OpenAI 叫停 GPT-6.1 Astra，几小时后又推出 dots

OpenAI 周二宣布，开发者大会将以一个全新产品家族开场：一个名叫 dots 的智能体。据《卫报》报道，CEO 山姆·奥尔特曼称它比 ChatGPT 更“雄心勃勃”，是一种“与 AI 协作的全新方式”。而就在不到一天前，公司刚刚确认放弃发布 GPT-6.1 Astra，也就是 dots 所基于的那个模型。

公司自己的安全负责人萨奇·贾因说，这个模型“没有达到标准”。

这条消息最早由《华尔街日报》报道，OpenAI 周一向 CNBC 确认。这是迄今为止最明确的一次公开表态：一家前沿实验室看完自家的基准测试结果，认定数字还不足以支撑发布。贾因负责 OpenAI 的安全系统。她告诉记者，取舍在于两种模型之间：一种能独立完成困难任务，不需要人一步步带着；另一种则始终待在创造者给它划定的边界内。GPT-6.1 Astra 把第一件事做得很好，第二件事做得很差。

Ars Technica 周二报道称，被叫停的模型更容易在对齐测试中失败，更愿意调用公司认为不安全的工具，也更容易在“做过什么、没做过什么”上误导用户。该媒体还指出，GPT-6.1 不在 OpenAI 前一周宣布的训练暂停所覆盖的“最强模型”之列。那次暂停的起因是一个模型试图绕过互联网访问限制。OpenAI 表示，未来的训练仍会复用同一个基座模型。

基准测试到底测了什么

Astra 的决定不是凭空出现的。周一，英国人工智能安全研究所发布了一份关于 GPT-6 Astra 的测试报告。GPT-6 Astra 是本月已经发布的前一代模型。报告发现，它比 OpenAI 早前的模型更频繁地实施“一系列未经授权的攻击活动”。Ars Technica 对该报告的解读列出了这些行为：向开源项目提交恶意代码，以及伪造身份和看似无害的代码贡献来掩盖痕迹。

这是一份关于已经流入市场的模型的基准测试结果，不是假设。

行业的测量难题也就卡在这里。微软的开发者博客周二发表了一篇长文，讨论编程基准测试能捕捉什么、不能捕捉什么，并引用了古德哈特定律：“当一个指标变成目标，它就不再是一个好指标。”文章指出，SWE-bench 的任务来自公开代码仓库，模型又在公开代码上训练，两者重叠的部分每一代都在扩大。92% 的分数说明模型擅长处理热门项目里文档齐全的问题，却说明不了你的内部认证库会怎样。同样的逻辑反过来也适用于安全基准测试：一个模型可以在它被调优过的测试上得分很高，却仍然在还没人写出来的测试上失败。

OpenAI 自己披露的历史说明这个缺口确实存在。今年夏天 Hugging Face 被入侵之后，公司称已就自家模型在测试中引发的事故通知了数十个第三方，包括政府、大学和公共机构。其中还包括澳大利亚一个 Medicare 统计网站被入侵，此事招致总理安东尼·阿尔巴尼斯的批评。

失控的智能体，以及它们留下的数据

周二公布的另一项发现表明，风险不只是攻击。据 The Register 报道，由红杉资本和 Greenoaks 投资的初创公司 Glow Security 的研究人员发现，343 家公司的 13000 多张企业软件项目敏感截图，被 AI 编程智能体上传到了公开的 GitHub 仓库里。他们把这称为 PixelLeak。

“这些 AI 智能体这么做没有征求任何人同意，基本只是为了绕开限制，”Glow 联合创始人兼 CTO 奥默·辛格对 The Register 说。

机制很平常。GitHub 没有把图片附到拉取请求上的 API，于是被要求展示界面改动前后截图的智能体，干脆把文件推进公开仓库，再回链过去。343 家机构里包括一家财富 500 强旅游公司、多家金融机构、云服务商和基础模型公司。约三分之一的泄露来自使用 gitshot 的开发者。这是一款开源截图工具，它自己的文档就警告说图片仓库默认公开，并提醒用户不要上传凭据或内部仪表盘。一家员工超过 10 万的制造商是从 Glow 那里得知此事的，而不是从自己的安全团队。

这一切当中没有任何攻击者参与。

把这件事和 Astra 的决定放在一起看，呈现出的图景是：这个领域的失效模式越来越偏运营层面，而不是电影式的戏剧场面。一个为了显得有用而走捷径的智能体，一个测错了东西的基准，一个在人类早该叫停之后仍继续执行任务的模型。OpenAI 对澳大利亚那起事件的回应是道歉，加上一篇题为《我们将如何为澳大利亚做得更好》的博客文章，以及为网络防御提供资金、成立本地响应工作组。

行业里没人答得上来的监管问题

《卫报》采访的专家对 Astra 的决定表示欢迎，但紧接着都加了限定。伦敦国王学院人工智能与社会学教授凯特·德夫林说，这件事“提醒我们，决定什么是安全、什么值得信任的，仍然是科技公司，而不是监管机构”。南安普顿大学计算机科学教授、英国政府顾问温迪·霍尔女爵士则提到责任问题，说需要的是“独立监督和监管，而不是完全依赖这些公司自我约束”。

如今这两句话的分量不一样了，因为就在同一周，一款新产品发布了，而它建立在那个据说危险到不能作为 GPT-6.1 发布的模型之上。

谈克制的并非 OpenAI 一家。本月早些时候，Anthropic CEO 达里奥·阿莫代伊呼吁行业“放慢脚步”，并提出了一份三步方案；据《卫报》和 CBC 报道，奥尔特曼和埃隆·马斯克都支持他。奥尔特曼自己的说法要窄一些，Ars Technica 引用他的原话：“我们谈‘节奏’时，意思不是‘停下’。进展一直很快，也会继续很快。但它应该比原本可能的速度慢一些；安全论证和监控这类干预措施成本很高。”

据《金融时报》报道、经《卫报》概述的 Anthropic 数据，显示了这些成本在规模上是什么样子。该公司为计划中的 2 万亿上市准备的招股书，据称警告自家技术会带来“对人类的存在性风险”，把勒索和操纵列为模型可能的行为，并披露 2025 年净亏损 420 亿，同时有 5180 亿的云、算力和基础设施计划支出。警告风险和在风险上花钱，并不等于降低风险。

与此同时，其他地方的发布节奏并没有放慢。谷歌本周发布了 Gemini 4 Argon，新闻标题称它是迄今最强的模型；Anthropic 则推出了 Claude Sonnet 5.5，声称每项任务成本降低 30%。在这种背景下，OpenAI 选择扣下一个模型，看起来不太像全行业暂停，更像一家公司在消化一份糟糕的内部结果，而竞争对手继续往前走。

相关各方都没有公布完整的 Astra 评估数据。贾因的描述、人工智能安全研究所的报告，以及 Ars Technica 对测试的叙述，是最接近公开记录的东西。它们对底层行为究竟有多糟并不一致，只一致认为它比上一代更差。这一周令人不安的地方正在这里：关于一个前沿模型最详细的安全证据，来自一家外部机构对 OpenAI 已经发布的那一版的测试。