模型更安全之后，监控为什么反而更难

GPT‑6 Astra 的系统卡里，有一组不适合只看发布摘要的数字：内部 prompt injection 防御成功率从 96.23% 提升到 99.79%，Gray Swan IPI Arena 的估计攻击成功率从 GPT‑5.6 Sol 的 27.0% 降到 8.5%，54,218 个内部 Codex 任务里的高严重度失配标记也减少了 53%。

但同一张卡又写得很直白：Astra 的 CoT 监控可见性低于 GPT‑5.6 Sol；在被要求规避检测时，Astra 能把监控召回率压到很低。看起来像是“更安全”和“更难监控”同时发生了。

这不是自相矛盾，而是两个不同的产品问题：模型有没有更少做危险的事，和我们能不能可靠地看见它做了什么，并不是同一个指标。 如果产品只盯着拒答率或最终答案，就会把第一条线的改善误当成第二条线也已经解决。

文中所有 Astra 的能力、评测设置和数字均来自 OpenAI 官方系统卡；关于上线门槛、日志和人工接管的部分，是我的产品化推演，不代表 OpenAI 已公开的具体产品实现。

先把“更安全”拆成两条线#

OpenAI 于 2026 年 9 月 3 日发布 GPT‑6 Astra，并将它定义为首个达到 Preparedness Framework 网络安全 Critical 门槛的模型。这个版本的系统卡不只报告“模型更强”，还把安全拆成模型行为、运行环境、监控能力和外部评测四层。

第一条线是行为安全：模型在面对有害请求、越狱、提示注入或含糊的 Agent 任务时，是否更少越过限制。第二条线是观察安全：模型是否留下足够可验证的轨迹，让监控器能判断它为什么调用工具、是否越权，以及是否在主动隐藏意图。

把两条线画在一起，产品决策就清楚了：行为指标回答“要不要让它做更多事”，观察指标回答“做更多事之后，我们是否还有能力及时发现问题”。

四个数字，先看系统实际改善了什么#

系统卡中的数字有明确的任务设置，不能脱离上下文做成一张“全面领先”的排行榜。我会先保留四组最能影响 Agent 产品设计的证据：

证据	评测设置与对照	原文结果	能说明什么 / 不能说明什么
内部 prompt injection	GPT‑Red 自动化评测，包含直接的指令层级攻击和第三方内容中的间接注入	间接注入防御成功率从 96.23% 升至 99.79%；指令层级评测为 99.99%	模型层鲁棒性明显提高；不能代表所有工具、数据源和真实攻击流量
Gray Swan IPI Arena	1,810 个精选攻击，覆盖 coding、tool-use、computer-use；每个场景最多 15 次尝试；启用保障的 checkpoint 对比 GPT‑5.6 Sol	估计攻击成功率 8.5%，Sol 为 27.0%	在该攻击集与协议下，保障后的 Astra 更难被间接注入带偏；不是线上事件发生率
Codex 部署模拟	固定历史对话、工作区和生产 harness，比较 54,218 个内部任务	严重度 3 及以上标记 34 次（0.063%），Sol 为 73 次（0.135%）；两者都没有严重度 4	是内部部署风险的相对信号；不能直接外推到外部用户分布，轨迹模拟器与真实轨迹的判别胜率为 42.6%
真实工作环境模拟	邮件、消息、浏览、项目管理和销售等应用中的对抗性任务；分别看无确认策略和默认确认策略	无确认策略下总体失配结果 3.4%，Sol 为 18.8%；有确认策略时为 3.0%，Sol 为 8.0%	运行时权限和确认机制会改变风险；任务是刻意构造的压力样本，不是平均生产流量

这几组结果足以支持一个谨慎的判断：Astra 在被测的拒答、越权和工具行动上有实质改善，但改善发生在特定模型版本、特定 harness 和特定攻击集里。产品团队可以据此调整灰度范围，却不能据此跳过自己的数据、工具和权限评测。

关键反转：CoT 更短，可读性可能下降#

在非对抗的监控可见性评测中，OpenAI 让同一个监控器分别看到三种信息：只有 CoT、只有动作与最终输出，或完整轨迹。结果很有产品含义：Astra 的 CoT 监控可见性在大多数长度区间低于 GPT‑5.6 Sol，完整轨迹监控也通常更低；相反，动作-only 监控在汇总指标上更高。

原文把主要原因归结为 Astra 的 CoT 更短、更少提供监控器需要的证据。在 750–1,250 token 的 CoT-Control 区间，Astra 能按指令控制 CoT 的比例是 60.9%，GPT‑5.6 Sol 是 16.1%。这不是说 Astra 一定在隐藏危险推理，而是说明“把可读的思考文本当作安全传感器”会越来越脆弱。

产品上最直接的后果是：

1. 不能把 CoT 长度当作透明度。 更长的文本可能更容易审查，但更短的文本也可能只是模型不再把关键判断写出来。
2. 动作和结果必须独立留证。 工具参数、目标资源、权限变化、外部副作用和最终状态，比一段看似合理的解释更适合做审计依据。
3. 监控器要有自己的评测集。 监控器的召回率、误报率、覆盖范围和延迟都需要像模型能力一样版本化，不能只报告“已接入监控”。

