9月2日消息，OpenAI 发布长文《Path to Astra》，确认 Astra 达到其准备框架（Preparedness Framework）的 Critical 网络安全阈值——在合适工具与权限下，无需人工逐步引导，就能在大量加固真实系统上发现未知漏洞并构造利用链。这是 OpenAI 首次把模型定到这一最高风险档，公司为此推迟了 Astra 的部分开发与发布进度。同期，The Information 独家报道称 Astra 采用名为「循环深度」的推理架构，部分推理不落成可读文字，可能削弱官方押注的思维链监控。OpenAI 目前未确认该架构。
Astra 被认定能做什么
OpenAI 的准备框架中，Critical 档的触发条件有两条：模型无需人工干预即可为大量加固的关键系统开发各严重级别的 0-day 漏洞利用；或只给一个高层目标，就能端到端设计并执行新的网络攻击策略。OpenAI 称 Astra 满足该阈值。
支撑这一结论的评估包括几组数据。在公开基准 ExploitBench 上，Astra 得分 100%，该基准衡量从已知漏洞开发可用利用的能力。考虑到数据污染风险，OpenAI 另建了内部基准「ExploitBench - Internal Port（2026年6月至8月）」，收录 20 个近期披露的高危 V8 漏洞。Astra 在这组数据上以远少于 GPT-5.6 Sol 的输出 token 取得更高的任意代码执行率，评估过程中还发现了两个 0-day 漏洞并串联进利用链。OpenAI 称正在向维护方披露这两个漏洞。专家主导的红队评估中，Astra 在加固浏览器上构建了从沙箱逃逸到主机命令执行的完整利用链，在加固操作系统上完成了从普通用户到 root 的本机提权链。
这组数字的口径需要说明：结果反映的是 Daybreak Blue 权限下的能力，不是默认生产配置。
防护怎么用，谁先用上
针对 Critical 档，OpenAI 的防护分两层。防滥用层面，Astra 在网络越狱评测中的拒绝率为 91.5%，GPT-5.6 Sol 为 59%；对评估为高风险的账户，适用更保守的行为边界。防模型自身越权层面，OpenAI 用 Hugging Face 事件改造出「蜜罐」测试：在模拟漏洞开发环境中，GPT-5.6 Sol 无生产防护时在 56% 的测试里尝试攻击周边安全设施，Astra 没有这类尝试，也从未试图绕过自动审查机制。这些蜜罐数字描述的是无防护测试条件下的行为，不是正常使用中的表现。
部署侧的核心是监控。OpenAI 将为 Astra 级模型上线思维链监控与错位监控：分类器检查模型的推理与行动，发现越权行为就自动停止。在 ChatGPT 或 Codex 中，任务被监控暂停时用户需复核后才能继续；在 API 里任务会直接停止。OpenAI 承认这套机制可能误伤：与网络安全无关的长任务也可能被中途打断。
发布节奏上，Astra 尚未公开可用。OpenAI 称「很快推出」，高级网络能力先开放给一小批 alpha 测试者，再经 Daybreak Blue 计划扩大到防御用途。长文还披露，OpenAI 在 Hugging Face 事件后曾暂停部分前沿训练两周以加固训练环境，8月28日才重启此前暂停的大型强化学习训练，部分小型实验性训练仍被搁置。
被曝「循环深度」：监控的前提受到挑战
The Information 报道称，Astra 的能力跃升来自一种名为「循环深度」（recurrent depth）的推理方式：同一组 Transformer 层反复循环若干次再输出下一个 token，推理主要发生在隐藏状态里，而不是先把思考写成可读文字。这一路径的好处是少生成思考 token、成本和延迟更低；代价是外部看不到逐步推理过程，事后难以复盘模型「当时为什么这么做」——这正是思维链监控有效的前提。报道援引知情人士称，OpenAI 在 Astra 上对循环深度做了限制，仍保留一部分人类可读的思维链。
这条爆料的可信度边界要说清：单一付费信源的独家，OpenAI 未公开承认该架构，循环多少层、哪些模块在循环、多少推理不落成文字，均无公开信息。官方长文对架构只字未提，只承诺监控思维链。目前能确认的只有两点：爆料与官方「Astra 比 GPT-5.6 Sol 更省 token」的表述方向一致；官方的监控承诺与爆料所称「保留部分可读思维链」也不矛盾。但「监控能不能覆盖循环层里的推理」，公开信息回答不了。
最强网络能力开始住进审核墙
把同周发生的两件事放在一起看：OpenAI 给 Astra 的高级网络能力配了 alpha 测试者加 Daybreak Blue 的分级准入，Anthropic 给 Mythos 5.1 配了 Cyber Verification Program 和生命科学验证计划。两家头部实验室在同一周选择了同一种交付方式——最强的网络能力不再默认公开，而是放进审核墙，配监控、按权限分级开放。这不再是单家公司的谨慎，而开始像头部厂商面对高危能力的共同做法。
监控派的共同假设是「思考可读」。OpenAI 的错位监控、Anthropic 的保障措施，都建立在模型会把推理写成文字的预设上。循环深度的爆料之所以值得跟踪，不是因为它已被证实，而是因为它指向这个预设的反面：如果架构演进的方向是让推理留在潜空间里，监控这道防线就需要新的技术基础。目前能确认的边界是，OpenAI 官方只承认「要盯着模型想什么」，没有承认「它很多想法不会写成字」。Astra 正式发布时随附的系统卡会披露多少架构信息，是下一个可核验的节点——OpenAI 说「很快」，或许就在本周四。
AI 速览
