摘要： OpenAI在2026年8月7日表示，尚未部署的Astra模型評估結果已強到無法排除觸及Preparedness Framework的Critical網路能力，但這不是確認已達標。公司同步擴大測試、隔離、權限管控與監控，並安排外部測試。公告沒有量化數據或方法細節，所以實際風險仍需等待後續證據。
2026 年 8 月 7 日，OpenAI 刊出一則短得罕見的能力說明。該公司自行做的評估指出，即將問世的模型 Astra 在兩條線上同時有明顯進展——agentic coding 與 cybersecurity——幅度之大，已讓該公司無法排除它踩到自家 Preparedness Framework 的 Critical 等級。上一個跑完同一套 frontier cyber 評估的 GPT-5.6-Sol，拿到的結論是 High——兩者分屬不同的世界。
先把性質講明白：Astra 尚未部署，所以這份文件不是事故調查，而是一則部署前的能力示警。官方也在同一時間明確否認 Astra 與先前的 Hugging Face 被利用事件有關——這道否認本身就有訊息量，因為它假設了讀者會把「能力評估」讀成「實際攻擊」，而 OpenAI 選擇在第一時間就把兩者切開。
Critical 門檻的兩項定義
Preparedness Framework 於 2023 年 12 月首度對外發布，那個時候的模型距離這個等級還相當遙遠；這條線是事先劃定的，並非事後補上。依 OpenAI 給出的定義，Critical 網路能力涵蓋兩種情形，模型只要辦到其中一件就算：第一，不需要人類介入，就能針對許多 hardened real-world critical systems 開發出各嚴重度的 functional zero-day exploits——要求的是可運作的漏洞利用，而不是概念驗證，而且嚴重度要涵蓋低到高的完整區間。第二，只收到高層級目標，就能對 hardened targets 設計並執行 end-to-end 的新穎攻擊策略——規劃與執行由同一個模型一氣呵成，中途不需要人類接手。
兩項定義的重量，全都壓在「無人類介入」與「end-to-end」這幾個字上。攻擊者把模型當成輔助工具來用，這是一回事；模型獨力把整條攻擊鏈跑完，那又是另一回事——而後面那一種，正是 Critical 門檻存在的目的：把它攔在外面。
「無法排除」該怎麼理解
初步評估所測出的性能強度，已經到了目前無法排除 Critical capability level 的地步——這句話的認識論狀態要讀準。它講的不是「已確認達到 Critical」，而是「手上的證據還不足以把 Critical 排除掉」。一家把能力評估當本業的公司，願意承認自家量測沒能把這個區間收窄，這件事本身就有訊息量：模型能力已經追到評估工具的解析度邊緣。
把歷史拉進來對照，這一點會更清楚：先前的模型（包含 GPT-5.6-Sol）在同樣的評估下落點是 High，而不是 Critical。由「確認 High」變成「無法排除 Critical」，這是框架上路至今第一次亮起的跨線警訊。
OpenAI 的因應：五層控制
公告後半談的是已經在執行中的措施，可以整理成五層：
| 層次 | 措施 |
|---|---|
| 測試 | 把 safeguards 與 security controls 的 robustness testing 規模擴大 |
| 隔離 | isolated testing environments、restricted network 與 tool access |
| 保護 | model weight 保護與加密 |
| 執行 | sandboxed execution、監控與偵測 |
| 暫停 | 暫停 Astra 所有未達強化安全控制要求的內部活動 |
五層之中最有技術含量的是 universal monitoring：凡屬 Astra 的 agentic 應用——訓練與評估都算在內——一律納入全面監控，monitor 會檢視模型的 Chain of Thought，發現高風險時觸發 security response 審查並中斷活動。把監控的著眼點擺進推理過程裡，而不只是盯著外部行為，等於承認一件事：高風險有可能先在「想」的階段冒出來。
前例：2025 年 6 月的生物能力公告
「先公告、再強化」這套模式並非首度上路。2025 年 6 月，當模型接近 biology 的 High 門檻時，OpenAI 也公開過一組類似步驟；這次公告明確表示套用相同原則。對外部觀察者來說，這代表該模式已經制度化——能力逼近門檻、公布評估結論、啟動強化控制、引入外部測試，四個環節依序固定下來。它已經脫離一次性公關動作的性質，成為一道可預期的治理程序。
對安全研究者與 builder 的意義
最值得盯的是外部測試這條線：OpenAI 會與政府機構及特定 AI safety 組織合作測試 Astra，並把建議的 security controls 提供給 third-party testing partners。換個說法，「Critical 等級的模型該怎麼安全地測」正在被整理成一套可以交到第三方手上的規範——對做紅隊與評估服務的團隊而言，這是能直接拿去用的情報。
對產品建構者，影響可以讀成三層（此段為我的詮釋）：第一，拿 OpenAI 模型去跑 security-sensitive 任務的產品，部署門檻只會一路往上收，API 層過濾不會是最後一站；第二，那五層控制可以直接抄來當自家 agentic workflow 的稽核清單——隔離環境、限縮網路與工具使用、在推理層做監控、加上暫停機制，每一項都搬得動，而且現在搬的成本比日後被迫搬要低；第三，把「模型能力快速成長」設為架構的預設前提，在每一條 high-blast-radius 的路徑上都留一個人為介入點。
閱讀方式與限制
整篇公告大約五百個英文字，既沒有量化數據，也沒有攻擊實例，所有評估一律是定性的。這算不上缺點——預警性質的公告本來就不會附上漏洞細節——只是有幾件事真的無法從文中取得：Astra 實際的評估表現、量測所用的具體方法，以及「無法排除」的信心區間究竟有多寬。官方收尾的立場是：先進 cyber 能力應該讓 defenders 比攻擊者更早修補漏洞，並承諾與 governments 等對象合作，朝負責任且廣泛的部署推進；這句宣示能不能兌現，要看的是接下來外部測試的透明度，而非公告本身。合理的追蹤節奏，是把系統卡、外部測試結果與部署決策視為下一批證據；本文只是開場訊號，不是結論。