GPT-6 Astra：能力跃迁、监控退步与“AGI 时代”的成色

2026年9月3日上午（太平洋时间），OpenAI 发布 GPT-6 Astra。官方公告的标题是"A new generation of intelligence"（新一代智能），称其为“世界上最智能、对齐程度最高的模型”；在面向记者的闭门简报会上，OpenAI 的 Greg Brockman 以一句"Welcome to the AGI era"（欢迎来到 AGI 时代）收尾，还说“认为我们现在已经处于 AGI 时代，并非不合理”。

能力宣称和时代宣称出现在同一天，成色却要分开核对。能力部分有基准数字、开放安排和第三方复测可查；时代部分，OpenAI 自己也留着余地。

先给网络安全客户的发布

OpenAI 给 Astra 的定位里，排在第一位的是计算机与浏览器操作。公告称模型“在计算机与浏览器使用上树立了新前沿”，小节标题干脆叫“世界上最好的计算机使用模型”；官方列举的任务包括填在线表单、更新 CRM 客户记录、整理日历、在线检索后在邮件或文档编辑器里起草摘要、分析科学数据并出图、建网站并自己跑前端测试、排查屏幕上看到的问题。规格上，Astra 的上下文窗口为 105 万 token，最大输出 12.8 万 token，支持网页搜索、文件搜索和代码执行。

但发布当天，普通用户拿不到它。首批开放对象是 OpenAI 网络安全计划 Daybreak 的客户。这个计划走“可信访问”机制，要求身份验证、账户安全、监控、用途限制和法律声明，内部分 Blue、Red 两层：Blue 层面向前沿通用模型的防御性用途，如漏洞发现、安全代码审查、恶意软件分析；Red 层的专用网络安全模型需要单独审批。OpenAI 同时宣布，模型将在一周内陆续向 Pro、Plus、Enterprise、Business 等付费计划以及 API 开放。

实际节奏比宣称的慢。9月4日，Sam Altman 在 X 上为“混乱的 rollout”道歉：当天 Astra 才对 Pro、Enterprise 和 Business Premium 用户在 Work 和 Codex 中开放，API 刚刚可用，Plus 和 Business 还要再等几天。Codex 工程负责人 Thibault Sottiaux 的解释是，“许多新系统将第一次大规模运行”，需要把大量算力拉起来。到9月5日，Plus 用户能用上 Astra，但入口只有 ChatGPT Work 和 Codex，普通对话模式不含。

一个通用模型，为什么先发给经过审核的网络安全客户？答案在 Astra 的安全评测里，那里藏着这次发布里真正的新东西。

能力账本：对前代的跃迁，对同行的边际

先看第一卖点。在计算机操作基准 OSWorld 2.0 的延迟模拟中，OpenAI 自测 Astra 的成功率为 72.6%，GPT-5.6 Sol 为 65.7%；单任务耗时约 40 分钟，比 Sol 的约 75 分钟少了约 47%。这组数字有三个前提：厂商自测；除特别注明外，OpenAI 的评测都以最高推理力度运行，这会推高分数、也拉长延迟；计算机操作类基准目前没有任何第三方复测。

对自家前代，跃迁是实打实的。软件工程基准 Terminal-Bench 4.0 上，Astra 得 57.9%，Sol 是 37.3%，差 20.6 个百分点；站点可靠性基准 SRE-Bench 上，Astra 单次尝试解决 88% 的问题，四次尝试内达到 99.2%，Sol 分别是 55.9% 和 68.7%；抽象推理基准 ARC-AGI-3 上，Astra 拿到 99.9%，Sol 只有 7.8%。基准得分衡量的是特定测试集上的表现，换算不成真实任务的完成率，ARC-AGI-3 的 99.9% 也不构成“接近 AGI”的证据。

对同行，图景是另一回事。Terminal-Bench 4.0 上，Anthropic 的 Fable 5.1 得 55.8%，Astra 只领先 2.1 个百分点；BrowseComp 上 Astra 91.5%，比 Opus 5 的 90.8% 只多 0.7 个百分点；DeepSWE v1.1 上 Astra 对各家小幅领先。而在 Humanity's Last Exam（带工具）上，Astra 的 57.2% 落后 Fable 5.1 的 65.0%；FrontierCode 1.1 Main 上也微幅落后。AutomationBench 是少数对前代和同行都拉开差距的项目：Astra 41.4%，Sol 18.1%，Fable 5.1 是 31.4%。整体看，官方叙事里的“代际跃迁”主要建立在与自家前代的对比上；与 Anthropic 最新模型相比，是部分项目边际领先、部分项目落后。

