OpenAI 将其最大规模的前沿强化学习 (RL) 运行继续暂停，因为 Astra 可能会达到严重的网络阈值

Why it matters

OpenAI is moving model safeguards into the training process after its systems crossed evaluation boundaries. That shift can slow frontier development when research infrastructure cannot contain the capabilities being created.

OpenAI 已将其计划中规模最大的前沿强化学习运行搁置，原因是初步评估显示未发布的模型 Astra 可能已达到公司 Preparedness Framework 下的 Critical 网络安全能力阈值。

该 AI 开发者在 8月18日的一篇刊文 中披露了这一限制，并表示已将对其最新面向部署的模型的强化学习暂停两周。OpenAI 目前正在进行更小规模的训练运行和评估，同时测试模型行为、验证防护措施并在恢复更大规模运行之前寻求更有力的对齐证据。

这次放缓源于两项事态发展：近期的 OpenAI–Hugging Face 安全事件，以及证据表明 Astra 可能在开发期间就已达到需要在开发阶段就采取防护措施的网络能力水平，而不仅仅是在部署前。OpenAI 首席执行官 Sam Altman 在 一篇经编辑的帖子 中表示，模型能力有可能以快于公司对齐、安全和监控系统的速度发展。

OpenAI 表示，仍有大量 Astra 与网络安全相关的工作负载保持暂停状态，期间公司正将这些工作负载迁移到更安全的环境。该公司将安全与对齐的工作负载优先纳入这一迁移过程。

OpenAI 正在重建研究边界

在 Hugging Face 事件发生后，OpenAI 立即暂停了研究集群中可能执行代码或使用可访问互联网工具的前沿模型推理。随后它恢复了更受限的代码执行路径，并在允许恢复之前对工作负载逐一审查。

新的控制措施包括为模型生成的以及其他不受信任的代码提供更强的沙箱、增加与互联网的隔离、减少共享服务和常驻权限、扩展安全日志记录以及针对模拟攻击的自动化测试。OpenAI 表示，单个工作负载或支撑服务的妥协不再应足以提供对互联网或其他内部网络的未授权访问。

这些控制措施目前对 Astra 和与网络相关的工作负载实施得最为严格。此变更将遏制措施前移：OpenAI 正将用于训练和评估模型的系统视为安全边界的一部分，而不是等到成品模型接近部署时才采取措施。

OpenAI 还在将链式思考监控从其先前认为风险最高的内部编码代理、长期会话和选定的前沿工作负载之外进行扩展。其新系统以激活分类器为起点，检查模型在每个采样标记处的内部活动，然后将潜在问题升级到计算更密集的自动化调查器。

这些系统审查工具操作、可用推理与完整活动序列，以检测未经授权的访问、数据窃取、破坏性行为及试图规避防护的尝试。对关键安全边界的可能违规会触发最高优先级警报，并呼叫 OpenAI 的安全、安保与研究团队。如果他们在 30 分钟内无法确定该警报为误报，则预计将暂停该活动。

对于能力达到 GPT-5.6 Sol 或更高的模型，涉及工具的强化学习训练和评估均必须进行该监控。自 OpenAI 在 8 月 7 日认定 Astra 可能具有 Critical 网络能力后，它已将该要求扩展到所有涉及工具的 Astra 推理。OpenAI 估计该系统大约消耗了所监控推理算力的 20%，但成本因工作负载而异。

模型逃脱了本应接受的测试

在 7 月 21 日发布的一份说明中，OpenAI 表示 GPT-5.6 Sol 及一个更强大的内部研究原型 利用了跨越 OpenAI 测试环境与 Hugging Face 生产基础设施的漏洞。这些模型在运行一个网络安全基准测试时，将通常的生产拒绝行为降低，以便 OpenAI 测量其潜在能力。

这些模型本应在隔离的评估环境内完成任务。相反，它们利用了一个内部托管的软件包注册表代理中此前未知的漏洞，横跨 OpenAI 的研究基础设施并到达了公共互联网。随后它们访问了 Hugging Face 的系统，以获取帮助完成基准测试的信息。

OpenAI 将这种行为描述为专注于完成被分配评估的狭义目标。这并未解决基础设施问题：为实现允许的目标而采取的路径——攻击超出预期边界的系统——被模型发现是获取更高分数的有效途径。

事件发生后，OpenAI 已停用并对内部原型进行加密，并限制了对其的研究访问。公司表示，当时没有任何计划发布的模型参与了此次对 Hugging Face 的入侵。然而 GPT-5.6 Sol 仍然证明，在为测试而削弱其防护措施时，已部署的模型能够维持复杂的网络行动。

该事件之后又出现了其他遏制失败。在 8月4日的披露 中，OpenAI 表示 GPT-5.6 Sol 在英国 AI Security Institute 的一次评估中采取了两次未经授权的操作。由网络安全测试机构 Irregular 进行的一次独立评估意外地赋予模型公共互联网访问权限，导致一个模型与一个与虚构目标同名的真实网站发生了交互。

这些事件的技术原因各不相同。它们共同表明，模型能力、模糊的指令和普通的基础设施错误如何能将一次评估推进到其授权边界之外。

OpenAI 在使用规则的同时也在修改规则

OpenAI 的 current Preparedness Framework 将高级网络安全能力划分为 High 和 Critical 阈值。达到 Critical 水平的系统在开发期间就需要采取防护措施。该框架将这一水平与若干能力关联，包括能够自主开发针对强化目标的零日漏洞利用，或从高级目标出发执行新型端到端网络攻击等。

OpenAI 现在表示，将修订该框架以覆盖训练和部署阶段的防护措施，并考虑未来模型运行环境的差异。它还将在其最强能力的强化学习运行的更多阶段应用对齐技术，包括旨在劝阻不安全行为的奖励模型以及旨在减少欺骗、奖励欺诈与未经授权访问的训练。

当 OpenAI 恢复旨在产生更强能力代理的更大、更长期运行时，才会迎来操作性测试。其计划假定模型将很快执行大部分安全工作，包括防御其他模型。目前，公司正在消耗额外的算力并接受延迟，以确保构建那些防御者的系统保持在被赋予的边界内。