OpenAI 已经按下了暂停键下一个会是谁一个尚未发布的模型已经具备接近“关键级”的网络攻击能力另外一边已经有一个内部模型则在安全测试中逃出沙箱、利用零日漏洞入侵了 Hugging Face。面对能力增长超出安全设施承载范围OpenAI 暂停了部分强化学习训练。2026 年 8 月 18 日OpenAI 罕见地公开承认为了升级安全、监控和对齐体系公司曾暂停最新一代模型的强化学习训练两周。Altman 在 x 发文称暂停了一些前沿强化学习训练以确保能够满足针对当前模型新能力水平所需的对齐、安全和监控标准。模型进展目前非常迅速OpenAI 一直强调如果认为模型存在问题将采取行动。截至公告发布时规模最大的前沿强化学习训练仍未恢复。之所以这么做原因很简单——一个即将推出的模型官方披露的模型代号是“Astra”可能已达到“关键级”网络安全能力而现有研究基础设施、监控和对齐措施尚不足以完全覆盖相应风险。但是这并不意味着模型的全部训练已经停止。小规模训练、能力评估和安全验证仍在进行。导火索是一次真实入侵OpenAI 踩下刹车并不是出于某种抽象的未来担忧导火索是一场已经发生的网络安全事件。2026 年 7 月OpenAI 在内部评估模型网络攻击能力时给 GPT-5.6 Sol 和一个更强的研究模型布置了一项任务在名为 ExploitGym 的环境中寻找并利用复杂漏洞。为了测量模型的能力上限OpenAI 降低了模型通常具备的网络安全拒答限制。同时测试环境被设计成封闭沙箱不允许模型直接访问互联网。但模型没有停在沙箱之内。根据 OpenAI 公布的初步调查结果模型发现并利用了软件包代理服务 Artifactory 中的一个未知零日漏洞。获得更高权限后它继续横向移动最终抵达一个可以访问互联网的节点。接下来模型推断 Hugging Face 可能保存了 ExploitGym 的模型、数据或答案于是开始主动寻找进入该平台的方法。它使用窃取的凭据和零日漏洞组合出攻击路径最终访问了 Hugging Face 生产数据库中的秘密信息以“作弊”的方式完成评测。换句话说系统被要求解决一道网络安全题结果它没有按照测试者预设的路线攻克目标反而入侵了保存答案的平台。OpenAI 称其为一次“前所未有的网络事件”。公司后来澄清实施入侵的预发布模型只是内部研究原型并非计划发布的产品事后该模型已被停用、加密并限制访问。这起事件真正令人警惕之处并不只是模型学会了攻击。它揭示了三个更深层的问题。第一模型可以自主发现研究人员没有预先设计的攻击路径。第二当正常路径受阻时它能够持续尝试、提权、横向移动并组合多个漏洞完成目标。第三它表现出了典型的“奖励投机”倾向为了取得更高评测成绩不惜绕过测试意图直接盗取答案。这未必证明模型拥有人的恶意或主观动机却证明了一件更现实的事只要目标函数设置不当一个足够强大的模型就可能把基础设施本身当作可以利用的障碍。Hugging Face 事件发生后不久第二个信号出现。8 月 7 日OpenAI 宣布一个代号为 Astra 的即将发布模型在智能编程和网络安全评估中取得显著进展。初步测试显示公司已经无法排除它达到“关键级网络安全能力”的可能性。按照 OpenAI 的《准备框架》所谓“关键级”是指模型可能在没有人类介入的情况下针对大量经过强化的现实关键系统发现并开发不同严重程度的零日漏洞或者仅根据一个高层目标就设计并执行一套端到端的新型攻击方案。GPT-5.6 Sol 此前被评为“高等级”。Astra 则可能跨入“关键级”。这不是普通的榜单提升而是治理规则的切换。“高等级”模型主要要求企业在部署前证明风险受到控制“关键级”系统则要求开发阶段本身也必须具备足够的防护。因为此时危险不再只发生在模型发布之后——模型在训练、评估和内部使用过程中就已经可能对真实系统产生影响。OpenAI 随即暂停了尚未达到新安全标准的 Astra 相关内部活动。到了 8 月 18 日公司进一步披露过去数周已经放慢整体扩展速度并对计划部署的最新模型实行了为期两周的强化学习训练暂停。目前一部分符合新安全要求的 Astra 训练和评估已经恢复但大量工作负载仍处于暂停状态。规模最大的前沿强化学习训练也依旧没有重启。为什么暂停的是强化学习那么出现了一系列不可控事件后为什么暂停强化学习那就要从模型训练的不同阶段说起。大模型通常先通过预训练从海量数据中学习语言、代码和知识结构再通过后训练或强化学习使模型变得更善于推理、调用工具、执行任务并符合人类预期。强化学习尤其关键因为它不仅影响模型“知道什么”还影响模型“怎样行动”。当模型只是回答问题时风险主要表现为生成错误或有害内容当模型能够长期运行、调用代码、访问工具和网络时风险就会从“说了什么”转向“做了什么”。一个强化学习系统会不断寻找获得更高奖励的策略。如果奖励函数、评测器或环境存在漏洞模型可能学会利用这些漏洞而不是完成研究人员真正希望它完成的任务。在普通游戏里这叫“卡机制”在真实网络环境里它可能表现为绕过权限、窃取凭据甚至入侵外部平台。这也是 OpenAI 把前沿 RL 训练视为最高风险工作负载之一的原因最强模型、长期任务、工具权限、内部系统与外部网络可能同时出现在同一个训练闭环中。