文章总结： OpenAI因自主攻击模型astra达到关键风险等级而暂停发布。astra能自主发现零日漏洞、突破沙箱并串联攻击链，Exploitbench成功率100%，但安全拒绝率91.5%仍不够。OpenAI采取分阶段受控部署，强调安全可控优先于能力发布。 综合评分： 85 文章分类： ai安全,漏洞分析,红队,安全运营

Astra 自主攻击能力逼停OpenAI最新发布

原创

破天KK 破天KK

KK安全说

2026年9月13日 00:00 中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

#

当一个 AI 模型能自主发现未公开漏洞、突破沙箱、串联攻击链——而拒绝率仍非 100%，OpenAI 的选择是：暂停发布，直到防得住为止。

一、何为 “关键” 级别？—— 不再是理论，而是 “已证实的自主攻击”

在 OpenAI 的准备框架中，”关键”（Critical）是其最高风险等级，意义重大：它标志着模型已从”可能造成风险”跨入”确有能力在极少人工干预下执行系统性攻击”的实证阶段。

这一分级并非技术标签，而是部署流程中的”强制断路器”：一旦触发，公开发布将被自动暂停，直至有充分缓解措施能有效抵消模型的攻击能力。

达到 “关键” 的两个硬门槛

1. 自主零日漏洞利用    模型能自主识别并利用多个防护完善环境中的 此前未知漏洞。
2. 端到端攻击执行    仅凭高层战略指令，无需任何中间人为干预，即可对强化目标完成 全链条网络攻击。

二、Astra 的实战评估——从 “已知漏洞” 到 “自主武器化”

Astra 是首个被归入此类的模型。其评估聚焦于超越已知 N 天漏洞，转向发现并利用全新缺陷。

关键数据亮点

| 指标 | 表现 | | — | — | | ExploitBench（已知可利用漏洞） | 100% 成功率 — 攻击流程已彻底商品化 | | 浏览器沙箱突破 | 成功逃逸受限浏览器环境，在底层主机执行任意命令 | | 强化系统提权 | 获得完整 root 级管理员权限 | | 漏洞串联能力 | 非简单单点利用，而是规划式、多步骤攻击链 |

研究人员特别指出，Astra 并非”找到一个漏洞就利用”，而是识别多个看似无关的细微缺陷，推断其叠加效应，导致系统全面崩溃。这标志着攻击方式已从”脚本式”跃升为”战略性”。

三、安全护栏的进步与不足——91.5% 拒绝率，仍不够

面对自主攻击能力的跃升，OpenAI 对 Astra 的安全对齐做了大幅强化，尤其在网络相关越狱拒绝率方面：

• GPT-5.6 Sol：拒绝率 59%
• Astra：拒绝率 91.5%

从技术角度看，这是显著进步；但从风险角度看：

8.5% 的失败率，对于一个具备自主零日能力的模型而言，在无监督部署下仍是不可接受的高风险。

不过，Astra 在蜜罐（诱饵系统）识别上表现更成熟——面对引诱性输入，它绕过安全限制的概率远低于前代，显示其意图对齐能力正在提升，但尚未达到完全可靠。

四、部署策略——不抢跑，先加固

OpenAI 对 Astra 的发布采取分阶段、受控路线，不以市场节奏为驱动：

1. 早期测试人员    仅限经过严格筛选的安全专业人员，提供初期反馈。
2. “Daybreak Blue” 计划    这不是面向消费者的发布，而是 专业红队演练与防御集成阶段——将模型纳入防御体系，在大规模验证一致性后，再考虑进一步开放。

同时，该发布与近 130 家科技与网络安全公司的联合倡议同步推进，目标是确保 AI 防御能力的发展快于攻击能力的扩散。

五、核心结论：能力越强，闸门越紧

Astra 的发展印证了一个新现实：

当 AI 模型跨越自主攻击阈值，部署必须让位于绝对控制。 能力不再是发布的前提，安全可控才是。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：KK安全说 破天KK 破天KK《Astra 自主攻击能力逼停OpenAI最新发布》