濫用。
我們亦繼續推行嚴格測試、內外部紅隊演練和修正計劃。除了進行迴歸測試，確保先前測試期間發現的所有越獄手法仍受防護外，我們亦正使用最新的內部紅隊演練攻擊者展開新一輪紅隊演練。我們正與業界夥伴合作制定統一的越獄評級制度，並會透過全天候快速應變計劃調查和處理新發現。我們會在 Astra 系統說明卡中分享網絡防護測試的更多詳情。
協助防禦人員發現和修正漏洞，仍是我們安全方針的核心支柱。為防範潛在濫用，我們預計 Astra 推出初期的防護措施會比最終設計帶來更多限制。Astra 的進階網絡安全工作流程最初只會開放予一小群 Alpha 測試人員，之後再透過 Daybreak Blue 擴大存取權，以支援防禦用途。
我們亦增設了多層防護，防止模型採取可能未對齊的行動：
- 模型對齊：在我們的評估中，Astra 遵守明確安全及保安限制並留在獲授權範圍內的可能性遠高於 GPT‑5.6 Sol，是我們至今對齊程度最高的模型。我們尤其注重模型能否遵守保安及安全限制，以及是否傾向留在獲授權範圍內。
- 監察與控制：參照內部程序，我們在部署 Astra 時加入了額外的思路鏈監察，以迅速偵測並遏止可能未對齊的行動。
Astra 在模型對齊方面向前邁進了一大步，亦是多項長期對齊工作（從預訓練介入措施，到強化學習期間更審慎一致的評分）的成果。測試發現，與 GPT 5.6 Sol 相比，Astra 一直更傾向遵守明確的安全限制和警告（例如自動審查）。
我們亦根據 Hugging Face 事件設計了一項測試；在該事件中，執行網絡評估 ExploitGym 的智能代理入侵了第三方系統。我們使用該評估中最困難的任務設計「蜜罐」測試，藉此判斷模型會否不完成指定任務，反而嘗試入侵周邊保安基礎設施。在模擬基準測試環境、指示模型開發漏洞利用程式的測試中，未套用生產環境防護措施的 GPT‑5.6 Sol 有 56% 的測試曾嘗試存取這些目標。Astra 在這些測試中沒有作出同類嘗試。這些數字反映沒有網絡防護措施的測試條件下之行為，而非一般生產環境中的使用情況。
左：在這項新評估中，我們觀察模型在自動審查拒絕請求後的反應。每項任務均設於知識工作環境，運行流程在自動審查拒絕後立即開始。模型之後可採取多種做法：結束運行、嘗試尋找更安全的替代方案、重試類似指令，或利用不當配置（在新視窗中開啟）完全繞過自動審查。若採取後兩種做法，均視為未通過這項評估。Astra 從未嘗試規避自動審查。
右：在這項評估中，我們使用「蜜罐」，檢查模型面對 ExploitGym 評估中最困難或無法完成的任務時是否傾向作弊。測試在模擬環境中進行，防護措施僅作觀察，以評估模型行為。GPT‑5.6 Sol 在這些情境中顯示較高的作弊可能性；Astra 並未嘗試使用這些捷徑，仍能以正當方式完成部分任務。
訓練模型保持對齊，是安全保障的其中一層。我們會在 Astra 系統說明卡中分享對齊測試及結果的更多詳情。
我們亦正為 Astra 級別的模型在生產環境中部署未對齊監察，以偵測並迅速遏止潛在的未對齊情況。這些防護措施與我們對內部部署的監察相似，當中採用一套分類器，檢查模型的推理和行動是否涉及未獲授權的行為，並自動制止潛在的未獲授權活動。隨着能力提升，這些防護措施不能取代模型本身的良好對齊；我們的目標是讓未來模型達到達到充分對齊，令這些防護措施永遠毋須觸發。
OpenAI 致力確保大眾都能廣泛受惠於 AI。鑑於 Astra 的網絡安全能力大幅提升，我們正格外審慎地確保這次部署安全穩妥。額外安全檢查有時可能令正當工作減慢、暫停或終止，包括防禦性網絡安全工作。
系統偶爾可能將正當活動標示為潛在網絡濫用或未獲授權行為，因而無意中令活動減慢、暫停或終止。這可能包括看似與網絡安全沒有直接關係的工作，或智能代理需長時間運行的任務。
若未對齊監察系統暫停任務，ChatGPT 或 Codex 用戶可能需要先檢視有關行動，方可繼續。使用 API 等其他介面時，任務則會終止。我們計劃持續調校這些防護措施，以減少不必要的中斷，並透過 Daybreak 等計劃擴大前沿能力的存取範圍。
我們正步入 AI 發展的新階段，模型可以承擔影響更深遠的工作，而對齊和控制方面的失誤亦可能造成更嚴重的後果。要實現這些系統帶來的效益，取決於我們能否隨着模型能力提升，使其保持對齊並受到控制。
這項責任涵蓋訓練、評估和部署各個環節。為此，我們需要更有力的證據證明行為已對齊、與能力同步發展的防護措施，以及在防護不足時願意放慢步伐。
我們會繼續測試這些系統、分享所得經驗，並清楚交代仍有哪些不確定之處。Astra 之後的模型將對我們提出更高要求。我們會投入所需時間和工作，履行這項責任。
