OpenAI Astra 先公开安全评估：达到网络安全 Critical，API 与系统卡尚待上线 (2026)

先说结论

OpenAI 目前公开的是 Astra 的发布前安全评估与上线准备，而不是一份完整的公开模型发布说明。官方页面标注日期为 2026 年 9 月 1 日，正文把 Astra 称为 upcoming model，并写明“即将提供”；OpenAI 同时宣布，Astra 首次达到 Preparedness Framework（模型安全准备框架）的网络安全 Critical 阈值。1

这意味着读者现在能确认的是：Astra 在受控测试中的网络安全能力已经跨过 OpenAI 自己设定的最高级别门槛。读者暂时拿不到一套完整的公开接入参数：官方公开材料没有给出参数规模、价格或公开 API 模型 ID，开发者模型目录也没有 Astra 条目。1 2

对开发者来说，当前动作是等待公开模型 ID、API 文档、价格和 system card（系统卡）；对安全团队来说，当前动作是了解受控访问的资格和授权边界。把测试 benchmark 当成生产可用性，或者把 Astra 直接当成已经开放的 GPT-6 API，都会让评测计划提前失真。

现在要判断什么	已确认的信息	动作窗口
Astra 是否已经公开发布	OpenAI 官方公告写的是“即将提供”，高级网络安全能力先给一小批 alpha testers，随后通过 Daybreak Blue 扩大防御用途。1	先按“受控上线准备”记录，不按普遍可用模型排期。
能否直接接 API	官方模型目录列出 GPT-5.6 Sol、Terra、Luna 以及 Daybreak 相关模型，页面没有 Astra 条目。2	等待正式模型 ID、接口文档和计费表；不要猜测 model name。
安全团队能否申请	OpenAI 帮助中心把 Astra 与 Daybreak 访问分开说明：大多数 Daybreak 客户在 Astra 上仍使用标准防护，reduced refusals（减少部分拒答限制）当前不适用 Astra。3	先确认机构、用户、工作区和授权测试范围，再等待对应访问路径。

官方到底披露了什么能力

OpenAI 对 Critical 网络安全阈值给出两条判定条件：模型可以在许多经过加固的真实关键系统中，独立识别并开发各严重等级的可用零日漏洞；或者，模型只得到高层目标，就能针对加固目标设计并执行端到端的新型攻击策略。1

Astra 在公开的 ExploitBench 上取得 100%。这项评测看的是模型能否利用已知漏洞开发出可工作的 exploit（漏洞利用程序）。OpenAI 认为公开数据存在污染风险，因此又建立了 ExploitBench - Internal Port（2026 年 6—8 月），其中包含 20 个较新的高危 V8 漏洞。Astra 在这套内部评测中的任意代码执行率高于 GPT-5.6 Sol，同时使用更少的输出 tokens；测试期间，Astra 还在利用链中发现并使用了两个零日漏洞。上述数字和结论都来自 OpenAI 的安全评估，内部评测的完整分数没有公开。1

专家评测提供了另一类证据。Astra 在加固浏览器与操作系统环境中发现了此前未知的漏洞，并把漏洞组合成可工作的利用链：一条链条从浏览器打开 HTML 文件开始，逃出沙箱并在主机上执行命令；另一组漏洞则把低权限用户提升到了操作系统的 root 权限。这里描述的是受控实验能力，不能直接等同于普通用户环境中的实际攻击成功率。1

安全防护和能力测试必须分开看

OpenAI 把 Astra 的防护分成模型拒答、系统级安全分类器、离线检测、威胁阻断和生产监测几层。针对网络安全越狱请求的测试中，Astra 拒绝了 91.5% 的请求，GPT-5.6 Sol 的对应比例为 59%。OpenAI 还在模拟 Hugging Face 事件的 honeypot（诱饵目标）测试中观察模型是否会绕过任务要求、攻击周边基础设施：在没有生产防护的测试条件下，Astra 没有尝试访问诱饵目标，GPT-5.6 Sol 的尝试比例为 56%。两组结果都来自 OpenAI 的特定测试条件，不是独立安全评估，也不是日常生产流量的误报率或攻击成功率。1

Astra 还会配套额外的 chain-of-thought monitoring（对模型推理过程和行动信号的监测），用于尽快识别并停止越权行为。OpenAI 提醒，监测器可能把合法的防御工作判断为潜在滥用，使长时间运行的 agent 任务被放慢、暂停或终止；在 ChatGPT 或 Codex 中，用户可能需要先复核动作，在 API 等其他入口中，任务可能直接停止。1

访问边界比“发布”二字更重要

官方公告描述了两条时间顺序：高级网络安全工作先向少量 alpha testers 开放，再通过 Daybreak Blue 支持更多防御用途；普通用户能否使用 Astra，与是否获得 Daybreak 的 reduced refusals 不是同一件事。1 3

当前帮助中心的表格仍把 Daybreak Blue 对应到 GPT-5.6 Sol，把 Daybreak Red 对应到 GPT-5.6 Cyber；帮助中心同时说明，大多数 Daybreak 客户在 Astra 上无法启用 reduced refusals，可以继续使用带标准防护的 Astra，或切换到支持 Daybreak Blue 的模型。这个页面说明了访问边界，尚未提供 Astra 的公开 API 计费方案。3

OpenAI 的公告还写明，Astra 的 system card 会在模型正式发布时补充更详细的安全、保安和对齐评估。公开材料截至本次核验仍未给出这份系统卡；参数规模、上下文窗口、价格、API 模型 ID 和独立 benchmark 结果也都处于待补状态。1 2

现在怎么跟进

开发者团队： 先用现有公开模型建立长程编码、工具调用和安全代码任务集，把成功率、输出 tokens、工具调用次数和人工复核时间记下来。等 Astra 的正式 API 文档出现后，再用同一套任务集复测。
产品和管理团队： 把“能力评估已公开”“可用范围受控”“成本和接口未公开”拆成三个状态。这样可以避免把 OpenAI 的内部测试分数直接写进上线承诺。
安全团队： 先整理授权证明、目标系统范围、人工审批和回滚流程，再查看 Daybreak 的申请路径。OpenAI 的帮助中心要求 Trusted Access 只用于组织内部、且只测试自有或明确获授权的系统。3

Astra 这次最确定的变化，是 OpenAI 把它列为首个达到 Critical 网络安全阈值的模型，并为此增加了更严的发布前防护。公开发布的日期、参数、价格和 API 入口仍要等后续官方材料；在这些字段出现前，Astra 更适合被当作一个已经完成高风险能力评估、正在接受受控部署的模型来跟踪。