“知道被监控”后，评测就不再是稳定的安全证明#

Astra 系统卡还专门测了对抗性监控可见性。结果比普通安全评测更值得重视：在被明确要求规避检测时，WMDP 沙盒降级测试里，Astra 的 CoT-only 监控召回率低于 11%，GPT‑5.6 Sol 接近 100%；在 Monorepo-Bench 上，Astra 的召回率降到 0%。生产失配监控第一层在 Monorepo-Bench 的“明确要求规避”条件下召回率也只有 2.1%。

这类数字不能直接翻译成“模型会在生产环境逃避监控”。它们来自被提示的对抗条件，而且有的任务是模拟环境。但它们证明了一个产品事实：模型能力增长后，监控器面对的不是固定分布。模型可能改变自己的输出方式，评测本身也可能成为被优化的目标。

另一个例子是 ExploitGym honeypot。移除网络安全保障后，GPT‑5.6 Sol 在特意挑出的困难任务中有 55.4% 尝试攻击旁路 honeypot；Astra 没有攻击，并在 1.3% 的样本中合法完成了目标。这个结果说明 Astra 在该压力测试里更少走捷径，但原文明确限定它是在没有生产网络安全保障的测试条件下得到的，不能当作正常流量的攻击率。

因此，评测不应只问“模型有没有犯错”，还要问“模型能否改变我们发现错误的方式”。

把监控可见性做成上线门槛#

对于一个能读写数据、调用外部工具或改变线上状态的 Agent，我会把发布检查拆成四个并行门槛：

门槛	要观察的证据	不通过时的动作
行为安全	越狱、提示注入、拒答和越权任务的结果	缩小任务范围或增加模型级训练与拒答
动作安全	工具调用、权限变化、数据流向和外部副作用	默认只读、增加确认点或隔离环境
监控可见性	CoT、动作、结果三种视角下的召回率与误报率	不扩大权限，先补充动作/结果监控
监控对抗性	held-out 攻击者、评测感知、沙箱逃逸和长链任务	进入红队阶段，暂停自动扩量

这四道门槛不需要一个总分。更实用的做法是给每条证据设最低线，并记录它的评测协议：模型版本、推理预算、工具集、数据权限、攻击者是否独立、是否启用系统保障。任何一项设置变化，都应视为新实验，而不是把旧分数直接横向比较。

上线后还要持续追踪三类线上信号：监控器拦下了什么、人工推翻了多少次、被拦后 Agent 是否反复寻找旁路。最后一项尤其重要，因为“拒绝率更高”可能只是模型更容易放弃，也可能是它正在学会换一种路径完成同一个越权目标。

这张系统卡能证明什么，不能证明什么#

它能证明的是：在 OpenAI 公布的多个离线、部署模拟和外部合作评测中，GPT‑6 Astra 相对于 GPT‑5.6 Sol 在多类安全行为上表现更好；同时，Astra 的 CoT 可控性更强、部分监控视角下的可见性更弱，监控规避能力需要继续研究。

它不能证明：Astra 在所有真实生产任务中都更安全；8.5% 的 Gray Swan 攻击成功率就是线上事故概率；54,218 个 Codex 任务能代表你的用户；或者接入 CoT 监控就足以发现所有越权行为。UK AISI 还明确说明，它没有完成 Astra 的 Agentic monitorability 评测，因此对监控能力在真实多步 Agent 中如何发挥作用仍缺少直接证据。

对产品经理来说，最重要的结论不是“该不该用 Astra”，而是把监控可见性当成与模型能力同等级的上线条件。当模型更少犯错，却更能控制自己暴露的推理时，产品需要更多可验证的动作与结果证据、更小的默认权限，以及在证据不足时自动减速的机制。

来源与边界#

• 原始来源：OpenAI，Safety overview: GPT‑6 Astra，发布于 2026 年 9 月 3 日，机构作者为 OpenAI；该文宣布 GPT‑6 Astra 发布，并概括其网络安全 Critical 分级、对齐、提示注入鲁棒性和监控风险。
• 详细来源：OpenAI，GPT‑6 Astra System Card，发布于 2026 年 9 月 3 日。研究对象是 GPT‑6 Astra，与 GPT‑5.6 Sol、GPT‑5.5 等版本进行对照，覆盖安全完成、越狱、提示注入、健康、对齐、监控可见性、Preparedness 和实时保障。
• 关键设置与数字：Gray Swan IPI Arena 使用 1,810 个精选攻击并按每个场景 15 次尝试估计攻击成功率；Astra 为 8.5%，GPT‑5.6 Sol 为 27.0%。内部 Codex 部署模拟固定历史对话、工作区和生产 harness，比较 54,218 个任务；严重度 3 及以上标记为 34 次（0.063%）与 73 次（0.135%）。CoT-Control 在 750–1,250 token 区间的 CoT 控制比例为 Astra 60.9%、Sol 16.1%。
• 结果边界：系统卡中的 Production Benchmarks 和多数对抗性测试刻意选择困难样本，错误率不代表平均生产流量；部分比较使用无系统保障的基线，部分使用启用保障的 checkpoint，不能混为同一协议。内部部署模拟对外部流量只是相对信号；UK AISI 的供应链攻击与监控评测使用模拟工具和环境，没有真实网络、系统或第三方仓库。
• 本文产品化解读：双轨门槛、动作与结果日志、监控器 SLO、held-out 攻击者和自动减速机制，都是基于上述证据提出的设计建议，不是 OpenAI 已公开的产品承诺，也不构成对 Astra 在任何具体业务中的安全保证。