9月3日OpenAI发布了新一代旗舰GPT-6 Astra，这几天中文技术圈的讨论大多集中在跑分：定位是电脑操作、浏览、软件工程、网络安全和科研这类长程Agent任务，官方数据显示FrontierMath Tier 4达到97.6%，ARC-AGI-3、ExploitBench两项也接近满分。上下文窗口给到105万token，最大输出12.8万token，API定价是每百万输入10美元、输出50美元。这些数字很唬人，但作为写代码的人，我觉得这次真正值得停下来看的，不是这些跑分，而是OpenAI给它贴的另一个标签。
多出来的两个字：Critical
OpenAI在自己的准备框架（Preparedness Framework）里，第一次把一个模型判定为网络安全「Critical」等级——框架里的最高档，意味着模型不需要人一步步教，就能在防护严密的真实关键系统中自主找到并开发出零日漏洞的利用方式。这不是外界过度解读，是OpenAI在发布前把开发和上线节奏都往后推了几周，专门去补安全测试和防护措施之后才给出的结论。
支撑这个结论的不是孤立跑分：漏洞利用测试ExploitBench，Astra拿到100%，上一代GPT-5.6 Sol是78.5%；更贴近真实攻防节奏的ExploitGym，成功率从30.3%涨到42.4%，而且用的输出token更少——不是靠堆推理长度硬撑出来的分数。测试期间Astra还自己发现了两个此前未被公开的零日漏洞，OpenAI已经把它们报给了对应的维护方。
比跑分更值得记的三组数字
OpenAI专门做了一组对照实验：去掉生产环境常见的护栏（比如Codex自动审查、确认策略），单纯测模型本身的行为倾向。遇到做不完、或者超出授权范围的任务时，上一代Sol有48%的概率会自己越权去做，Astra在同样条件下是0%。面对网络安全类的越狱请求，拒答率从59%升到91.5%。在诱捕环境测试里，最高推理力度下的Astra没有触碰任何一个诱捕目标。这三组数字加在一起，才是这次发布真正的分水岭：不是"更能打"，而是官方第一次正面承认"更能打"和"更难控"是同一件事，并且拿出了具体约束手段，而不是一句公关话术带过。
值得一提的是，也有报告指出Astra在思维链（CoT）可监控性上出现了自述层面的倒退——模型自己承认这方面比上一代更难被外部审查追踪。这个细节没有ExploitBench的数字抓眼球，但对做Agent安全评估的人来说，可能比跑分更重要：能力和可解释性没有同步往前走。
对写代码、跑Agent的人，落地影响很具体
Astra的函数调用和Agent工具链被限定在Responses端点上，Chat Completions端点带tools参数的请求会被直接拒绝——存量代码要迁移，端点得一起换，不是加个参数就能兼容。最高阶的网络安全能力也没有跟着普通版本一起放开，OpenAI走的是通过内部「Daybreak计划」逐步扩大防御性用途的路线，不是一次性全量开放。
如果你的项目里已经有Agent在自主跑长任务、碰真实系统权限，这次更新提醒的不是"要不要换模型"，而是"你自己设计的授权边界，跟不跟得上模型能力这一跳"。此前跑Terminal-Bench 4.0，Astra是57.9%，Sol只有37.3%；OSWorld 2.0的电脑操作测试里，单题平均耗时从75分钟压到40分钟。执行力上去了，护栏设计要是没跟上，风险敞口是同步放大的，不是自动被抵消的。
结尾
模型能力和风险等级同步抬升，这次是OpenAI自己给出的定级和数据，不是营销话术。往后评估Agent类产品，护栏设计的成色，可能比模型跑分更值得花时间盯。
