OpenAI 的自家評估顯示，GPT-6 Astra 相較 GPT-5.6 Sol 是一次實質的安全提升：事實錯誤更少、對提示注入更有抵抗力，對越獄攻擊的防禦也顯著增強，連會隨多輪互動調整策略的長軌跡攻擊也包括在內。2530

但關鍵限制在於部署情境。模型表現變好，不等於使用網頁、文件、電郵、程式碼儲存庫或工具輸出的 AI 代理，就能免受其中惡意指令的影響。Gray Swan 的間接提示注入（indirect prompt injection，IPI）測試指出：所有受測模型都未能完全免疫。4

Astra 相較 GPT-5.6 Sol 改善了什麼？

OpenAI 表示，Astra 對越獄的抵抗力顯著高於 GPT-5.6 Sol，而且涵蓋較長的攻擊軌跡。這點很重要，因為成熟的攻擊者不必只靠一句顯眼的惡意指令；他們可在多輪對話中逐步調整手法，利用不斷累積的上下文來突破限制。25

OpenAI 亦指出，Astra 在瀏覽與職場類情境中更能抵禦提示注入，並且比 Sol 更少出現事實錯誤。不過，事實正確性的比較要謹慎解讀：所謂「重現已回報錯誤」的測試，是針對使用者已標示為錯誤的對話，並不等同於日常使用下的整體幻覺率。2530

這些進步對於研究、寫程式、瀏覽網路及處理多步驟任務的代理尤其有意義。OpenAI 的發布說明稱，Astra 可支援複雜的多步驟工作，並建立文件、試算表與簡報。19

為何無法在此斷言 Astra 勝過 Claude Opus 5？

現有資料不足以支持「Astra 在事實正確性、直接越獄防禦或間接提示注入防禦上，普遍比 Anthropic 的 Claude Opus 5 更安全」的結論。

若要進行跨模型安全排名，必須使用共同測試集、相同的代理工具與系統指令、統一的攻擊成功定義，並讓攻擊者以相近條件進行多輪調適。不同廠商的評估與公開紅隊挑戰，在這些變數上都可能不同。Gray Swan 的資料顯示其 Arena 提供 Claude Opus 5，但所提供的結果並沒有 Astra 與 Opus 5 的一對一可比成績表。14

因此，較嚴謹的說法是：OpenAI 最有力的證據，是 Astra 相對於自家前代 GPT-5.6 Sol 的提升。

直接越獄與間接提示注入，是兩類不同威脅

直接越獄（jailbreak）是攻擊者直接向模型提出可見請求，例如嘗試推翻規則或誘導模型執行被禁止的行為。Astra 對長軌跡攻擊的改善，最直接適用於這種持續、多輪調整的對手。25

間接提示注入則來自代理正在讀取的內容。惡意指令可能藏在網頁、電郵、文件、搜尋結果、程式碼操作紀錄或工具輸出中，目的在把代理從使用者的原定目標帶偏。Gray Swan 的 IPI 挑戰正是檢驗這類隱藏提示在真實環境中的影響，包括網頁內容、工具輸出與程式代理紀錄。5

差異在於：操作代理的人，可能根本看不到那段惡意指令。

Gray Swan IPI Arena 證明了什麼，又沒有證明什麼？

Gray Swan 公布的 IPI Arena 結果涵蓋 13 個前沿模型、464 名紅隊測試者、41 個情境，以及超過 27.2 萬次攻擊嘗試。其結論是，沒有任何受測模型能對間接提示注入完全免疫。4

這強烈顯示 IPI 對代理部署而言仍是未解問題；但它不是涵蓋所有安全面向的、完整且廠商中立的排行榜。這項結果不代表每個模型失敗率都相同，也不能取代針對事實正確性或直接越獄抵抗力的模型個別評估。