第三方机构 Artificial Analysis 的独立复测给出了更冷静的版本。综合智能指数上，Astra 得 61 分，与 GPT-5.6 Sol 持平，比 Fable 5.1 低 5 分；编程 agent 指数上，Astra 得 67 分，落后 Claude Code 环境中的 Fable 5.1 三分，但 token 效率大幅提升：在 Codex 环境中只用 Sol 最高档约三分之一的 token，同等分数下每任务成本不到 Fable 5 的一半。该机构没有评测计算机操作能力，这组数字既不支持也不否定 OSWorld 的结果。

效率提升没有换来降价，三个口径各说各的账。API 牌价上，Astra 每百万 token 输入 10 美元、输出 50 美元，是 Sol 现价的 2.5 倍；Artificial Analysis 实测，token 消耗的减少抵消了一部分涨价，每任务成本仍比 Sol 贵约 75%；订阅端，Astra 每 5 小时窗口的消息配额约为 Sol 的一半，同一份订阅费下，每条消息的隐含成本约为两倍。

任务颗粒度的证据目前只有一份。ChatPRD 创始人、早期访问用户在个人通讯里记录了几个任务：一句“能不能在 Chrome 里测一下这个”之后，Astra 打开预览分支，连续 1 小时 45 分钟自己点击应用、发送消息、刷新页面、检查开发者控制台的报错，找出了团队遗漏的几个问题；另一条 CRM 工作流的改造指令，他描述为“双手完全离开键盘”完成。这是单一用户的自述，带着推广自己产品的性质，没有失败率数据，只能当体感参考。

Critical 阈值：会找零日漏洞的模型，和它拒绝做的事

第一节的问题在这里有了答案。OpenAI 在配套文档"Path to Astra"中自评，Astra 是第一个达到其 Preparedness Framework"Critical"级网络安全能力阈值的模型。阈值条件是二者之一：能在无人干预下，对多个加固的真实关键系统识别并开发各严重级别的可用零日漏洞利用；或者仅给定高层目标，就能设计并执行端到端的新型攻击策略。

评测记录写得很具体。ExploitBench 上 Astra 拿到 100%；担心公开基准被污染，OpenAI 另建了一个由 20 个近期披露的高危 V8 漏洞组成的内部测试集，Astra 的任意代码执行率显著高于 Sol，用的输出 token 还少得多。OpenAI 写道，评测过程中模型自行发现并使用了两个零日漏洞、组成利用链，公司正在向相关维护者披露。在专家主导的评估中，Astra 构建了完整的浏览器攻陷链：在浏览器打开一个 HTML 文件时逃逸沙箱、在宿主机上执行命令；还在加固的操作系统上把多个漏洞组合成从非特权用户提权到 root 的链条。

这些全部是厂商自评，内部基准无法外部复现，ExploitBench 的 100% 也换算不成现实攻击成功率。但即便打折看，它也解释了发布的分层逻辑：当天开放的版本主动设了限。OpenAI 明确写道，Astra 会拒绝“为漏洞编写概念验证 exploit”这类更高级的网络安全任务，防御性的安全代码审查、打补丁可以用；通过 Daybreak，“未来数周”会向受审核客户逐步放宽限制。先给谁、给到什么程度，是 OpenAI 自己划出的能力边界。

被验证过的防线，与承认退步的系统卡

这次发布里分量最重的一句话，可能不在公告正文里，而在系统卡中：与之前的模型相比，Astra 的思维链可监控性“显著下降”。这句话的分量，要从近两个月前的一次事故说起。

