OpenAI 对 GPT-6 Astra 的评估显示，它相较 GPT-5.6 Sol 有实质性安全改进：事实错误更少、对提示注入的抵御能力更强，并且对越狱攻击——包括跨越较长交互轨迹展开的攻击——显著更稳健。2530

但真正的边界在于部署环境。模型自身更谨慎，不代表接入网页、文档、邮件、代码仓库或工具输出的 AI 智能体，就能对其中暗藏的恶意指令免疫。Gray Swan 的间接提示注入（indirect prompt injection，IPI）测试发现，所有受测模型都无法做到完全免疫。4

Astra 相比 GPT-5.6 Sol 改进了什么

OpenAI 表示，Astra 对越狱攻击的抵抗力显著强于 GPT-5.6 Sol，其中也包括跨多轮交互、持续推进的长程攻击。25

这一点很关键：更有经验的攻击者不必只发送一条显眼的恶意指令，也可能在多轮对话中不断调整策略，利用已累积的上下文诱导模型偏离规则或目标。

OpenAI 还称，Astra 在浏览和办公类场景中更能抵御提示注入，且事实错误少于 Sol。2530 不过，关于事实性的结果需要谨慎解读：其中一类“已报告错误复现”测试，针对的是用户此前标记为错误的对话，因此它反映的是高风险错误样本中的表现，而不是日常使用中的通用“幻觉率”。30

对于需要检索资料、写代码、浏览网页并完成多步骤任务的智能体，这些改进确实有价值。OpenAI 的发布说明称，Astra 面向复杂、多步骤工作，可按模板和指令创建文档、电子表格与演示文稿。19

为什么不能给 Astra 与 Claude Opus 5 排出绝对名次

现有证据不足以支持“在事实性、直接越狱防护或间接提示注入防护上，Astra 全面优于 Anthropic 的 Claude Opus 5”这一说法。

要做跨模型安全排名，至少需要统一的测试集、相同的智能体工具配置、相同的系统指令、统一的攻击成功定义，以及可在相近条件下多轮调整策略的攻击者。厂商评估和公开红队挑战在这些变量上都可能不同。Gray Swan 的资料显示 Claude Opus 5 是其 Arena 可测试的模型之一，但所提供结果并没有给出 Astra 与 Opus 5 的一对一可比成绩单。14

因此，更严谨的结论是：OpenAI 的最强证据，是 Astra 相比自家前代 GPT-5.6 Sol 的提升，而不是跨厂商的通用安全排名。

直接越狱与间接提示注入不是一回事

直接越狱，是攻击者在可见的对话中直接向模型提出请求，试图覆盖其规则、诱使其执行被禁止的操作。Astra 对长程攻击轨迹的改进，主要对应这类持续且会调整策略的攻击者。25

间接提示注入则来自智能体正在读取或处理的内容。攻击者可以把恶意指令藏进网页、邮件、文档、搜索结果、代码执行记录或工具输出中，试图让智能体放弃用户原有目标，转而执行攻击者的意图。Gray Swan 的 IPI 挑战专门测试了这类隐藏指令在真实环境中的影响，包括网页内容、工具输出和编程智能体轨迹。5

区别在于：智能体的使用者可能根本看不到那条恶意指令。

Gray Swan IPI Arena 证明了什么，又没有证明什么

Gray Swan 公布的 IPI Arena 结果涵盖 13 个前沿模型、464 名红队人员、41 个场景和超过 27.2 万次攻击尝试。其结论是：没有任何受测模型能对间接提示注入完全免疫。4

这有力说明，IPI 仍是部署智能体时尚未解决的安全问题。但它并不是覆盖所有安全维度、且完全中立的厂商排行榜。不能把这一结论理解为所有模型以相同失败率被攻破，也不能用它替代对事实性或直接越狱防护的模型专项评估。

