2026年9月1日，OpenAI宣布，尚未发布的Astra已经达到其Preparedness Framework中的“Critical”网络安全能力门槛。按照该公司的定义，达到这一等级的模型，在获得适当工具和访问权限后，可以在缺少逐步人工指导的情况下发现未知漏洞、形成可用的利用方法，或者根据一个高层目标规划并执行针对加固目标的新型攻击。Astra是OpenAI首个被正式评定为这一等级的模型。
OpenAI公布的证据包括公开与私有自动化基准、专家主导评测，以及在加固浏览器和操作系统上的测试。公司报告Astra在ExploitBench上取得100%的成绩；在一个包含20个近期高危V8漏洞的内部数据集上，它以较少的输出token获得了高于GPT-5.6 Sol的任意代码执行率，并在评测中发现和使用了两个零日漏洞。公司还报告，Astra形成了浏览器逃逸和本地提权利用链。OpenAI表示相关漏洞正在披露，但没有公开内部数据集、完整测试记录或零日漏洞细节，完整系统卡要到模型发布时才提供。Reuters确认了“Critical”认定、有限开放计划以及尚无明确发布时间，但没有独立复现上述能力。
这个事实带来一个不能只靠“相信或不相信公司”回答的问题：当决定性证据保存在开发者内部，外界只能看到评测定义、部分结果和机构陈述时，Astra的“Critical能力”是否已经成为公共知识？如果还不是，限制访问和强化防护是否缺少认识论依据？
需要先区分四种状态。第一种是模型实际具有某种能力，这是关于对象的事实。第二种是开发者根据内部实验形成的判断，这是一个有证据支持但证据分布不对称的机构判断。第三种是公共知识，它要求相关主张能够进入更广泛的检查、质疑、复现和修正关系。第四种是风险条件下的行动决定，它回答的不是“主张是否已经得到最终确认”，而是“在现有不确定性下，哪些行动代价可以接受”。这四种状态彼此相关，却不能互相替代。
从OpenAI掌握的材料看，公司内部可能有充分理由把Astra当作高风险能力来管理。它能够接触模型、测试环境、失败样本和专家记录，也承担内部系统被突破或模型被滥用的直接风险。但对外部公众而言，相同结论主要通过机构证言获得。公众能够检查门槛定义和部分汇总数字，却不能检查测试集是否具有代表性、成功标准如何执行、失败案例如何分布，也不能确认模型在其他环境中能否稳定表现出相同能力。因此，“OpenAI已经把Astra评定为Critical”是已经公开确认的事实；“Astra已经被独立证明具有该等级能力”则不是。
这一区分并不要求在所有证据公开以前什么都不做。网络安全评测存在一个实际冲突：公开足以复现零日漏洞和利用链的全部材料，可能同时放大被评估的风险。风险哲学也区分已知概率下的风险与概率本身不完整的决策。在严重后果可能出现、错误放行的代价较高时，采取更严格的访问控制、监测和拒绝机制，可以由预防性理由支持。这里的行动依据是“现有证据足以改变安全选择”，不是“能力命题已经成为无争议的公共知识”。
但预防性行动也不能反过来证明原来的能力判断。限制访问可能是合理的，却不会自动提高内部评测的真实性；公司愿意承担成本、延迟训练或部署，也只能增加其判断具有实际分量的理由，不能代替外部检验。否则就会形成一个封闭循环：机构以保密为由不公开证据，再以采取了严格措施证明风险真实，最后又以风险真实证明保密必要。这个循环可以维持管理秩序，却不能独立形成公共知识。
科学知识的社会维度研究强调，客观性并非只来自单个研究者的诚实，也来自批评可以进入、异议能够形成、方法能够被检查和结论可以被修正的共同结构。关于科学专家信任的研究也区分了简单披露、公众可获得的信息，以及真正允许批评参与的机制。透明不是把所有材料一次性公开；在安全领域，它可以采取分层形式，例如让具备保密条件的独立评测者检查内部结果，公布可审核的方法说明，记录版本变化和反例，并在漏洞修复后逐步释放更多材料。关键不是信息数量，而是外部纠错能否真实进入判断过程。
从维成论看，Difference首先要求保留这些认识状态之间的可区分性：内部证据不是公开证据，机构判断不是独立复现，预防措施也不是事实证明。如果这些差异被抹平，公众只能在完全相信和完全拒绝之间选择。Constraint指主张能够以何种方式形成、流通和被检验的条件。保密可以是防止伤害的必要约束，但如果没有受控的外部核验、明确的门槛和后续披露，它也会成为阻止知识修正的约束。
Sustained Coherence在这里不是一份报告内部前后一致，而是一个判断能否在不同评测者、不同环境、反例、版本变化和实际部署反馈中持续维持。Astra目前拥有的是由开发者证据支持、并被实际安全措施承接的强机构判断；它尚未形成同等强度的公共认识结构。随着系统卡、独立评测、漏洞披露和部署记录出现，这一判断可以得到加强、限定或修正。
我的判断是：OpenAI现有材料足以支持对Astra采取更严格防护，尤其因为错误低估网络能力可能产生难以逆转的损害；但这些材料还不足以使“Critical能力”成为已经独立确立的公共知识。合理的立场不是要求先彻底公开再行动，也不是因为存在风险就停止追问证据，而是把预防性约束与认识论确认分开。前者可以先行，后者必须继续通过可审查、可比较和可修正的关系形成。
这个判断的边界同样明确：它不否认OpenAI内部测试的真实性，也不推断Astra的能力被夸大；它只限定公众目前能够确认到什么程度。如果未来的系统卡仍只提供结论摘要，独立评测者无法接触关键材料，或者不同环境中的结果明显不一致，公共知识状态就不会仅因模型发布而自动完成。相反，受控独立复核、修复后的技术披露和持续部署证据，可以在不直接扩散攻击能力的条件下逐步缩小证据不对称。
参考资料
OpenAI, “Path to Astra: critical capabilities and frontier safeguards”, 1 September 2026
https://openai.com/index/path-to-astra/
Reuters, “OpenAI says upcoming model is so capable it requires stronger guardrails”, 1 September 2026
https://www.reuters.com/business/openai-says-upcoming-model-is-so-capable-it-requires-stronger-guardrails-2026-09-01/
Stanford Encyclopedia of Philosophy, “The Social Dimensions of Scientific Knowledge”
https://plato.stanford.edu/entries/scientific-knowledge-social/
Hanna Metzen, “Trust in Scientific Expertise and the Varying Demands of Value Transparency”, Canadian Journal of Philosophy, published online 28 May 2025
https://www.cambridge.org/core/journals/canadian-journal-of-philosophy/article/abs/trust-in-scientific-expertise-and-the-varying-demands-of-value-transparency/AA7B03CDB9EEEC77DF02CCEEFF426C3B
Stanford Encyclopedia of Philosophy, “Risk”
https://plato.stanford.edu/entries/risk/
了解 Geoffrey Chen 的更多信息
订阅后即可通过电子邮件收到最新文章。