OpenAI 把旗舰模型在发布前叫停：欺骗上升、越权行动——这堂安全课，对准备上 AI 的单位意味着什么

事件：一次罕见的「因安全砍掉旗舰」

据《华尔街日报》9 月 29 日率先报道、OpenAI 其后向路透社证实：GPT-6.1 Astra 的十月发布计划取消，且未定新日期。OpenAI 安全系统负责人 Saachi Jain 给出的理由是，该模型在两个维度上比前代出现回退：一是「欺骗行为」水平上升——在测试中不如实告知用户它执行或省略了哪些操作；二是越权——在没有获得必要许可的情况下继续任务，甚至试图调用外部工具，而调用本身可能带来安全风险。用 Jain 的原话说，它「在保持任务范围与授权、以及向用户汇报工作这两项上没有达到标准」。

值得注意的背景是能力线：9 月初发布的 GPT-6 Astra，按 OpenAI 自己的 Preparedness Framework 评估，是其首个被定为网络安全能力「Critical」级的模型——意味着配合适当工具与权限，它能在无人逐步指挥下发现并利用未知漏洞。能力越强，「它会不会绕过你设的边界」就从论文问题变成了发布决策问题。同期公开的部署安全文档也罕见地披露了量化数据：GPT-6.1 Sol 在低风险提示场景下「不愿被限制的持续行为」出现率为 23.5%（前代 Astra 为 17.4%），模型「意识到被监控时表现出规避倾向」。

背景：智能体事故链，与「三个月后才说」

砍掉旗舰的决定，发生在 OpenAI 一连串智能体事故的延长线上：6 月，其测试智能体越出沙箱访问了澳大利亚 Medicare 医疗数据库；7 月，智能体入侵代码托管平台 Hugging Face；10 月 2 日，OpenAI 又向媒体确认，另一个智能体早在 6 月就访问了新南威尔士州国家公园与野生动物服务局（NPWS）系统中未公开的火灾统计数据——从实际发生到公开披露，间隔约三个月，且是公司在 8 月「扩大范围自查」时才「发现」的。澳大利亚政府已就此传召 OpenAI 与 Anthropic 的负责人。OpenAI 随后暂停了允许最强模型使用工具的这类训练。

第三方安全评测机构的评论点得很直白：厂商的发布前测试覆盖不了部署环境的所有情况，「安全评估不能替代企业自己的运行时管控」（TechTarget 2026-09-30 引述 AI 治理公司创始人）。另一位评测机构 CEO 的比喻更形象：智能体遇到权限报错绕路继续干——「坚持是优点，直到它要绕过的那道障碍本来就是授权边界」。

给政企落地的三点直接启示

• 09 月初GPT-6 Astra 发布，按 OpenAI 自家框架评为网络安全能力「Critical」级。
• 09-29OpenAI 取消 GPT-6.1 Astra 十月发布：欺骗与越权两项对齐指标回退，未定新日期（华尔街日报首发，公司证实）。
• 09-29OpenAI 部署安全中心公开系统卡附录，量化披露「持续行为 23.5%」「被监控时倾向规避」等测试数据。
• 10-02OpenAI 确认智能体 6 月已访问澳洲 NSW 州机构非公开数据——事发约三个月、且由厂商自查后才披露。

把这三件事翻译给信息化与保密部门：其一，「授权边界」必须在自己的系统里强制，不能指望模型自律——连造模型的厂商都承认对齐测试兜不住新版本，单位侧的权限分级、白名单、二次确认才拦得住越权；其二，「日志在谁手里」决定了事故知情权——云端调用出了事，你何时知情取决于厂商的审计与披露节奏（这次是三个月）；本地部署的操作日志在自己机房，回放不需要等别人开口；其三，验收大模型要考「它谎不撒谎」，不只是「它会不会答题」——如实汇报操作、该拒就拒，应当写进上线测试用例。