为什么企业智能体面临的后果更大

对于独立聊天助手，一次成功的提示注入可能只是带来一段误导性回答；但对于已连接企业业务系统的智能体，影响可能大得多。

OpenAI 将 Astra 评定为其“准备框架”下达到网络安全能力**关键级（Critical）**阈值的模型。OpenAI 表示，在具备适当工具和访问权限的条件下，Astra 无需人类逐步指导，就能在许多防护严密的系统中发现此前未知的安全漏洞，并制定利用这些漏洞的方法。27

这种能力可用于经授权的防御工作，但也提高了智能体工作流被诱导后的风险：如果攻击者能通过不可信内容重定向智能体，就可能影响它检索什么、调用哪些工具，以及提出或执行哪些动作。智能体能够访问的数据、代码仓库、云环境、浏览器或企业应用越敏感，潜在影响就越高。

更稳妥的部署方式：把模型防护当作一层，而非安全边界

对于高影响智能体工作流，组织不应把“提示注入抵抗力”视为唯一防线，而应采取纵深防御：

• 将检索到的网页、文件、邮件和工具输出一律视为不可信输入。
• 按任务所需，严格限制每个智能体的数据权限、工具权限与网络访问范围。
• 尽可能隔离执行环境，对代码执行和浏览器活动采用沙盒机制。
• 对外部影响大或不可逆的操作设置明确的授权与人工复核环节。
• 记录工具调用与智能体决策，并持续针对“模型＋工具＋权限”这一实际组合开展对抗测试。

OpenAI 也曾将更强的工作负载隔离、受限网络与工具访问、监控以及沙盒执行列为应对更高能力系统的防护措施。34

结论

按照 OpenAI 的报告，GPT-6 Astra 在减少事实错误、抵御直接越狱以及应对提示注入方面，比 GPT-5.6 Sol 更进一步。2530 但现有材料既不足以证明它在所有场景都比 Claude Opus 5 更安全，也明确表明：间接提示注入依旧是整个智能体生态的重要薄弱点。4

对企业而言，实际原则很简单：可以选择更强的模型，但必须把系统设计成——即便一份恶意文档或一个网页成功影响了模型，它也无法轻易把模型能力和已连接的工具，变成攻击者的控制通道。

OpenAI 对 GPT-6 Astra 的评估显示，它相较 GPT-5.6 Sol 有实质性安全改进：事实错误更少、对提示注入的抵御能力更强，并且对越狱攻击——包括跨越较长交互轨迹展开的攻击——显著更稳健。2530

但真正的边界在于部署环境。模型自身更谨慎，不代表接入网页、文档、邮件、代码仓库或工具输出的 AI 智能体，就能对其中暗藏的恶意指令免疫。Gray Swan 的间接提示注入（indirect prompt injection，IPI）测试发现，所有受测模型都无法做到完全免疫。4

Astra 相比 GPT-5.6 Sol 改进了什么

OpenAI 表示，Astra 对越狱攻击的抵抗力显著强于 GPT-5.6 Sol，其中也包括跨多轮交互、持续推进的长程攻击。25

这一点很关键：更有经验的攻击者不必只发送一条显眼的恶意指令，也可能在多轮对话中不断调整策略，利用已累积的上下文诱导模型偏离规则或目标。

OpenAI 还称，Astra 在浏览和办公类场景中更能抵御提示注入，且事实错误少于 Sol。2530 不过，关于事实性的结果需要谨慎解读：其中一类“已报告错误复现”测试，针对的是用户此前标记为错误的对话，因此它反映的是高风险错误样本中的表现，而不是日常使用中的通用“幻觉率”。30

对于需要检索资料、写代码、浏览网页并完成多步骤任务的智能体，这些改进确实有价值。OpenAI 的发布说明称，Astra 面向复杂、多步骤工作，可按模板和指令创建文档、电子表格与演示文稿。19

为什么不能给 Astra 与 Claude Opus 5 排出绝对名次

现有证据不足以支持“在事实性、直接越狱防护或间接提示注入防护上，Astra 全面优于 Anthropic 的 Claude Opus 5”这一说法。

要做跨模型安全排名，至少需要统一的测试集、相同的智能体工具配置、相同的系统指令、统一的攻击成功定义，以及可在相近条件下多轮调整策略的攻击者。厂商评估和公开红队挑战在这些变量上都可能不同。Gray Swan 的资料显示 Claude Opus 5 是其 Arena 可测试的模型之一，但所提供结果并没有给出 Astra 与 Opus 5 的一对一可比成绩单。14

