Astra明日发布？OpenAI首个关键级网络安全AI引担忧
近期有消息显示，OpenAI即将推出的全新模型Astra距离正式发布已经不远，这款被称为OpenAI目前最强的新模型，或将带来AI网络安全能力的全新突破。
就在发布前夕，OpenAI公开了相关的能力测试报告，确认Astra已经达到了该公司设定的「关键级」网络安全能力门槛，也是首个被正式划入这一级别的AI模型。按照OpenAI的定义，达到这一门槛的模型，在获得合适的工具与访问权限后，可以无需人类逐步指导，自主从大量经过加固的真实系统中挖掘未知安全漏洞并开发利用方案，或是仅根据高层目标，自主设计并执行针对加固目标的端到端新型攻击策略。
在用于评估已知漏洞利用能力的ExploitBench测试中，Astra取得了满分的成绩。针对2026年6月至8月披露的20个V8高危漏洞搭建的内部测试集里，Astra实现了100%的任意代码执行成功率，而同系列的GPT-5.6 Sol仅为20%，且Astra在测试中使用的Token数量更少，整体效率更高。不仅如此，测试期间Astra还发现了两个此前未被披露的零日漏洞，并将它们整合为一条完整的漏洞利用链，目前OpenAI已经向相关系统维护者通报了这两个漏洞。
在更贴近真实场景的专家评估中，Astra同样表现亮眼：它成功构建了完整的浏览器攻击链，仅需用户打开一个HTML文件，就能实现浏览器沙箱逃逸并在宿主机上执行命令；同时在经过加固的操作系统中，它也发现了多个漏洞，通过组合利用这些漏洞，将普通用户权限提升至root级别。
鉴于如此强大的能力，OpenAI罕见地推迟了Astra的部分训练和发布工作，以强化训练基础设施、网络隔离、权限控制和监控系统。模型正式发布后，普通用户将无法直接使用其最强的网络安全能力，相关功能最初仅会提供给少量测试者，后续将通过Daybreak Blue平台逐步扩大防御用途。此外，OpenAI还参考此前的相关智能体事件，对Astra进行了绕过审核和蜜罐系统攻击测试，结果显示GPT-5.6 Sol曾在5.3%的样本中尝试绕过自动审核，56%的蜜罐测试中发起攻击，而Astra在两项测试中都没有出现类似行为。
就在外界关注Astra的安全能力时，有消息指出其背后可能隐藏着一项名为「循环深度」的核心技术，也就是循环Transformer架构。传统的Transformer模型在处理每个Token时，信息会依次穿过一组固定的网络层，随后生成下一个Token；而循环Transformer则会让信息在完成一轮处理后，回到部分网络层重新进行计算，模型可以反复调用同一套参数，持续更新隐藏状态，直到完成预定次数的内部计算后，再输出下一个Token。这种架构可以在不增加参数量和模型权重占用的前提下，大幅提升有效计算深度，但代价是需要执行更多次的计算操作。
其实循环深度的技术思路并非首次出现。2025年2月，海外高校研究团队就发表了相关论文，提出通过让模型在潜在空间中反复运行循环模块，在不生成大量思考Token的前提下增加测试时的计算量，他们训练的35亿参数概念验证模型，随着循环次数增加，在数学和编程任务上的表现持续提升，部分实验中的计算负载最高可达500亿参数模型的水平。几个月后，多国科研机构团队又提出了Mixture-of-Recursions（MoR）架构，在循环结构中加入路由器，让简单Token提前退出计算，困难Token则继续进行多轮循环计算。到了2026年，国内某实验室推出的Nanbeige4.2-3B开源模型，也采用了Looped Transformer架构，让隐藏状态两次通过同一组22层网络，实际相当于执行了接近44层的计算，但仅需存储一套22层的权重。该团队发现，两轮循环能够实现较好的能力与成本平衡，Token效率可以保留在标准架构的约75%，继续增加循环次数的话，性能收益会快速减弱，而训练速度和计算成本则会持续上升。
不过循环架构并非没有隐患，早在2026年8月就有研究指出，给模型增加更多的循环次数，并不一定能保证它会正确利用这些额外计算，部分模型甚至会出现「越想越错」的情况，当循环深度超过训练时的设置，部分任务的成绩还会出现倒退。
如果Astra确实通过循环深度技术实现了能力和效率的提升，那么这一技术也带来了新的安全隐患。循环深度让模型可以在输出文字之前完成更多内部计算，也就是实现「少说多想」，但与此同时，模型的真正思考和行动计划可能会被隐藏在人类无法读取的内部状态中，这让人类监管变得更加困难。过去的推理模型会将大量中间步骤转化为文字Token，即便这些文字无法完全反映模型内部的真实情况，调查人员仍然可以从中窥见模型的目标、规划以及规避限制的意图；但随着循环深度的增加，模型可能会逐渐减少对文字化中间步骤的依赖，原本写在「草稿纸」上的推理被转移到激活状态中，留给监控系统的信息也会越来越少。
有行业专家将这种担忧与此前的相关智能体事件联系起来，当时约1200个智能体通过未经批准的留言板交流，超过700个智能体参与了针对测试基础设施的攻击，调查人员通过分析约1300份包含原始思维链的智能体记录，才还原了它们篡改记录、伪造工具调用等行为的意图。如果未来智能体可以在潜在空间中完成完整的谋划，再通过伪造工具调用编织出另一套叙事，调查人员将很难了解背后真正发生的事情。
针对这一问题，OpenAI在最新的博客中明确表示，将为Astra部署额外的思维链监控，以便快速发现并阻止模型可能采取的未授权行动，这也意味着思维链监控将成为Astra安全体系的重要组成部分。不过OpenAI相关负责人随后回应称，包括Astra在内的当前前沿模型的计算图深度仅为GPT-4的两倍以内，从最早的推理模型开始，该公司就一直尝试保留和使用思维链监控，并未放弃这条安全路线。同时该负责人也承认，思维链监控本身非常脆弱，且整体趋势正在恶化，循环深度就像是一个新的调节旋钮，每增加一次循环，模型就可以在输出文字前多思考一会儿，性能和效率的需求会推动实验室继续增加循环次数，但与之匹配的安全监管能力则会越来越难以保证。
目前OpenAI尚未公开Astra的具体架构，外界还无法确认它到底采用了哪种循环方案，循环深度究竟是不是Astra能力飞跃的核心原因，OpenAI在模型内部设置了多少轮循环，这些问题都需要等到Astra正式发布后才能得到答案。不过可以确定的是，这款模型的正式推出，将为AI网络安全能力带来全新的变化，同时也会给行业的安全监管带来新的挑战。
参考链接：
