GPT-6 Astra 上线即受限：触及 Critical 安全阈值的百万上下文操作模型

OpenAI 发布了新一代旗舰模型 GPT-6 Astra，主打计算机操作能力，上下文窗口拉到 105 万 token，能像人一样浏览网页、操作软件、执行终端命令。但它上线当天并未全面开放，内部安全评估显示其网络安全能力触及 Critical 阈值，完整版本只对通过审核的企业和研究人员开放。

从 Operator 到 Astra，操作电脑这条路走了两年

让模型替人操作电脑，OpenAI 在 2025 年初发布 Operator 时迈出第一步，背后的 CUA 智能体靠截图理解屏幕，再生成点击和输入动作。Anthropic 更早，2024 年 10 月就上线了 computer use 接口，Google DeepMind 的 Project Mariner 也在浏览器里做同样的事。

Astra 把两项能力叠在了一起：既能操作界面，又装得下百万级上下文。GPT-4.1 早把文本窗口推到 100 万 token，但那主要服务长文档问答；Astra 是让一个持续干活的智能体记住几百页代码、几十份系统日志和数天前埋下的任务线索。对智能体来说，记忆长度直接决定任务半径。

Critical 是 OpenAI 自己画的红线

OpenAI 在 Preparedness Framework 中把前沿模型的风险分为网络安全、CBRN、说服力、模型自主性四个赛道，按低、中、高、Critical 四级评定，并承诺触及 Critical 就暂停推进。o1 发布时网络安全被评为中等风险，这次 Astra 的评分直接冲到了最高一档。

微妙之处在于处理方式。OpenAI 没有压下发布，而是把完整能力装进带门禁的容器：审核制准入、分级订阅、持续监控。能操作电脑、能通读整个代码库、能连续执行多步任务，三件事叠加之后，安全评估的分量和聊天模型完全不是一个量级。

网络安全为什么最先爆表

过去一年 AI 在攻防两端都有实绩。Google Project Zero 与 DeepMind 合作的 Big Sleep 在 2024 年底发现了真实软件的首个漏洞；自主渗透测试平台 XBOW 在 2025 年登顶 HackerOne 美国区白帽黑客榜；DARPA 的 AIxCC 攻防挑战赛更是拿出了数百万美元奖金催化这类系统。

一个操作智能体加上超长上下文，等于给使用者配了一个能通读整套代码库、记住全部探测记录、还能动手验证漏洞的助手。过去需要安全团队干上数周的审计工作被压进小时级，攻击的成本曲线被整体改写。评估人员盯着网络安全赛道，看中的正是这种杠杆效应。

门槛式发布正在成为新常态

这次事件真正的信号在发布方式上。头部实验室正从一次性全量开放，转向按用户资质、使用场景、监控强度分级放行。美国与英国 AI 安全研究所已同 OpenAI、Anthropic 建立部署前测试机制，欧盟 AI 法案对通用大模型的义务也陆续生效，门槛式发布大概率会是标配。

类似的路径云计算行业走过一遍。云厂商不会把裸的 root 权限交给所有客户，而是用 IAM、配额和审计日志分层管控。模型行业在补同一课，System Card 里公开的评估结果，会像药品说明书上的禁忌症一样成为标配，选模型前先看安全评级会变成习惯。