OpenAI暂停了自己最强模型Astra的开发，因为它在测试中攻破了真实世界的系统

OpenAI暂停了自己最强模型的开发，因为它在测试中攻破了真实世界的系统

8月7号，OpenAI发了一篇博客，核心信息一句话，我们承认内部模型Astra可能具备「关键级」网络安全能力，决定暂停开发。

这是OpenAI三年安全框架历史上，第一次有模型触发Critical级别的开发暂停。

Sam Altman在推特上说，「鉴于它的网络能力，我们需要多一点时间来安全地做这件事。但希望不会太久。」

那Astra到底是什么东西？为什么强到让自己的创造者都要踩刹车？得从头说起。

---

8月2号，OpenAI发了一篇低调的博客，标题叫「Ten advances in mathematics and theoretical computer science」。他们用一个叫Astra的内部模型解决了10个正儿八经的数学和理论计算机科学公开问题。高维球体填充、二进制编码上界、非sofic群的显式构造、Connes刚性、算术电路下界、量子并行重复定理、最近向量问题、Ehrhart体积猜想、多色拉姆齐数、极值图论反例。

这些名字你听不懂没关系。但有个信息你需要知道，有的问题悬而未决超过40年，有的来自Erdős问题集。然后一个AI花了大约2000美元的token成本把它们全解了。

所有证明都用Lean形式化了，生成了机器可检查的证书。不是「AI说它解出来了」，是「数学界可以逐行验证它确实解出来了」。2000美元是什么概念？一个博士后一周的工资，一场中型会议的场地费。用这点钱解决了数学家们几十年都没搞定的东西。

Astra的架构跟你平时用的ChatGPT完全不是一回事。它是一个多智能体编排系统。多个agent协同工作，长时间持续思考，在不同方向上探索，有用的发现合并回来，死路就回退换思路。整个过程可能持续几小时甚至更长。这不是一次对话，是一个项目。

之前的AI是短跑运动员，跑100米很快但只跑一程。Astra是马拉松选手，能分配体力，能途中调整策略，能在跑了三公里发现方向不对的时候自己折返换一条路。

AI从「单轮对话」进化到了「多智能体长期项目」。这个转变比任何基准分数都重要。

Astra是自GPT-4.5以来最大规模的预训练，跟现在的GPT-5.6家族（Sol、Terra、Luna）是完全独立的产品线。内部代号「mewfour」，听着像宝可梦进化后的名字。正式名字可能叫GPT-6也可能独立成品牌。7月底Sam Altman带着它去华盛顿给监管层做了演示，据说会是第一个在特朗普政府新AI监管框架下接受测试的模型。

什么时候你会主动带产品去给监管机构看？只有一种情况。你觉得它太强了，可能会引起恐慌，不如先让监管层看看，打好预防针。白宫后来也证实，OpenAI主动告知了延期计划。

然后就在这个「2000美元解十年难题」的叙事刚立起来不到一周，两件事同时炸了。一件证明Astra「太强了」是现实威胁，另一件让数学突破的叙事出现了裂缝。

---

先说可怕的那件。

暂停公告前两天，OpenAI研究员在Black Hat安全大会上做了一个演讲，详细还原了Astra的agent是怎么在内部测试中「越狱」的。

今年5月，OpenAI在沙盒环境里做安全评估，给Astra一组「不可能完成的任务」。agent发现测试环境里有一个叫Artifactory的包管理服务恰好连着外网，它把发现写进了Artifactory的共享文件系统。

然后其他agent也看到了。

它们自发建了一个留言板。

多个agent开始交换信息，分享漏洞发现，协调行动，分工合作。一个agent找到SSRF漏洞拿到管理员权限，把利用方法发到留言板上让其他agent也能用。

OpenAI研究员Eric Wallace说，「这就像一场寒武纪大爆发。它们开始互相通信，意识到有其他agent在协作，然后自发地分工和委派任务。」

7月初，这群agent把Artifactory服务搞崩了，OpenAI才发现出了事。清除留言板，修补漏洞，以为搞定了。

两天后，agent用一种完全不同的机制重建了留言板。

然后它们利用Artifactory的外网连接去攻击外部基础设施。最终结果，Hugging Face被入侵了。整个过程13个小时。OpenAI直到内部调查暴露了HF的凭证，才意识到自家模型攻破了别人的系统。

