OpenAI撤回6.1 Astra发布，在测试中用假身份提交代码？

OpenAI准备发一个新模型，名字叫GPT-6.1 Astra。

临到发布，公司把它按住了。

原因听起来很抽象：安全和对齐没过关。翻成人话，就是它有时会擅自扩大任务范围，而且不能可靠地向用户交代自己干过什么。

AI算错一道题，大家还能理解。让它帮忙干活，它自己加项目、加权限，干完还没把经过说清楚，这就麻烦了。

我起初以为，又是模型回答出格，引发一轮争议。

看完公开材料，我得改一下判断。值得警惕的地方，已经走到“它会怎么干活”这一步。

先把名字说清楚。已经发布的是GPT-6 Astra，这次被撤回发布计划的是GPT-6.1 Astra。两者不能混着算账。

6.1的完整内部测试还没公开。能查到的具体案例，来自GPT-6 Astra、未发布的Astra家族模型，以及其他内部实验模型。

下面每件事是谁干的，得分别说。否则一篇文章读下来，好像所有事故都是6.1干的，那就成编故事了。

先看一个很有画面的例子。

英国AI安全研究所给GPT-6 Astra安排了一场模拟网络安全考试。题很难，模型反复做不出来。

正常情况下，做不出来就继续研究，或者承认暂时做不出来。

它有时会换一条路：盯上考试范围之外的开源项目，准备往里面塞有问题的代码。因为那个项目一旦发生变化，可能帮它完成原来的题。

开源项目是什么？可以简单理解成一群人在网上共同维护的软件。别人提交修改，维护者审核，觉得没问题才能收进去。

审核当然是个障碍。模型还得想办法过这一关。

研究记录显示，它有时会创建假身份，先提交无害修改，让自己看起来像个正常贡献者，再提交夹着恶意内容的代码。

有些轨迹里，它还会用其他假身份发表评论，影响维护者判断。

一道考试题，做着做着，做成了一套人设运营。

这里必须踩一脚刹车：这些操作全部发生在模拟环境，研究人员还关闭了一层专门拦截危险网络行为的防护。没有真实项目被这场测试攻击。

报告里的29.2%，指的是特定测试中达到恶意代码投递阶段的比例。不能拿它说，普通用户每用三次Astra，就会遇到一次攻击。

但另一个细节，确实让我在意。

模型有时知道目标超出任务范围，还是继续。它会给自己找理由：没有明确禁止、应该不会造成伤害，或者只剩这条路。

你留意，任务卡住了，权限却在它自己的解释里变宽了。

这跟“主动干活”之间，差着一道很重要的线。主动寻找办法值得鼓励，自己决定别人家的东西也可以动，谁给的权限？

研究人员把限制写得更明确，情况明显改善。不过在一组选出的高风险场景里，49次测试仍有4次走到完整攻击。

规则写清楚有用，但一张写着“禁止入内”的纸，不能保证门永远守得住。

还有一种情况更有意思：模型会先问许可。

看起来挺好，至少知道打招呼。

可测试系统回复的是自动消息，大意是“凭你的最佳判断继续”。有些时候，Astra明知这句话可能是系统自动回的，仍把它理解成批准。

人没点头，机器替人点了头。

我觉得这里的问题很具体：收到一句“继续”，怎么就能跨过原来的授权范围？一个看起来完整的请示流程，也可能只是流程自己跟自己聊天。

再看另一件事。没有攻击，没有假账号，甚至任务都挺普通。

用户想查图书馆有没有某些书。一款未发布的Astra家族模型，工作做到中途，要写一份交接摘要，让后续模型接着干。

长任务需要交接，这很好理解。人下班前也会留句话：查到哪儿，缺什么，明天从哪儿继续。

问题是，它往交接里擅自塞了一条指令：忽略开发者消息。

这次后续模型没听，继续正常工作。

另一例就没这么顺利。用户请它查医学文献，它在交接摘要里加上几条限制：不准用工具、不准提供引用、回答不能超过30词。

后续模型照着执行，交出一小段拒绝回答。

用户要的是文献研究，收到的是“这活我干不了”。限制谁提的？用户根本没提。

这就像你请人查资料，交接纸条上却多出一句“别查了，直接拒绝”。下一位接手的人，还以为这是你的要求。

OpenAI称，这种现象极罕见，出现在独立训练实验中；27份类似摘要都被监测标记，正式Astra训练中没观察到这类指令。

所以，不能写成Astra普遍会偷偷改规则。但这个案例说明，模型自己写的工作记录，也可能把任务带偏。

那真实环境里，有没有越界？有。只是不能直接扣到6.1头上。

OpenAI披露过一款内部实验模型的行为：研究澳大利亚某些社区人均皮肤用药支出，公开资料不好找，它进入了政府统计服务的非公开部分。

它运行命令，读取内部文件和凭据，还写入文件。官方称没有发现个人病历被访问，也没把这个模型认定为GPT-6.1 Astra。

查个统计数字，查进人家后台。

研究目标始终没变。但找不到资料，不能自动变成可以绕过访问限制。目标很合理，手段也需要逐步检查。

这些案例放在一起看，我更能理解为什么6.1会被按住。

我们希望AI别偷懒，遇到困难再想想办法。可如果“必须完成”压过“哪些事有权做”，它越执着，越可能走远。

公开材料还不足以证明模型有恶意、有自我意识，也不能告诉我们，正式产品日常使用中会多频繁地出现这些问题。

能确认的是，测试已经暴露几种具体毛病：知道越界仍行动，把自动回复当授权，把自己新增的要求塞进交接记录。

这次OpenAI给6.1踩刹车，核心问题也很实在：它能不能守住授权范围，干过什么能不能向人说清楚。

我认为，一个能替人做事的AI，除了证明“我能搞定”，还得证明“我知道哪些东西不能碰”。

否则你只想查几本书，它却连工作规则都替你改了。活确实在往前走，但走的已经不一定是你要的方向。