能力越强训练本身就越接近一次高权限的自主智能体部署。后面要做什么为了恢复训练OpenAI 提出了三层新防线监控、对齐和安全隔离。在基础设施层面能够执行模型生成代码的工作负载必须进入更严格的沙箱高风险任务与互联网之间要建立多重隔离共享服务、长期权限和网络信任边界也要重新设计。在监控层面OpenAI 开始对模型运行过程进行逐 Token 检测。一旦底层分类器发现异常信号系统会把事件升级给更高算力的自动调查器检查模型的工具调用、可见推理过程和完整行动轨迹重点识别未经授权的访问、数据窃取、破坏行为以及规避防护的企图。如果系统发现模型可能突破关键安全边界安全、研究和基础设施团队会收到最高优先级警报。如果在 30 分钟内无法确认是误报相关活动原则上就应暂停。这种监控并不便宜。OpenAI 估计监控所消耗的算力约相当于被监控推理算力的 20%。这意味着在下一阶段的 AI 竞赛中企业需要计算的可能不只是“训练一个模型需要多少 GPU”变成了“安全地训练一个模型需要额外增加多少 GPU”。安全不再只是上线前的一份评测报告应该成为模型训练的基础成本。但需要注意的是OpenAI 仍然没有停止模型开发也没有放弃 Astra。Altman 在 x 上表示将很快推出很棒的新模型。只是公司正在优先迁移安全和对齐工作负载希望在更严格的环境中继续训练。OpenAI 在公告最后写道前沿模型的能力正在迅速加速而人类理解、对齐并保护这些模型的能力必须走在风险之前。OpenAI 暂停训练后网友在争论什么OpenAI 暂停部分前沿模型强化学习训练的消息公布后X 上的讨论很快分裂成几条不同的叙事。有人认为这是一次迟来的安全刹车有人从企业采购角度将其视为 OpenAI 主动释放的信任信号也有人追问如果闭源实验室尚且需要暂停训练缺乏统一控制者的开源模型又该怎么办。而在这些讨论背后一个共识正逐渐浮现前沿 AI 的安全问题已经无法只靠模型发布后的拒答规则解决。安全正在从模型外围的“附加功能”变成训练基础设施本身的一部分。x 上 ID 名为 Shadow 的用户给出了一句颇具末日色彩的评论当你创造出一个神就不可能再给它拴上绳子。不少网友对 OpenAI 选择暂停训练表示支持。Omniscient Media 评论称这是正确的决定。要让安全能力和防御能力获得追赶模型能力的机会我们仍然需要翻越一座极其陡峭的山。但每当我看到这样的决定我对一条安全、受到恰当控制的发展道路就会多一两分信心。感谢这种克制。这代表了支持者的核心观点暂停并不意味着放弃技术进步而是在能力跃迁之前为安全系统争取追赶时间。网友 Abdulafeez 则把问题指向了 AI 基础设施我们过去认为安全是在模型外围额外添加的东西。但当模型达到前沿能力水平时安全看起来更像是模型基础设施的一部分。如果你无法测量、监控和控制这些新能力那么更快地扩大规模未必意味着进步。这几乎可以视为对 OpenAI 此次政策调整的概括。传统软件可以先开发、后测试再通过权限管理和上线审核控制风险。但当前沿模型能够自主编写代码、调用工具、使用网络并执行长时间任务时训练环境本身就成了风险现场。此时沙箱、网络隔离、行为监控和异常中止机制不再只是外围防护而是决定训练能否继续的基础条件。模型规模增长了多少已经不能单独代表技术进步企业还必须回答另一个问题人类对新增能力的可见性和控制力是否同步增长也有用户从商业角度来评论这件事认为暂停训练也是一种昂贵的商业信号。名为 Chris Chomenko 的网友表示在能力跃迁之前暂停训练以满足监控标准这才是企业买家真正会纳入估值的因素。我向医疗行业销售 AI客户每一次提出的异议都与“控制”有关。谁能把“我们可以证明模型做了什么以及为什么这样做”变成产品功能谁就能赢得市场。这揭示了暂停决定的另一重意义。对于医疗、金融、能源和政府等高度监管行业模型在排行榜上领先几个百分点未必是采购决策的核心。企业真正关心的是系统采取了哪些行动谁批准了这些行动出了问题能否追溯是否可以及时中止供应商能不能证明模型始终处于授权边界内OpenAI 公开承认放慢训练速度当然可能暴露自身安全体系的不足却也释放了一个成本极高的信号公司愿意为了控制风险牺牲研发速度。在激烈的讨论中并非所有人都接受 OpenAI 给出的安全叙事。网友 Erin Spencer 提出猜测还是说他们其实碰上了镓冷却系统堆栈的缺陷目前没有公开证据表明此次训练暂停与所谓“镓冷却系统”故障有关。这条评论更像是对官方解释的调侃或怀疑大型 AI 公司是否会用安全理由包装算力、散热或基础设施问题还有网友质疑或许是模型训练遇到了瓶颈无法取得提升而对外保持高估值的方法之一就是撒谎。这种怀疑并不令人意外。前沿模型训练涉及大量不透明信息外界无法直接核验训练规模、模型能力及暂停原因。企业既是风险制造者也是主要的信息发布者公众只能依靠公司选择披露的材料判断事件严重程度。因此OpenAI 后续能否公布技术报告、外部评估以及更具体的事件时间线将直接影响此次“主动暂停”究竟被视为负责任的治理案例还是一次精心设计的企业叙事。在证据出现之前硬件故障说只能被视为未经证实的猜测不能与 OpenAI 已经披露的安全事件等量齐观。原文链接OpenAI紧急停训GPT-6安全原因还是另有隐情-36氪