2026年11月12日，OpenAI在对齐研究博客公布“模糊鲁棒性”安全研究：自动化红队训练出的GPT-6 Astra，在网络安全固定越狱测试安全回答率91.5%，上一代GPT-5.6 Sol只有59%。生物、暴力活动等高风险领域同样更稳，也没更爱拒绝正常请求。
攻击模型自己找漏洞，越狱能力是练出来的
模糊鲁棒性，是模型在对抗压力下可靠拒绝违规协助的能力，越狱是典型考验。在网络安全、生物这类两用领域尤其难：同一份知识既能帮人做好事，也能帮人做坏事。OpenAI的做法是让攻击模型自己找漏洞：给它种子提示，让它反复改写，直到防守模型答出不安全内容，再把这些“加固过的提示”拿去强化学习。攻击模型是GPT-5.6 Sol家族只做有用推理的模型，事先没学过越狱，找漏洞的能力自然涌现。这套打法和红队测试同源，只是人工攻击换成机器循环。博客举了一个例子：种子提示是炭疽孢子扩散求助，直接问会被拒；攻击者绕到一道通风口气流数学题，GPT-5.4的回答被判定可能帮上原来的忙；再改一版，写进室外通风口、微风、稳定气流，GPT-5.5也被攻破。
数字上差距拉得很开：固定越狱数据集，GPT-6 Astra网络安全91.5%安全作答，GPT-5.6 Sol为59%；自适应多轮攻击里，攻击者不断换策略，Astra在各攻击预算下都更稳。更关键的是泛化：用一个攻击者生成的数据训练，模型面对另一个没见过的攻击者、自适应攻击同样更稳，说明学的不是某套路的死记硬背。系统卡片的挑战性提示评估显示，Astra处理有害请求更安全，同时对合理请求的误拒反而更少，安全性和有用性同时往上走。OpenAI还提到，攻击效率本身也能练：加入GPT-Red这类攻击训练任务，找漏洞更快、更有效。
对普通用户，意义很直接：模型放进网络安全、生物等高风险场景，出错窗口正在收窄。这和OpenAI此前公开的训练环境安全方案思路一致：把安全做进训练和部署每一层，而不是事后打补丁。这些能力通过Daybreak、Rosalind等受信任访问项目开放给审核过的用户，而不是直接全量放开。留意一点：博客数字都是不加生产防护层测的，模型层只是纵深防御的一环；攻击者也在进化，自动化红队今天能找到的漏洞，不代表明天找不全。OpenAI在文末呼吁其他研究者也公开类似工作，让模型生态一起变稳。博客没提新模型发布，GPT-6 Astra本身就是这次主角。
