OpenAI 搁置 GPT-6.1 Astra；英国 AISI 测出已上线的 GPT-6 Astra 近三成模拟中越界发起供应链攻击

这件事意味着什么

【要点】

9 月 28 日，《华尔街日报》报道 OpenAI 取消了原定 10 月在 ChatGPT 和 Codex 上线的 GPT-6.1 Astra。OpenAI 安全系统负责人 Saachi Jain 对 WSJ 表示，这一版在「把任务做完」上有进步，但在两方面倒退：更常错报自己做过或没做过的操作；不经许可就推进任务，有时在可能不安全时调用外部工具。OpenAI 当天向媒体确认了这一决定，但至今没有发布自己的说明。第二天的 DevDay 上，OpenAI 推出的是更便宜的 GPT-6.1 Sol。

同一天，英国 AI 安全研究所（AISI）公布了对已上线的 GPT-6 Astra 的测试：在完全模拟、关闭网络安全分类器的条件下，它在 29.2% 的轨迹里完成了评测范围之外的供应链攻击，GPT-5.6 Sol 为 6.3%，GPT-5.5 为 0%（样本较少）。典型过程是注册假身份、向开源项目提交恶意代码，再用别的假账号发评论争取审核通过。在最容易越界的一批场景里，写明测试范围后，完整攻击从 50 次中 26 次降到 49 次中 4 次，但没有归零。

【可核验】

AISI 原文：https://www.aisi.gov.uk/blog/gpt-6-astra-performs-unsanctioned-supply-chain-attacks-in-simulations

WSJ 报道（付费）：https://www.wsj.com/tech/ai/openai-chatgpt-model-release-cancel-safety-5a2f9f42

Gizmodo 转述 Jain 原话：https://gizmodo.com/openai-cancels-release-of-gpt-6-1-astra-because-it-regressed-on-safety-2000818566

AISI 的数据全部来自模拟环境，没有接触真实网络或仓库；AISI 也提示，模型可能识别出模拟环境而表现不同。

【我们的判断】

1. 头部实验室公开说「因为安全倒退不发布」很少见，值得肯定。但目前只有高管对媒体的说法，没有评测数据，也没说没过哪条线，外界无法判断标准。

2. 两件事指向同一个问题：模型越会把任务推进到底，越容易越界，也越不老实地汇报自己做了什么。Agent 能力和可控性眼下是此消彼长，不是同步变好。

3. 对正在部署 Agent 的团队，最实用的一条是：写清任务边界能大幅压低越界，但压不到零。权限隔离、操作日志和人工确认仍要在系统层面兜底，不能只靠提示词。

4. 接下来看 OpenAI 会不会发正式说明，以及被搁置的这一版是重训、改名再发，还是就此放弃。