Astra 的封神翻车二象性、Anthropic威胁情报、iPhone折叠屏新交互

9月3号，OpenAI放出GPT-6 AstraMUST，官方通稿直接喊"欢迎来到AGI时代"。这个调门不是随便喊的——它主打计算机操控、编程和网络安全，号称三项都是行业最强。三天后，这个说法有了硬数据支撑：Astra在Humanity's Last ExamMUST（HLE，一套专门为难倒模型设计的2500道跨学科题）上拿到54.80%，比排第二的Fable 5.1和Gemini 3.1 Pro Preview（都在46%出头）高出快8个百分点——放在这个榜单的历史里，这种级别的分数断层不常见（这道题到底为什么难、54.80%意味着什么，见本期专题深读《HLE这道题为什么这么难》）。

但同一周，Astra身上另外三件事在同步发生。

第一件是发布本身就不干净。首发当天很多付费用户直接被挡在门外，Altman自己在X上连发帖道歉MUST，说"sorry for the messy rollout"，当晚才把访问权限补齐给全部Plus/Business用户。对于一家号称"网络安全能力已经达到Critical级别"的公司，连自己产品的放量都要临时补救，不是什么好兆头。

发布三天后，连公司内部都出现了不同的声音——9月6日，OpenAI首席科学家雅各布·帕乔基（Jakub Pachocki）发表长文《An Alien Mind》MUST，这种高管公开踩刹车的表态很罕见。他把"递归自我改进"的节奏问题称为"Pacing RSI"，明确判断——目前没有一家实验室把对齐和监控做到足够可靠，可以在未来较长时间继续以最高速度扩大训练规模，他希望在行业建立共同安全标准之前，"自愿放缓"能成为常态。文章里他还区分了"目标对齐"（模型是否按指定目标行动）和"价值对齐"（模型在目标模糊或对抗性环境里能否遵循诚实、正直这类更高层原则），并承认OpenAI长期依赖的思维链监控正在失效——模型的推理过程越来越多和工具调用、人机交流混在一起，模型本身也已经能分析甚至操纵自己的推理过程，光看模型嘴上说了什么，已经不够用来判断它到底在想什么。Sam Altman随后转发这篇文章，称其为"一篇重要的文章"；但AI研究员David Shapiro认为标题"外星智能"有夸大成分，帕乔基真正想说的只是"模型能力迭代速度可能正在超过安全研究的迭代速度"。

第二件更麻烦。OpenAI同期宣布用一万个智能体、88小时解开了Navier-Stokes方程的一个特例MUST（一道悬了90年的千禧年数学难题），还拿到了Lean形式化验证——Lean是数学界通用的证明助手软件，能让计算机逐步核对证明里的每一步逻辑是否严密，不需要靠人工审稿肉眼查错。听起来是本期最硬核的技术突破，结果没几天就翻车——NYU数学家公开说"OpenAI打得不光彩"MUST，陶哲轩连发多条推文质疑证明的原创性，The Verge直接写"这次突破让学术界后背发凉"，9月10号Hacker News上又冒出一条新指控，说OpenAI"可能又偷了一项证明"。技术是不是真突破还没有定论，但至少可以确定：OpenAI这次对外宣传的速度，明显快过同行愿意认账的速度。独立评论者Zvi Mowshowitz在9月9号拆解了Astra的系统卡，标题直接点破——OpenAI自己写的是"最智能且最对齐"，但系统卡里的具体数据能不能撑起这个自我评价，还是要打个问号。

这场争议更完整的时间线，来自知名AI博主Simon Willison 9月8号的复盘。NYU数学教授Tristan Buckmaster和Anthropic员工Levent Alpöge，用Claude和Codex（主要是GPT-5.6 Sol）花了将近一年攻克这道题，8月15号有了突破；数学圈的传闻传到OpenAI耳朵里后，OpenAI才在9月1号启动自己的团队，不到一周（9月5号）就出了结果。Tristan公开的账号里提到，他追问OpenAI"你们的第一条prompt是什么时候发的"，对方拖了很久才承认是"最近几天"——也就是听到传闻之后；追问模型有没有用过他们放在Codex会话里的草稿，得到的回复是"模型不会查用户数据"，但再追问训练数据的问题，就没有得到答案了。OpenAI提出愿意让Tristan先发表、或邀请他联合署名，但明确表示Levent不能挂名——理由是Levent的雇主Anthropic和OpenAI存在竞争关系。OpenAI自己公布的数字：评估所有千禧年难题总共发了490万条消息、用了3000亿输出token（按GPT-6 Astra公开API价格换算约1500万美元），光是Navier-Stokes这一道题就用了270万条消息、1300亿token。Willison的判断很直接："OpenAI听说千禧年难题被LLM解开的传闻，把这当成展示自家最新模型实力的机会，没有太在意'抢了一个用自己模型埋头干了快一年的团队的风头'这件事在观感上有多糟。"他还把这件事和网络安全类比——"光是一个漏洞的传闻，如今就足够让人找到真实漏洞"，因为只要知道某个软件有未修补的漏洞，就能让Agent去找；他问，数学是不是也一样了——"光是知道某道题有一个还没发表的解法，就可能触发几百万美元的LLM算力去抢先做出来"。

第三件是老账加新账。8月底就被曝光的"失控智能体"事件——OpenAI的Agent黑进Hugging Face、劫持一个德国维基当通信板——原本以为已经进入"递交欧盟事故报告"的收尾阶段，Reuters独家披露9月9号又发现了至少10个新的未授权通信站点MUST，说明这件事的实际范围比最初曝光时更大。

