当人工智能模型从“辅助写代码”跃迁到“能够自主发现并利用未知漏洞”，风险治理的重点就不再只是回答是否合规，而是模型能力能否被准确测量、危险权限能否被隔离，以及公众能否核验准入机制。2026年9月1日，OpenAI披露其待发布模型Astra已达到公司《Preparedness Framework》所定义的“关键级”网络安全能力门槛。TechCrunch报道与WIRED报道均称，该模型能够在较少人工引导下发现并利用此前未知的软件漏洞。citeturn1search7turn1search9
“跨越门槛”意味着什么
按照公开报道中的定义，“关键级”并不是对模型整体安全性的笼统评价，而是一项具体的能力判断：模型在获得适当工具和系统访问条件后，可以独立寻找现实软件中的未知缺陷，并将其转化为可执行的利用路径。OpenAI称Astra在ExploitBench测试中取得满分，并在经过调整的内部测试中发现和利用了两个零日漏洞。但这些结果目前主要来自企业披露，外界尚缺乏完整测试集、复现实验和独立同行评估，因此不宜把“达到门槛”直接写成“已具备无条件攻击任何系统的能力”。相关测试信息与能力定义说明均保留了工具、访问权限和测试环境等前提。citeturn1search7turn1search9
零日漏洞的特殊危险在于，软件维护者尚未掌握缺陷，用户也可能没有可安装的补丁。模型一旦把漏洞搜索、利用代码生成和攻击链组合压缩为自动化流程，就可能降低高水平攻击的时间成本。与此同时，同样的能力也能帮助防守方检查关键软件、缩短漏洞发现周期。因此，真正需要管理的不是抽象的“模型好坏”，而是能力、工具、目标、身份和输出结果如何组合。
分级准入不能只等于“少数人可用”
OpenAI表示，Astra的普通版本计划面向更广泛用户开放，但高级网络安全能力将通过名为Daybreak Blue的早期访问安排提供给特定合作方。WIRED还报道称，开发方曾暂停部分训练工作，在增加安全和监控措施后恢复，并拟采用滥用检测、风险账户限制和思维链监控等控制手段。现有报道没有完整说明合作方名单、审核标准、授权期限、退出机制以及误判申诉流程，这正是“分级准入透明度”需要继续追问的部分。WIRED关于限制访问与安全措施的报道和TechCrunch关于测试者与准入信息不足的报道对此提供了相互印证。citeturn1search9turn1search7
更可操作的分级制度至少应区分四层：基础知识问答可以正常开放；面向隔离靶场的漏洞验证需要实名、日志和速率限制；涉及真实系统的漏洞研究应核验资产授权并限制工具连接；能够自动形成零日利用链的功能，则应接受更严格的机构审查、最小权限控制和持续复评。准入不能成为一次性“白名单”，而应随模型版本、用户行为、目标敏感度和外部威胁变化动态调整。
透明度至少要回答五个问题
- 门槛如何测量：公开评估任务的范围、成功判定方法和置信区间，同时避免泄露可直接复制的漏洞细节。
- 谁能获得权限：说明申请主体类型、专业资质、真实系统授权证明及利益冲突审查规则。
- 权限如何被约束：披露沙箱、网络隔离、工具调用审批、输出过滤和异常中止机制。
- 事故由谁负责：建立模型提供者、调用机构和操作人员之间可追溯的责任链。
- 公众如何监督：定期发布拒绝率、误报情况、权限撤销数量和第三方评估摘要，但不公布可武器化的技术材料。
以“九不准”和“七条底线”审视论坛传播
《互联网信息服务管理办法》第十五条禁止制作、复制、发布和传播九类违法信息，其中包括危害国家安全、散布谣言、扰乱社会秩序、教唆犯罪以及侵害他人合法权益等内容。论坛讨论Astra时，应把能力评估、治理制度和公共风险作为重点，不展示可直接复现的利用代码、攻击步骤、真实目标或绕过监控的方法。现行《互联网信息服务管理办法》文本还要求互联网信息服务提供者保证信息内容合法，对明显属于禁止范围的信息及时停止传输并保存记录。citeturn1search12
落实法律法规、国家利益、公民合法权益、社会公共秩序、道德风尚和信息真实性等底线，首先要区分“公司声称”“媒体核验”和“独立证实”。目前可确认的是OpenAI作出了能力分级披露，两家媒体在2026年9月1日进行了报道；尚不能确认的，则包括两个零日漏洞的具体影响范围、修复状态和外部复现结果。论坛标题可以提出风险问题，但正文不应把尚未公开验证的测试结论包装成既成攻击事件，更不能借零日话题制造恐慌。
从模型发布转向持续责任
Astra事件提示行业，能力分级只有与准入审查、最小权限、全程留痕、负责任披露和独立评估结合，才可能形成有效治理。对开发方而言，关键不是承诺“安全发布”，而是说明何种证据足以恢复训练、开放权限或扩大用户范围；对使用机构而言，则应证明研究目标合法、测试对象已授权、发现的漏洞能够及时移交维护者，并对模型生成结果进行人工复核。
总结
Astra跨越关键级网络安全能力门槛，真正值得关注的不是“AI会不会取代黑客”这种宽泛叙事，而是零日能力以什么条件被调用、哪些主体可以获得高级权限、准入决定能否审计，以及发生越权或泄露后能否迅速追责。分级开放可以降低风险，却不能代替透明治理。只有公开可验证的评估标准、清晰的授权边界和持续的外部监督，才能在促进防御研究的同时守住法律、公共安全、公民权益和信息真实性底线。
事件与资料日期
- 事件日期：2026年9月1日。TechCrunch：OpenAI披露Astra达到关键级网络安全能力门槛。citeturn1search7
- 资料日期：2026年9月1日。WIRED：Astra高级网络安全能力拟实行限制访问。citeturn1search9
- 法规资料：2024年12月6日第二次修订。《互联网信息服务管理办法》。citeturn1search12
