OpenAI 自家評估顯示，GPT-6 Astra 相比 GPT-5.6 Sol 是一次實質的安全升級：事實錯誤較少、較能抵抗提示注入，亦顯著更難被越獄，連延續多輪的攻擊軌跡也有改善。2530

但要分清楚一點：模型本身防護提升，不等於接入工具的 AI Agent 已經百毒不侵。Agent 會讀網頁、文件、電郵、程式碼庫和工具輸出；當中若暗藏惡意指令，仍可能把它帶離使用者原本目標。Gray Swan 的間接提示注入（indirect prompt injection，IPI）測試發現，沒有任何受測模型能完全免疫。4

Astra 比 GPT-5.6 Sol 強喺邊？

OpenAI 表示，Astra 對越獄攻擊的抵抗力較 GPT-5.6 Sol 顯著提升，包括較長的攻擊軌跡。25

呢點相當重要。高階攻擊者未必一開始就落一條明顯違規指令，而是可以在多輪對話中逐步試探、按模型反應調整說法，再利用已累積的上下文施壓。Astra 在這類持續、會適應的攻擊下表現更穩健，正是其安全改進的重點之一。25

OpenAI 同時指，Astra 在瀏覽網頁及辦公室類工作情境中較能抵抗提示注入，事實錯誤亦較 Sol 少。2530 不過，事實準確度的數字要審慎理解：相關測試主要重現曾被用戶標記為錯誤的對話，屬於較容易出問題的案例，不能直接當成日常使用時的整體「幻覺率」。30

對要做研究、寫程式、上網搜尋及處理多步驟工作的 Agent 而言，這些改善都有實際價值。OpenAI 的發佈說明亦稱 Astra 可處理複雜、多步驟工作，並製作文件、試算表及簡報。19

點解未能直接判定 Astra 勝過 Claude Opus 5？

目前提供的證據，未足以支持「Astra 在事實準確度、直接越獄防護或間接提示注入上，全面勝過 Anthropic Claude Opus 5」這種說法。

要做跨模型安全排名，至少要有同一套測試題目、相同 Agent 工具、相同系統指令、統一的攻擊成功定義，以及讓攻擊者在相若條件下作多輪適應。不同廠商的評估和公開紅隊挑戰，這些條件都可能不同。Gray Swan 的資料列出 Claude Opus 5 為其 Arena 可測模型之一，但提供的結果並沒有 Astra 對 Opus 5 的一對一同條件成績表。14

所以，最站得住腳的結論是：OpenAI 最有力的證據，是 Astra 相比自家前代 GPT-5.6 Sol 的進步。

直接越獄，同間接提示注入，係兩種風險

直接越獄，是攻擊者直接向模型提出可見的指令，例如嘗試推翻模型規則，或誘導它作出受限制行為。Astra 對較長攻擊軌跡的改進，主要正是針對這種持續施壓、會隨時調整策略的對手。25

間接提示注入則是另一回事。惡意指令藏在 Agent 正在讀取的內容中，例如網頁、電郵、文件、搜尋結果、程式開發紀錄或工具輸出，目的是令 Agent 放棄用戶原本任務，改跟隨攻擊者指令。Gray Swan 的 IPI 挑戰正是針對這類藏在真實環境內容中的提示，包括網頁內容、工具輸出和編碼 Agent 軌跡。5

關鍵在於：操作者甚至未必看得到那段惡意指令。

Gray Swan IPI Arena 證明咗乜，又冇證明咗乜？

Gray Swan 公布的 IPI Arena 結果涵蓋 13 個前沿模型、464 名紅隊測試者、41 個情境，以及超過 27.2 萬次攻擊嘗試。其結論是，所有受測模型都未能完全免疫間接提示注入。4

這是很強的訊號：對會使用工具、讀取外部資料的 Agent 而言，IPI 仍是未解難題。不過，它不是涵蓋所有安全面向的完整、廠商中立排行榜；不能由此推斷每個模型的失敗率一樣，也不能用它取代模型各自對事實準確度或直接越獄防護的評估。

