OpenAI 首次将 GPT-6 Astra 归入其 Preparedness Framework 的网络安全“Critical”级别。专家主导的测试显示，该模型发现了浏览器和操作系统内核中此前未知的漏洞，并构造出可工作的利用程序。与此同时，系统卡还报告了一个值得警惕的变化：模型思维链的可监控性显著下降。
这两项信号必须放在一起理解。模型不仅更有能力完成高难度安全任务，人类和自动化系统也更难通过其中间推理判断它正在做什么。对研发团队而言，这意味着安全治理不能继续只依靠提示词审查、聊天记录或模型的自我解释。
“Critical”改变的不是标签，而是威胁模型
能够发现未知漏洞，与复述公开 CVE 或生成常规扫描脚本并不是同一层级的能力。浏览器和操作系统内核都拥有庞大代码量、复杂状态空间以及较高的利用门槛。如果模型在专家测试中可以从漏洞发现推进到可工作的利用程序，它就可能压缩以下工作的时间成本：
- 定位内存安全、边界检查或状态机中的异常路径；
- 从崩溃样本推导触发条件，并迭代验证；
- 将漏洞分析、利用构造和环境适配串成连续流程；
- 同时处理大量候选目标，扩大安全研究的吞吐量。
这不等于模型可以无条件攻破任意系统。测试结果受到工具权限、目标环境、专家协助和评估范围影响，摘要也没有给出漏洞类型、成功率或自主运行程度。但它足以说明，组织在评估模型接入风险时，不能再把“是否生成恶意文本”当作唯一问题。
更实用的威胁模型应关注模型能够采取的动作：它能读取哪些仓库，能否编译和运行代码，是否可以访问内部制品，是否拥有网络出口，以及生成的程序能否离开隔离环境。
思维链更难监控，审计重点必须转向可见行为
思维链可监控性下降，不应简单理解为模型变得不可审计。它意味着依靠隐藏推理、解释文本或关键词匹配来识别危险意图，会变得更不可靠。模型可能给出看似无害的说明，却通过工具调用完成高风险操作；反过来，讨论漏洞利用也可能是合法的防御研究。
因此，控制点应从“模型说了什么”转向“系统允许它做什么”：
| 控制面 | 建议记录或限制的内容 |
|---|---|
| 输入数据 | 仓库、工单、二进制文件和凭据的访问范围 |
| 工具调用 | 命令、参数、工作目录、退出码和产物哈希 |
| 执行环境 | 容器镜像、内核能力、CPU、内存和运行时限额 |
| 网络访问 | 默认拒绝出口，仅允许明确批准的域名和协议 |
| 结果发布 | 补丁、PoC、二进制及报告必须经过人工审批 |
这里的关键原则是：解释可以辅助调查，但不能充当授权依据。即使模型声明自己只是在做防御测试，执行层仍应实施同样的权限边界。
可以这样实践：把模型生成的安全代码关进隔离流水线
下面是一份可改造的 GitHub Actions 工作流。它假设模型生成或修改的代码进入 ai-security-output/，流水线只做静态检查和受限测试，不授予云凭据，也不允许作业访问外网。
将文件放到 .github/workflows/ai-security-review.yml，并根据项目语言替换 make test-security。示例使用 Semgrep 扫描危险模式；运行前需要确保测试目标可以在普通 Linux runner 中执行。
name: AI Security Output Review
on:
pull_request:
paths:
- "ai-security-output/**"
- ".github/workflows/ai-security-review.yml"
permissions:
contents: read
jobs:
inspect:
runs-on: ubuntu-latest
timeout-minutes: 10
container:
image: semgrep/semgrep:latest
options: --network none --cap-drop ALL --security-opt no-new-privileges
steps:
- uses: actions/checkout@v4
with:
persist-credentials: false
- name: Scan generated code
run: semgrep scan --config auto --error ai-security-output/
- name: Reject executable artifacts
shell: sh
run: |
if find ai-security-output -type f -perm /111 -print | grep -q .; then
echo "Executable artifact found; manual review required."
exit 1
fi
- name: Run defensive tests
shell: sh
run: make test-security
这只是一个起点。实际部署还应使用自托管的一次性 runner 或独立沙箱，避免处理不可信代码的任务与生产构建共享宿主机。对浏览器、内核、驱动或二进制解析器进行测试时，应进一步禁用特权容器、宿主目录挂载和设备访问，并在每次任务结束后销毁执行环境。
模型若需要联网获取依赖，可以将依赖预先镜像到内部制品库，再通过显式白名单开放访问。不要把 unrestricted egress 当作默认配置，因为模型生成的程序、测试样本或依赖安装脚本都可能形成数据外泄通道。
采用前应完成的检查
团队不必因为能力评级而停止使用高级模型，但应让权限与可验证性跟上能力增长。上线前至少确认以下事项：
- 高风险安全任务是否需要两人审批，并保留批准人与任务范围；
- 模型能否接触生产凭据、客户数据、未发布代码或签名密钥；
- 所有命令、文件变更、网络请求和输出制品是否进入不可篡改日志；
- 漏洞 PoC 是否只能在隔离环境运行，且不能自动发布或发送到外部；
- 是否为任务设置时间、计算资源、调用次数和成本上限；
- 监控系统是否基于可观察行为，而不是依赖思维链文本；
- 出现越权工具调用或异常网络行为时，能否立即撤销会话和凭据。
GPT-6 Astra 的评级传递出一个明确的工程信号：高能力模型正在成为真正的安全工具，而不仅是提供建议的聊天界面。相应地，它也应受到与漏洞扫描器、调试器和远程执行系统相近的权限管理。最稳妥的落地方式不是猜测模型的内在意图，而是限制其可用能力、完整记录外部行为，并把高影响动作留给明确的人类决策。