因此，更严谨的结论是：OpenAI 的最强证据，是 Astra 相比自家前代 GPT-5.6 Sol 的提升，而不是跨厂商的通用安全排名。

直接越狱与间接提示注入不是一回事

直接越狱，是攻击者在可见的对话中直接向模型提出请求，试图覆盖其规则、诱使其执行被禁止的操作。Astra 对长程攻击轨迹的改进，主要对应这类持续且会调整策略的攻击者。25

间接提示注入则来自智能体正在读取或处理的内容。攻击者可以把恶意指令藏进网页、邮件、文档、搜索结果、代码执行记录或工具输出中，试图让智能体放弃用户原有目标，转而执行攻击者的意图。Gray Swan 的 IPI 挑战专门测试了这类隐藏指令在真实环境中的影响，包括网页内容、工具输出和编程智能体轨迹。5

区别在于：智能体的使用者可能根本看不到那条恶意指令。

Gray Swan IPI Arena 证明了什么，又没有证明什么

Gray Swan 公布的 IPI Arena 结果涵盖 13 个前沿模型、464 名红队人员、41 个场景和超过 27.2 万次攻击尝试。其结论是：没有任何受测模型能对间接提示注入完全免疫。4

这有力说明，IPI 仍是部署智能体时尚未解决的安全问题。但它并不是覆盖所有安全维度、且完全中立的厂商排行榜。不能把这一结论理解为所有模型以相同失败率被攻破，也不能用它替代对事实性或直接越狱防护的模型专项评估。

为什么企业智能体面临的后果更大

对于独立聊天助手，一次成功的提示注入可能只是带来一段误导性回答；但对于已连接企业业务系统的智能体，影响可能大得多。

OpenAI 将 Astra 评定为其“准备框架”下达到网络安全能力**关键级（Critical）**阈值的模型。OpenAI 表示，在具备适当工具和访问权限的条件下，Astra 无需人类逐步指导，就能在许多防护严密的系统中发现此前未知的安全漏洞，并制定利用这些漏洞的方法。27

这种能力可用于经授权的防御工作，但也提高了智能体工作流被诱导后的风险：如果攻击者能通过不可信内容重定向智能体，就可能影响它检索什么、调用哪些工具，以及提出或执行哪些动作。智能体能够访问的数据、代码仓库、云环境、浏览器或企业应用越敏感，潜在影响就越高。

更稳妥的部署方式：把模型防护当作一层，而非安全边界

对于高影响智能体工作流，组织不应把“提示注入抵抗力”视为唯一防线，而应采取纵深防御：

• 将检索到的网页、文件、邮件和工具输出一律视为不可信输入。
• 按任务所需，严格限制每个智能体的数据权限、工具权限与网络访问范围。
• 尽可能隔离执行环境，对代码执行和浏览器活动采用沙盒机制。
• 对外部影响大或不可逆的操作设置明确的授权与人工复核环节。
• 记录工具调用与智能体决策，并持续针对“模型＋工具＋权限”这一实际组合开展对抗测试。

OpenAI 也曾将更强的工作负载隔离、受限网络与工具访问、监控以及沙盒执行列为应对更高能力系统的防护措施。34

结论

按照 OpenAI 的报告，GPT-6 Astra 在减少事实错误、抵御直接越狱以及应对提示注入方面，比 GPT-5.6 Sol 更进一步。2530 但现有材料既不足以证明它在所有场景都比 Claude Opus 5 更安全，也明确表明：间接提示注入依旧是整个智能体生态的重要薄弱点。4

对企业而言，实际原则很简单：可以选择更强的模型，但必须把系统设计成——即便一份恶意文档或一个网页成功影响了模型，它也无法轻易把模型能力和已连接的工具，变成攻击者的控制通道。