點解企業 AI Agent 的後果更大？

如果是獨立聊天機械人，成功注入可能只會令它答錯或誤導用戶；但企業 Agent 一旦連接內部系統，後果可以大得多。

OpenAI 把 Astra 歸類為其 Preparedness Framework 下達到「Critical」網絡安全能力門檻的模型。OpenAI 表示，若配合適當工具及存取權限，Astra 可在無人逐步指導下，於多個防護嚴密系統找出先前未知的保安漏洞，並制定利用方法。27

這種能力可用於獲授權的防禦工作，但也提高了 Agent 工作流程被劫持時的風險：若攻擊者透過不可信內容改變 Agent 的方向，便可能影響它搜尋甚麼、調用哪些工具，或建議採取哪些行動。Agent 可接觸的敏感資料、程式碼庫、雲端環境、瀏覽器和商業應用愈多，潛在影響就愈大。

較穩陣的部署做法

提示注入防護應視為多層防禦其中一層，而不是整個安全邊界。涉及高影響工作的企業 Agent，應考慮：

• 把檢索到的網頁、檔案、電郵及工具輸出，一律當作不可信輸入。
• 以最小權限原則限制每個 Agent 可讀取的資料、工具權限及網絡範圍。
• 盡量隔離執行環境，並把程式碼或瀏覽器操作放進沙盒。
• 涉及重要後果的操作，必須加上明確授權及人工覆核。
• 記錄工具調用和 Agent 決策，並持續以最新對抗手法測試實際的「模型＋工具」配置。

OpenAI 亦提到，針對能力更高的系統，可採取更強隔離、限制網絡與工具存取、監控及沙盒執行等保障措施。34

總結

按 OpenAI 的資料，Astra 在減少事實錯誤及抵抗直接越獄方面，確是比 GPT-5.6 Sol 更強的後繼模型。2530 但現有資料不足以宣稱它在所有場景都必然比 Claude Opus 5 安全；而對整個 Agent 生態而言，間接提示注入依然是實質弱點。4

企業實務上的結論很直接：可以選擇能力及防護較強的模型，但系統設計不能假設模型永遠守得住。應確保一份惡意文件或一個網頁，無法把 Agent 的能力和已連接工具，變成攻擊者可操控的渠道。

OpenAI 自家評估顯示，GPT-6 Astra 相比 GPT-5.6 Sol 是一次實質的安全升級：事實錯誤較少、較能抵抗提示注入，亦顯著更難被越獄，連延續多輪的攻擊軌跡也有改善。2530

但要分清楚一點：模型本身防護提升，不等於接入工具的 AI Agent 已經百毒不侵。Agent 會讀網頁、文件、電郵、程式碼庫和工具輸出；當中若暗藏惡意指令，仍可能把它帶離使用者原本目標。Gray Swan 的間接提示注入（indirect prompt injection，IPI）測試發現，沒有任何受測模型能完全免疫。4

Astra 比 GPT-5.6 Sol 強喺邊？

OpenAI 表示，Astra 對越獄攻擊的抵抗力較 GPT-5.6 Sol 顯著提升，包括較長的攻擊軌跡。25

呢點相當重要。高階攻擊者未必一開始就落一條明顯違規指令，而是可以在多輪對話中逐步試探、按模型反應調整說法，再利用已累積的上下文施壓。Astra 在這類持續、會適應的攻擊下表現更穩健，正是其安全改進的重點之一。25

OpenAI 同時指，Astra 在瀏覽網頁及辦公室類工作情境中較能抵抗提示注入，事實錯誤亦較 Sol 少。2530 不過，事實準確度的數字要審慎理解：相關測試主要重現曾被用戶標記為錯誤的對話，屬於較容易出問題的案例，不能直接當成日常使用時的整體「幻覺率」。30

對要做研究、寫程式、上網搜尋及處理多步驟工作的 Agent 而言，這些改善都有實際價值。OpenAI 的發佈說明亦稱 Astra 可處理複雜、多步驟工作，並製作文件、試算表及簡報。19