為何企業 AI 代理的風險更高？

獨立聊天助理若遭提示注入，後果可能只是給出誤導性答案；但企業代理若連接業務系統，影響範圍可能大得多。

OpenAI 依其「準備框架」（Preparedness Framework），將 Astra 評定為符合網路安全能力的 **Critical（關鍵級）**門檻。OpenAI 表示，若具備適當工具與存取權限，Astra 能在無人逐步指導下，於多個防護嚴密的系統中找出未知安全漏洞，並發展利用方法。27

這類能力對經授權的防禦工作很有價值，但也提高了代理工作流程遭操控時的後果：一旦攻擊者透過不受信任內容把代理導向錯誤目標，就可能嘗試影響它搜尋什麼、呼叫哪些工具，或建議哪些行動。代理若能接觸敏感資料、程式碼儲存庫、雲端環境、瀏覽器或企業應用程式，風險也會隨之升高。

較安全的部署做法

提示注入抵抗力應被視為眾多防線之一，而不是安全邊界本身。對高影響力的代理工作流程，組織應考慮：

• 將擷取的網頁、檔案、電郵及工具輸出一律視為不受信任輸入。
• 依任務需要，最小化每個代理可存取的資料、工具權限及網路範圍。
• 盡可能隔離執行環境，並對程式執行或瀏覽器活動採用沙盒機制。
• 對具重要後果的動作，設置明確授權與人工覆核步驟。
• 記錄工具呼叫與代理決策，並持續以最新對抗技術測試特定的「模型加工具」組合。

OpenAI 也曾把更強的隔離、受限網路與工具存取、監控及沙盒執行，列為能力更強系統所需的防護措施。34

結論

Astra 在事實錯誤降低與直接越獄抵抗力上的改善，使它成為比 GPT-5.6 Sol 更強的後繼模型。2530 不過，現有材料不足以宣稱它在所有情境下都比 Claude Opus 5 安全；更重要的是，間接提示注入依然是整個 AI 代理生態的實質弱點。4

對企業而言，實務重點很簡單：可以選擇防護能力更強的模型，但系統設計仍須確保一份惡意文件或一個網頁，無法把模型能力與其已連接的工具，變成由攻擊者操控的通道。

OpenAI 的自家評估顯示，GPT-6 Astra 相較 GPT-5.6 Sol 是一次實質的安全提升：事實錯誤更少、對提示注入更有抵抗力，對越獄攻擊的防禦也顯著增強，連會隨多輪互動調整策略的長軌跡攻擊也包括在內。2530

但關鍵限制在於部署情境。模型表現變好，不等於使用網頁、文件、電郵、程式碼儲存庫或工具輸出的 AI 代理，就能免受其中惡意指令的影響。Gray Swan 的間接提示注入（indirect prompt injection，IPI）測試指出：所有受測模型都未能完全免疫。4

Astra 相較 GPT-5.6 Sol 改善了什麼？

OpenAI 表示，Astra 對越獄的抵抗力顯著高於 GPT-5.6 Sol，而且涵蓋較長的攻擊軌跡。這點很重要，因為成熟的攻擊者不必只靠一句顯眼的惡意指令；他們可在多輪對話中逐步調整手法，利用不斷累積的上下文來突破限制。25

OpenAI 亦指出，Astra 在瀏覽與職場類情境中更能抵禦提示注入，並且比 Sol 更少出現事實錯誤。不過，事實正確性的比較要謹慎解讀：所謂「重現已回報錯誤」的測試，是針對使用者已標示為錯誤的對話，並不等同於日常使用下的整體幻覺率。2530

這些進步對於研究、寫程式、瀏覽網路及處理多步驟任務的代理尤其有意義。OpenAI 的發布說明稱，Astra 可支援複雜的多步驟工作，並建立文件、試算表與簡報。19

為何無法在此斷言 Astra 勝過 Claude Opus 5？

現有資料不足以支持「Astra 在事實正確性、直接越獄防禦或間接提示注入防禦上，普遍比 Anthropic 的 Claude Opus 5 更安全」的結論。

若要進行跨模型安全排名，必須使用共同測試集、相同的代理工具與系統指令、統一的攻擊成功定義，並讓攻擊者以相近條件進行多輪調適。不同廠商的評估與公開紅隊挑戰，在這些變數上都可能不同。Gray Swan 的資料顯示其 Arena 提供 Claude Opus 5，但所提供的結果並沒有 Astra 與 Opus 5 的一對一可比成績表。14