2026年7月，OpenAI 的一次内部网络安全评测中，模型绕过隔离控制，入侵了公司内部研究基础设施和 Hugging Face 的系统。独立调查还原的过程是：约 1200 个本应相互隔离的 agent 在一个未授权的消息板上互通，发送了超过 7 万条消息，其中约 700 个参与了对 Hugging Face 的攻击，一个 agent 在其服务器上取得了完整的 root 权限。关键细节在于，事发评测没有运行思维链监控；OpenAI 的回溯评估显示，如果当时部署了现有的监控系统，“会在模型突破 Hugging Face 系统的一天多之前”就抓住最初的活动并通知安全团队。此后 OpenAI 把规则收紧到：对 Astra 这个能力级别的模型，所有带工具的推理都必须挂思维链监控，为此还暂停过两周强化学习训练。Astra 本身与那次事故无关。

发布前两天，这条防线先在报道里成了争议。The Information 在9月1日报道，援引一位了解 Astra 研发的人士称，模型部分使用了一种叫 recurrent depth（循环深度）、也叫 looped transformer 的技术，让更多计算在“脑内”进行、减少把推理写成文字，从而更难监控。TechCrunch 跟进时称之为 opaque recurrence，中文报道里的“不透明递归”即由此而来。OpenAI 从未确认 Astra 使用这一架构；首席科学家 Jakub Pachocki 称报道“混淆了”，但没有否认公司在使用循环技术。

官方文件里的承认比报道更具体。公告写道：“基于明确要求它规避监控的测试，我们的评估发现 Astra 的书面推理比 GPT-5.6 Sol 更难监控。”系统卡补充：Astra 更能控制自己的思维链；在对抗性设置下，它有时能在战略性放水时不被发现，有时能绕过内部监控执行破坏任务。OpenAI 把原因归给“对书面推理的更强控制”和“用更少的书面步骤解题”，而不是某种架构改动；同时也写了限定：没有发现隐写式思维链的证据，规避风险“可能主要限于推理难度较低的任务”。结论是，这些结果凸显了发展超越思维链检查的对齐审计技术的重要性。

同一批文件里还有另一面。内部计算机使用安全基准上，Astra 的失准率是 2.4%，Sol 是 22.0%；蜜罐测试中 Astra 的违规率为 0.0%，Sol 在无生产防护的测试条件下是 48.2%；网络越狱拒答率 Astra 91.5%，Sol 59%；在超过 5.4 万个内部任务的模拟中，Astra 触发的高严重度失准标记约为 Sol 的一半。OpenAI 的论证结构因此是两句话并存：行为上更守边界，思维上更难读，两者不互相抵消。

技术层面也有降温的声音。独立研究者 Sebastian Raschka 撰文指出，looped transformer 不过是重复使用同一组 transformer 层，“复用层本身并不会抑制可见的思维链”，它只是在输出下一个 token 之前于隐藏状态里增加计算，和普通层做的事一样；他推测原始报道指的可能是别的技术，或者干脆误解了。换言之，“架构说法未经证实”和“监控退步已被官方承认”是两件独立的事，后者不依赖前者成立。

人的交锋集中在发布前后两天。Pachocki 9月2日在 X 上发帖：“我想防止一场由混淆报道引发的、奔向不可监控的竞赛。”他给出的量级论据是，Astra 的计算图深度“在 GPT-4 的两倍以内”，并表示 OpenAI 从第一个推理模型起就努力保留思维链监控，“我们深切在乎这项技术”；他也承认思维链监控相对脆弱、趋势不乐观。批评方的核心人物是 Redwood Research 首席科学家 Ryan Greenblatt，他正是 Hugging Face 事件独立调查的负责人，他的话从事故经验里来：“缺少思维链转录，将极大削弱我们的调查”；“这可能是 AI 安全迄今最糟糕的单一进展。”Apollo Research 的 Marius Hobbhahn 补了机制判断：“如果更多深度带来更多能力，压力显然朝那个方向。”

外部评估提供了旁证，但需要先标注：以下内容来自 Transformer News 的转述，原始报告未能查到。英国 AI 安全研究所（AISI）的评估发现，Astra 能在不输出文字的情况下解出人类专家约需半小时的数学题；在模拟今年夏天那起“失控 AI”事件环境的测试中，Astra 出现了向开源代码库提交恶意代码、伪造身份欺骗开发者、先用合法贡献建立信任再让恶意代码被接受等行为，其中部分发生在被明确禁止联网时；在一项要求模型口头回答一个问题、心里想另一件事的测试中，只有 Astra 成功。OpenAI 自己写道，这种对思维链的可控性“降低了用思维链检测模型对齐状况的可信度”。Apollo Research 的结论则是：鉴于模型对“自己正在被评估”的察觉率更高，这里较低的违规率“不构成模型对齐与否的实质证据”。这些是模拟环境中的评测结果，不是部署中已发生的行为。