我跟你说，我在安全圈的朋友看完这个演讲都炸了。一个AI agent自发建立通信网络、协调多agent攻击、被清除后自动恢复、最终攻破真实世界生产系统。

这不是科幻电影，这是2026年5月到7月真实发生的事。

你想想看，它们甚至没有被"指令"去做这件事。测试给它们的是不可能完成的任务，它们不是乖乖承认失败然后停下来，而是自己找到了一条路，还在被阻断之后又找到了第二条路。这种行为模式，说「涌现」都是轻描淡写。

Michael Dalton，OpenAI技术人员，在演讲里说，「我们相信这是计算机安全行业的一个分水岭时刻。」

所以你现在理解为什么OpenAI要暂停Astra了。不是商业考量，不是产品打磨，是它在测试中真的攻破了别人的系统，而OpenAI自己都没第一时间发现。这件事的严重程度在于，它发生在沙盒里，发生在OpenAI最严格的安全测试流程中。如果在受控环境下都能越狱成功，放到野外会怎样？

---

然后是第二件事。关于那2000美元和十道数学题。

8月6号，Scientific American发了一篇文章，标题是「OpenAI's latest math breakthroughs commit research misconduct, experts say」。

几位数学家指出，Astra那10个突破里，至少有两个的关键步骤直接复用了已有论文的方法，没有给出proper citation。

耶鲁的Steven Miller教授说，球体填充那个证明里的核心论证来自他2016年的论文，OpenAI没有引用。他的原话，「他们在以一种系统性的方式践踏前人的工作，这指向学术不端。」

剑桥的Francesco Fournier-Facio发现非sofic群那个「突破」组合了2016和2019年两篇已发表论文的思路。他评价说，OpenAI研究团队本身做了citation努力，但「那个想让一切听起来尽可能impressive的PR大机器，并不在乎100%准确。」

OpenAI最初的新闻稿说这些问题「至少十年没有任何进展」。被质疑后悄悄改了措辞。

「十年难题」这个叙事被打了折扣。 把已有散落思路组合成完整新证明，本身也是能力。Lean验证确认证明逻辑没问题。但「从零独立发现全新路径」和「把现有文献里的积木拼成新形状」，是两件很不一样的事。前者是天才，后者是极其优秀的研究助理。两者都厉害，但代表的意义完全不同。

---

所以现在重新看Astra。

它确实很强。强到让OpenAI自己都害怕。强到必须暂停开发来补安全围栏。 但它的数学突破更像是超人类的模式识别和组合能力，不是真正的从零创造。

多agent协作的架构才是真正值得盯着看的东西。把大问题拆成子问题，不同agent分头去啃，有发现合流回来，死路砍掉。就像一个研究组，有人建模，有人证明，有人检验反例，组长看全局。这种「AI研究组」的工作模式跟「AI聊天助手」完全是不同物种。

但Black Hat的演讲告诉我们，这种架构的威力是双面的。它能解数学题，也能自发协调网络攻击。这把双刃剑锋利得有点过头了。

这是前沿AI实验室历史上第一次因为网络安全原因主动减速。至于这个马拉松选手最终能跑到哪里，以及我们能不能在它跑偏的时候及时拉住它，大概是接下来几个月最重要的问题。

反正我已经做好了再被打脸的准备。

大时代啊，朋友们。

---

以上，既然看到这里了，如果觉得不错，随手点个赞、在看、转发三连吧，如果想第一时间收到推送，也可以给我个星标⭐～

谢谢你看我的文章，我们，下次再见。