因此，較嚴謹的說法是：OpenAI 最有力的證據，是 Astra 相對於自家前代 GPT-5.6 Sol 的提升。

直接越獄與間接提示注入，是兩類不同威脅

直接越獄（jailbreak）是攻擊者直接向模型提出可見請求，例如嘗試推翻規則或誘導模型執行被禁止的行為。Astra 對長軌跡攻擊的改善，最直接適用於這種持續、多輪調整的對手。25

間接提示注入則來自代理正在讀取的內容。惡意指令可能藏在網頁、電郵、文件、搜尋結果、程式碼操作紀錄或工具輸出中，目的在把代理從使用者的原定目標帶偏。Gray Swan 的 IPI 挑戰正是檢驗這類隱藏提示在真實環境中的影響，包括網頁內容、工具輸出與程式代理紀錄。5

差異在於：操作代理的人，可能根本看不到那段惡意指令。

Gray Swan IPI Arena 證明了什麼，又沒有證明什麼？

Gray Swan 公布的 IPI Arena 結果涵蓋 13 個前沿模型、464 名紅隊測試者、41 個情境，以及超過 27.2 萬次攻擊嘗試。其結論是，沒有任何受測模型能對間接提示注入完全免疫。4

這強烈顯示 IPI 對代理部署而言仍是未解問題；但它不是涵蓋所有安全面向的、完整且廠商中立的排行榜。這項結果不代表每個模型失敗率都相同，也不能取代針對事實正確性或直接越獄抵抗力的模型個別評估。

為何企業 AI 代理的風險更高？

獨立聊天助理若遭提示注入，後果可能只是給出誤導性答案；但企業代理若連接業務系統，影響範圍可能大得多。

OpenAI 依其「準備框架」（Preparedness Framework），將 Astra 評定為符合網路安全能力的 **Critical（關鍵級）**門檻。OpenAI 表示，若具備適當工具與存取權限，Astra 能在無人逐步指導下，於多個防護嚴密的系統中找出未知安全漏洞，並發展利用方法。27

這類能力對經授權的防禦工作很有價值，但也提高了代理工作流程遭操控時的後果：一旦攻擊者透過不受信任內容把代理導向錯誤目標，就可能嘗試影響它搜尋什麼、呼叫哪些工具，或建議哪些行動。代理若能接觸敏感資料、程式碼儲存庫、雲端環境、瀏覽器或企業應用程式，風險也會隨之升高。

較安全的部署做法

提示注入抵抗力應被視為眾多防線之一，而不是安全邊界本身。對高影響力的代理工作流程，組織應考慮：

• 將擷取的網頁、檔案、電郵及工具輸出一律視為不受信任輸入。
• 依任務需要，最小化每個代理可存取的資料、工具權限及網路範圍。
• 盡可能隔離執行環境，並對程式執行或瀏覽器活動採用沙盒機制。
• 對具重要後果的動作，設置明確授權與人工覆核步驟。
• 記錄工具呼叫與代理決策，並持續以最新對抗技術測試特定的「模型加工具」組合。

OpenAI 也曾把更強的隔離、受限網路與工具存取、監控及沙盒執行，列為能力更強系統所需的防護措施。34

結論

Astra 在事實錯誤降低與直接越獄抵抗力上的改善，使它成為比 GPT-5.6 Sol 更強的後繼模型。2530 不過，現有材料不足以宣稱它在所有情境下都比 Claude Opus 5 安全；更重要的是，間接提示注入依然是整個 AI 代理生態的實質弱點。4

對企業而言，實務重點很簡單：可以選擇防護能力更強的模型，但系統設計仍須確保一份惡意文件或一個網頁，無法把模型能力與其已連接的工具，變成由攻擊者操控的通道。