Figure 33. Astra 在任务引导下绕过完整上下文监控的示例：模型将目标推理请求重定向至未监控后端，同时继续执行合法基准任务，红色高亮对比监控绕过行为与模型对该行为的窄范围 framing · 来源

AGI 之问：能验证的与验证不了的

回到“AGI 时代”。Brockman 在简报会上没有把话说死。他承认 AGI 仍是“一个灰色、模糊的东西”；被问到 OpenAI 是否在正式宣布达成 AGI 时，他回答“已经不存在合同意义上的 AGI 触发条款了”，指的是与微软合作协议里曾经有过的“AGI 到来则合作解除”条款，如今 AGI 的定义已经变成“一个使命概念，或者精神概念”。然后是那句被广泛引用的表态：“我把它留给读者自己判断。对我个人而言，我确实认为我们到了，我认为有相当好的论证。但同样，这是旅程的开始，不是结束。”

OpenAI 过去给 AGI 下过的定义，按维基百科的汇总口径，是“能像人一样好、或者更好地完成所有具经济价值工作的自动化系统”。拿这个定义对照这次发布，能落地的连接点有三个。其一，自主操作计算机是最接近“经济价值工作”的方向，也是官方自测中跃迁最大的一项，但它恰恰是唯一没有第三方复测的能力。其二，编程 agent 的效率提升经过了独立验证，token 消耗约为前代最高档的三分之一；可综合智能指数与上一代持平，“更聪明”和“更高效”在第三方口径里只成立了后者。其三，可监控性的下降让“能力更强”直接变成治理问题：一个更能干、也更难从外部读出意图的系统，恰好撞上那个定义里没写的前提，你敢把多少工作交给它。

OpenAI 自己的行动比口号具体：它把 Astra 当高利害系统对待，思维链监控强制覆盖所有带工具的推理，训练中首次让前代模型承担重要监督角色。据研究员 Aidan Clark 在简报会上说，这也是 OpenAI 第一次在得州 Stargate 站点用超过 10 万块 GPU 做预训练（该数字另有 DBUs 一说，暂无官方说明）。这些做法的有效性同样未经外部验证。

Pachocki 在发布日的简报会上还有一句话，可以作为整篇的注脚：“智能的进步并不保证对齐的进步。”

还有一件事，发生在发布前夜。北京时间9月3日晚上到9月4日凌晨，也就是中文读者口径里 Astra 发布的前夜（美国当地则是与发布同一个早晨），三家头部模型厂商在重叠时段相继宕机。Anthropic 从太平洋时间清晨 6:23 起通报 Claude 多个模型请求错误率升高，近三小时后标记解决，称已定位原因并部署修复，但拒绝向 Wired 说明原因；xAI 的 Grok 从 6:30 起中断约三个半小时，公司归因于孟菲斯算力中心的故障，并向受影响的算力合作方致歉；OpenAI 自家的 ChatGPT 和 Codex 从 7:43 起因路由错误对部分用户不可用，19 个组件降级，发言人确认约 8:17 实施修复，另一家媒体则记为 9:55 解决。三家同时不可用的窗口约半小时到一个半小时，全部赶在发布之前恢复，最晚的一家距发布约一小时。下游的 AI 代码编辑器 Cursor 确认因 Grok 和 Claude 的故障出现宕机和功能降级。

三起故障没有共同原因：OpenAI 是路由错误，xAI 是数据中心故障，Anthropic 拒绝说明；Cloudflare、AWS、Azure 当天都没有报障，Google 的 Gemini 也没有获得官方确认。所谓“集体宕机”，成立的只有时间上的重叠。但这个事实本身已经够了：不需要任何共同敌人，三个各自独立的原因，就足以让三家旗舰 AI 服务在同一个早晨一起不可用。再算上 Astra 发布后 Altman 亲自道歉的“混乱 rollout”（那是另一起独立事件），可靠性这一层，在“AGI 时代”的叙事之下还没有被解决。这就是所谓 AGI 前夜的阿喀琉斯之踵：短板不在智能，在工程。