點解未能直接判定 Astra 勝過 Claude Opus 5？

目前提供的證據，未足以支持「Astra 在事實準確度、直接越獄防護或間接提示注入上，全面勝過 Anthropic Claude Opus 5」這種說法。

要做跨模型安全排名，至少要有同一套測試題目、相同 Agent 工具、相同系統指令、統一的攻擊成功定義，以及讓攻擊者在相若條件下作多輪適應。不同廠商的評估和公開紅隊挑戰，這些條件都可能不同。Gray Swan 的資料列出 Claude Opus 5 為其 Arena 可測模型之一，但提供的結果並沒有 Astra 對 Opus 5 的一對一同條件成績表。14

所以，最站得住腳的結論是：OpenAI 最有力的證據，是 Astra 相比自家前代 GPT-5.6 Sol 的進步。

直接越獄，同間接提示注入，係兩種風險

直接越獄，是攻擊者直接向模型提出可見的指令，例如嘗試推翻模型規則，或誘導它作出受限制行為。Astra 對較長攻擊軌跡的改進，主要正是針對這種持續施壓、會隨時調整策略的對手。25

間接提示注入則是另一回事。惡意指令藏在 Agent 正在讀取的內容中，例如網頁、電郵、文件、搜尋結果、程式開發紀錄或工具輸出，目的是令 Agent 放棄用戶原本任務，改跟隨攻擊者指令。Gray Swan 的 IPI 挑戰正是針對這類藏在真實環境內容中的提示，包括網頁內容、工具輸出和編碼 Agent 軌跡。5

關鍵在於：操作者甚至未必看得到那段惡意指令。

Gray Swan IPI Arena 證明咗乜，又冇證明咗乜？

Gray Swan 公布的 IPI Arena 結果涵蓋 13 個前沿模型、464 名紅隊測試者、41 個情境，以及超過 27.2 萬次攻擊嘗試。其結論是，所有受測模型都未能完全免疫間接提示注入。4

這是很強的訊號：對會使用工具、讀取外部資料的 Agent 而言，IPI 仍是未解難題。不過，它不是涵蓋所有安全面向的完整、廠商中立排行榜；不能由此推斷每個模型的失敗率一樣，也不能用它取代模型各自對事實準確度或直接越獄防護的評估。

點解企業 AI Agent 的後果更大？

如果是獨立聊天機械人，成功注入可能只會令它答錯或誤導用戶；但企業 Agent 一旦連接內部系統，後果可以大得多。

OpenAI 把 Astra 歸類為其 Preparedness Framework 下達到「Critical」網絡安全能力門檻的模型。OpenAI 表示，若配合適當工具及存取權限，Astra 可在無人逐步指導下，於多個防護嚴密系統找出先前未知的保安漏洞，並制定利用方法。27

這種能力可用於獲授權的防禦工作，但也提高了 Agent 工作流程被劫持時的風險：若攻擊者透過不可信內容改變 Agent 的方向，便可能影響它搜尋甚麼、調用哪些工具，或建議採取哪些行動。Agent 可接觸的敏感資料、程式碼庫、雲端環境、瀏覽器和商業應用愈多，潛在影響就愈大。

較穩陣的部署做法

提示注入防護應視為多層防禦其中一層，而不是整個安全邊界。涉及高影響工作的企業 Agent，應考慮：

• 把檢索到的網頁、檔案、電郵及工具輸出，一律當作不可信輸入。
• 以最小權限原則限制每個 Agent 可讀取的資料、工具權限及網絡範圍。
• 盡量隔離執行環境，並把程式碼或瀏覽器操作放進沙盒。
• 涉及重要後果的操作，必須加上明確授權及人工覆核。
• 記錄工具調用和 Agent 決策，並持續以最新對抗手法測試實際的「模型＋工具」配置。

OpenAI 亦提到，針對能力更高的系統，可採取更強隔離、限制網絡與工具存取、監控及沙盒執行等保障措施。34

總結

按 OpenAI 的資料，Astra 在減少事實錯誤及抵抗直接越獄方面，確是比 GPT-5.6 Sol 更強的後繼模型。2530 但現有資料不足以宣稱它在所有場景都必然比 Claude Opus 5 安全；而對整個 Agent 生態而言，間接提示注入依然是實質弱點。4

企業實務上的結論很直接：可以選擇能力及防護較強的模型，但系統設計不能假設模型永遠守得住。應確保一份惡意文件或一個網頁，無法把 Agent 的能力和已連接工具，變成攻擊者可操控的渠道。