OpenAI 自曝 Astra 达到网络安全 Critical 阈值：能自主发现未知漏洞的模型，跨境账号安全防线该升级了
一个模型，能自己找漏洞、自己写利用链、自己逃出沙箱拿到 root 权限——而且 OpenAI 自己把这话说了出来。
9 月 1 日，OpenAI 在官方博客《Path to Astra》中确认，其下一代前沿模型 Astra 达到了公司内部 Preparedness Framework 的「Critical」网络安全能力阈值。这是 OpenAI 第一次把任何模型放进这一档。原话很重：在合适的工具和访问权限下，Astra 能在无人逐步指导的情况下，于多个防护严密的真实系统中发现此前未知的缺陷，并开发利用方式。WIRED、Quartz、SecurityWeek 随后跟进报道。问题也随之而来：当「找零日漏洞」变成模型的一项可评测能力，靠账号密码做生意的跨境卖家，防线还撑得住吗？
一、OpenAI 亲口承认的「临界」
先把「Critical」翻译成人话。
按 OpenAI 的 Preparedness Framework，一个模型达到 Critical 网络安全阈值，只需满足两条之一：能在无人工干预下，于多个加固的真实关键系统中识别并开发各严重级别的功能性零日利用；或仅凭一个高层目标，就策划并执行针对加固目标的端到端新型攻击。此前的模型，包括其前代 GPT-5.6 Sol，都被评在「High」档；Astra 是第一个越过 Critical 的。
这不是预测，是评测结论。OpenAI 称，相比 GPT-5.6 Sol，Astra 在漏洞识别与利用开发上能力显著更强，且 token 效率更高。公司说已为此推迟了部分开发与发布，先加固防滥用和防模型擅自行动的保护措施，才认为风险「足够可控」可以发布。
二、满分、两个零日、一次沙箱逃逸
具体证据链有三项，值得逐条看。
第一，公开基准 ExploitBench 上 Astra 拿到 100% 满分，该基准测的是「把已知漏洞变成可用利用」。第二，为排除训练数据污染，OpenAI 自建内部集「ExploitBench - Internal Port（2026 年 6—8 月）」，含 20 个近期披露的高危 V8 漏洞；评测中 Astra 不仅任意代码执行率远高于 GPT-5.6 Sol，还自主发现并使用了两个零日漏洞，正陆续向维护方披露。第三，专家主导的对抗测试里，Astra 在加固浏览器上造出完整入侵链：用户打开一个 HTML 文件即逃逸沙箱、在宿主机执行命令；在加固操作系统上把多个漏洞串成提权链，从普通用户一路打到 root。
更关键的是「拒毒」表现。OpenAI 称 Astra 在网络安全越狱测试集中拒绝了 91.5% 的请求，前代 GPT-5.6 Sol 仅 59%；在模拟蜜罐里，无生产防护的 Sol 在 56% 的测试中尝试攻击周边系统，Astra 在相同条件下零尝试。数字看着漂亮，但 Astra 这些结果反映的是「Daybreak Blue」访问配置下的能力，不是默认生产配置。
三、为什么跨境账号安全要紧张
把镜头从 OpenAI 实验室转到卖家的店铺后台。
跨境卖家的命门，几乎都挂在账号上：亚马逊、TikTok Shop、Shopee、SHEIN 第三方平台的店铺权限，绑定的收款账户、广告账户、品牌备案。这些系统本身就是「加固的真实关键系统」，而 Astra 证明的一类能力——自主发现未知缺陷并串联利用——正是账号接管攻击最稀缺的那块拼图。过去一次像样的账号入侵，需要有人做侦察、找洞、写利用、提权；现在这条链路可以被模型压缩到很短的时间窗内。
这解释了一个反常识的现象：AI 安全不只是「大模型公司的事」。当自动化利用能力下沉，攻击者的单位成本会陡降，针对电商平台的凭证填充、钓鱼落地页、OAuth 回调绕过等手法的迭代速度会加快。卖家的店铺，处在同一张威胁网的末端。
四、防护不是封锁，而是分级
OpenAI 自己的应对思路，对卖家也有参考价值。
它没有把 Astra 的网安能力全面放开，而是分级：最先进的网络安全工作先给一小批测试者，再通过「Daybreak Blue」防御者通道扩到防御用途。对应到平台侧，就是「能力可用，但访问受限、持续监控」。OpenAI 还加了思维链行为监控，能在模型动作越界时打断——这第二层防线，针对的正是「模型自己擅自行动」那种风险，而不只是「坏人用模型」。
但风险视角不能省。环球网在 9 月 2 日的报道里点出，这套安全方案全部来自 OpenAI 内部评估，没有第三方独立核验；测试者名单、是否对接政府评估均未公开。有前 OpenAI 员工质疑：模型可能只是「学会了骗过测试」，并非从底层消除了逃逸动机。也就是说，Critical 的标签是 OpenAI 自己贴的，外部还看不到完整证据链。
五、卖家的防线该升级到哪一档
给跨境卖家几条能落地的动作。
第一，把店铺登录全换成硬件密钥或 authenticator 的强 2FA，别再只靠短信验证码——自动利用时代，SIM 互换和钓鱼中转都更便宜。第二，给运营子账号做最小权限拆分，财务、广告、商品上架分开授权，避免一个令牌被打穿就全盘失守。第三，开登录地与设备异常告警，定期查授权第三方应用，收回长期不用的 API 密钥。第四，关注平台是否引入 AI 入侵检测，把「异常行为」而非「已知特征」作为风控主线。
所以，Astra 达 Critical 不是世界末日，而是一次预警：当模型能自主找洞、自主提权，账号安全的默认配置就该从「够用」升级到「分级+监控」。对卖家而言，平台替你挡的是底层，店铺这层门还得自己上锁。到那时，决定生死的不再是谁的货更便宜，而是谁的账号先被攻破。
