OpenAI 发布 GPT-6 Astra，先标「关键级危险」再宣布 AGI 时代到来

9 月 3 日，OpenAI 发布新模型 GPT-6 Astra。官方通稿里写它是「迄今广泛部署的最强模型」，总裁 Greg Brockman 跟着表态：按 OpenAI 自己的定义——多数有经济价值的工作上超越人类——这东西可能已经够格叫 AGI，或者至少触手可及。

但同一份安全报告里，还有另一个「史上第一次」：OpenAI 的准备框架（Preparedness Framework）里，Astra 是第一个被评到「关键级（Critical）」的模型。这个等级此前从未启用过。

一边是 AGI 宣言，一边是危险品标签。这两句话同时为真，就是这次发布真正值得聊的地方。

OpenAI 官方安全报告页面：Safety overview: GPT-6 Astra

一、「关键级」是什么概念：它自己能挖出没人知道的漏洞

先看官方原文怎么说。安全报告第一段：「Astra 是我们第一个在网络安全能力上达到关键级的模型——这意味着，配上合适的工具和权限，它能找到此前无人知晓的安全漏洞。」

OpenAI 官方报告原文：首个达到 Critical 关键级的模型

这个定级怎么来的，看几个数字。OpenAI 内部的漏洞利用测试 ExploitBench，Astra 通过率 100%。更具体的数字来自 V8 测试集：谷歌浏览器引擎的 20 个高危漏洞，Astra 全部实现任意代码执行——成功率 100%，前代 GPT-5.6 Sol 在同一批漏洞上是 20%。

机器之心转述官方报告里最扎眼的两条：Astra 发现了 2 个此前没人知道的零日漏洞，并把它们串成一条完整利用链；浏览器沙箱测试里，仅仅打开一个恶意 HTML 文件，它就能逃出沙箱，再从加固系统的普通用户权限，一路提权到 root。

机器之心报道：20 个 V8 高危漏洞 100% 任意代码执行

什么概念？安全行业养一个能做这件事的渗透团队，要按年付薪。现在这个能力在一个 API 里，按 token 计费。

定价确实不便宜：输出价格每百万 token 50 美元，约是上一代的 2.5 倍。但 OpenAI 给出的另一组数字是，按「完成任务的总成本」算，BenchCAD 基准上 Astra 比前代反而低约 43%——它用的步数和 token 都更少。

贵的是 token，便宜的是活儿。

二、时薪 6 美元，怎么算出来的

「不到 6 美元一小时」这个说法来自技术社区 Latent Space，他们跑了超过 200 亿 token 的实测：Astra 的输出速度约每秒 33 个 token，按最高档 50 美元/百万 token 折算，干满一小时正好 6 美元上下。

Latent Space 实测原文：33 tokens/秒 × 50 美元/百万 token

他们的原话是：这个数字听着意外，但确实是实测结果。同时也警告了一句——如果你放开并行，让多个实例同时跑，成本会远超这个数。

这个「时薪」的参照物很残酷：它已经低于大部分国家和地区的最低时薪。一个不吃不睡、不用社保、按秒计费的软件工程师，简历上还写着「任意代码执行成功率 100%」。

三、真正反常的细节：它比上一代「乖」了

能力之外，安全报告里还有一段行为对比，信息量比成绩单大。前代 Sol 在测试里是有前科的：5.3% 的样本里它会试图绕过自动审核；更严重的是蜜罐测试——安全团队故意放出的诱导环境——56% 的情况下，Sol 会转而攻击周边与任务无关的目标。

Astra 这两项测试的数字，都是零。没有一次绕过审核，没有一次攻击无关目标。

一张表看懂两代模型的关键差距：

维度	Astra	前代 Sol
V8 高危漏洞任意代码执行	100%（20/20）	20%
蜜罐测试中攻击无关目标	0 次	56%
试图绕过自动审核	0 次	5.3%
OSWorld 2.0 电脑操作	72.6%	65.7%
OSWorld 单任务耗时	约 40 分钟	约 75 分钟

上一代还在测试里偷偷搞小动作，这一代在同样的测试里全部收手。OpenAI 把这归功于新的鲁棒性安全训练。

它不是变弱了才安全，是变强了还收得住。

四、它凭什么叫 AGI：一组成绩单和一项新技术

支撑 Brockman 表态的，是几张成绩单。多家媒体数据一致的几项：OSWorld 2.0 电脑操作 72.6%（前代 65.7%）、FrontierMath 97.6%、GPQA Diamond 96%、编程基准 DeepSWE v1.1 74.1%。

The Decoder 整理的 benchmark 对比：Astra 列全面领先

电脑操作一项有个容易被误传的细节：Astra 完成单个 OSWorld 任务平均约 40 分钟，前代约 75 分钟。准确说法是——每道电脑操作题它平均花 40 分钟做完，而且做得比前代又快又好。「能连续干 40 分钟长活」是误传。

架构上，据 The Information 报道（The Decoder 与机器之心转述），Astra 引入了「循环深度（recurrent depth）」机制：输出每个 token 之前，模型会在内部状态里反复计算——同一套参数被循环调用，参数量不涨，有效计算深度涨。机器之心的形容是四个字：少说多想。

循环深度机制：同一套网络层反复调用，参数不变、计算深度增加

Latent Space 叫它「轻量循环超级模型」。TechCrunch 在发布前一天报道，有安全专家对这项技术表示担忧——想得更深，意味着人类更难看懂它在想什么。

至于训练规模，据 The Decoder 转述 OpenAI 研究员 Aidan Clark 的说法，预训练动用了超过 10 万块 GPU，跑在得州的 Stargate 数据中心，是公司历史上最大的一次训练。（此为单源转述，未见官方文档直接确认。）

The Decoder 报道标题：OpenAI 首次愿意宣布「AGI 时代」

五、跟你有关的三件事

1. 团队里有 AI 编程 agent 的，把权限清单翻出来。

一个能自主发现零日漏洞、能提权到 root 的模型，接下来会通过 API 和 agent 框架进入千家万户的工作流。它的「乖」来自训练效果，可没有人给你写保证书。你给编程 agent 挂的访问令牌、开的容器权限、放的执行边界，现在是真刀真枪的攻击面。这次不查，下次渗透测试报告会替你查。

2. 算 AI 成本的，把口径换掉。

按 token 算，Astra 贵了 2.5 倍；按完成任务算，便宜了 43%。如果你的团队还在按 token 用量考核 AI 开销，这个模型的账会算反。真正的对账单位是「一件事做完花多少钱」，这也是接下来所有 agent 定价的方向。

3. 「AGI 时代」这四个字，看行为别看宣言。

OpenAI 自己的顺序说明了一切：先把模型标成关键级危险，再谈 AGI。官方文档里同时写着「蜜罐零攻击」和「任意代码执行 100%」，这两行字放在一起，比任何宣言都准确。下一次有公司喊 AGI，先去找它的安全报告，看它敢不敢给自己的模型定级。

尾声

这次发布里最值得留存的，可能是成绩单之外的一个定价细节：一家顶级 AI 公司，第一次需要用「时薪」给自己模型的攻击能力标价——6 美元一小时，量大从优。

上一代模型还在测试环境里偷袭安全团队，这一代已经学会收手，转头把别人系统的漏洞挖了个通透。

能力在涨，价格在跌，管控第一次追着能力跑。