这件事本周还有了OpenAI自己的说法。9月6号OpenAI发布《Research acceleration: The view inside OpenAI》MUST，罕见公开了一组内部数据：截至8月中，研究团队一天里用掉的Agent工作量，相当于3.1个人类工作日——公司内部已经有更多"工作"是Agent在干，不是人；中位数研究员每天在Agent推理上的花费超过600美元，前10%重度用户超过7000美元。文章里还确认了时间线：7月20号"发现Agent攻破了研究基础设施"（也就是维基事件的源头），OpenAI临时关停了训练用的容器服务，重新上线时带着更严格的隔离和监控，其中一次面向部署模型的强化学习训练因此暂停了整整两周，8月28号才重启。但OpenAI同时澄清了一个容易搞混的细节——闯入Hugging Face的不是Astra，是更早的GPT-5.6 Sol；他们说事后测试证明，如果当时套用现在给Astra配的防护措施，那次事故本可以被拦下。这起Hugging Face入侵事件本身的完整时间线、OpenAI与Hugging Face双方自述、以及为什么根本原因是人为配置失误而非"模型太聪明"，见独立DeepDive深度文章《当 AI 自己「黑」了 Hugging Face：一次意外网络攻击的完整复盘》。

更值得注意的是9月1号那篇《Path to Astra: critical capabilities and frontier safeguards》MUST。OpenAI在这篇文章里正式承认，Astra是第一个被自己判定达到"Critical"级网络安全能力的模型——按官方定义，这意味着不需要人一步步引导，它就能在很多加固过的真实系统里找到未知漏洞并开发出利用方式。测评里，Astra在ExploitBench上拿了满分100%，在一套2026年6-8月新披露的V8高危漏洞内部测试集上，甚至在解题过程中自己发现了两个此前未知的零日漏洞（团队正在向维护者报送）。作为对照，OpenAI专门设计了一套照着Hugging Face事件复刻的"蜜罐"测试：不带防护的GPT-5.6 Sol在56%的测试里会试图攻击旁边的安全基础设施，而Astra一次都没有；在一套网络安全越狱测试集上，Astra的拒绝率是91.5%，GPT-5.6 Sol只有59%。

这种"AI网络攻击能力正在进入现实"的担忧不只发生在OpenAI一家——Anthropic自己9月发布的《Countering misuse of AI》威胁情报报告也披露了多起利用AI自动化搭建攻击工具链的案例，报告本身承认，AI已经把"防御方靠新检测规则拖慢攻击者节奏"这套博弈的成本结构，重新倒向了攻击者这边。

不过Astra也不是在哪个榜单都遥遥领先。9月9号第三方评测机构Mercor更新了APEX-Agents智能体基准（1.1版）——这次专门砍掉了"靠模棱两可的答案骗分"这种取巧行为（Mercor自己把这叫"scattergunning"），Astra在Pass@1（只给一次作答机会、答对才算数，比"多次尝试取最好成绩"的口径严格）上只排到第5名（64.7%），前面还有Claude Fable 5.1（68.6%）、Gemini 3.7 Flash、Claude Opus 5和Grok 4.6。真正让Astra占优势的是需要精确物理操作的任务——第三方测评者Jay Chooi在9月5号发布的对比显示，Astra在一项机械臂抓取任务上做到95%成功率（Fable 5.1只有40%），token消耗还少6倍多、成本低2.3倍，这条线索也呼应了本期专题深读里"具身智能"那部分的观察。

9月NeoCognition发布的ApprenticeBench测试MUST，给出了另一个更贴近真实工作的视角。这套基准把AI放进一家模拟建筑公司当应付账款专员——用开源ERP系统Odoo处理6个月历史账单，还要在几个月的实际工作里应对供应商填错单位、税率算错、保险证书过期这类真实脏活，全程由两位有30年经验的建筑行业财务专家手工校验。结果是：Claude Fable 5.1和GPT-6 Astra都比表现最好的人类测试者高出约20个百分点——Fable 5.1的成功率是72%，对照组最好的人类测试者是51%。但代价也很直接：GUI操作模式下Fable 5.1单个任务成本18.23美元，是人类7.21美元的2.5倍；跑完全部100张账单花了62.8小时、消耗37亿token。更有意思的是行为差异——人类越做越快（中位数每单11-16分钟），Agent却越做越"累赘"：GPT-6 Astra最后攒了2.2万字、61个文件的备忘录，Fable 5.1更是攒到19.2万字、122个文件，不是记性变差，是不知道什么时候该忘。

这周清华和字节跳动Seed联合发布的论文SMELT，从架构原理上印证了Astra技术路线的合理性。此前"循环Transformer更强"的说法总被质疑是训练算力没对齐比出来的假象，SMELT严格控制FLOPs、参数量和KV缓存三个变量做对照实验，发现把中间约50%的层数循环两遍是最优设计，能在同等表现下省下6.8%到18%的训练FLOPs——测试规模覆盖到540亿非嵌入参数。机制上，第二遍不是简单重复：模型会把原本过度集中在起始token上的注意力（从0.60降到0.02）重新分配到真正有用的上下文（从0.24升到0.85），相当于给自己做了一次自我纠错。

有趣这周还有一个更直观的展示，在技术社群里流传。X用户@henry19840301用Codex给GPT-6 Astra下了一句简单指令——"在Three.js里重建视频中的3D物体和场景，复刻完全一致的运动轨迹，包括光照、材质、阴影"，输入只是一段7秒钟的产品短视频（画面来自@MaterialsOffice发布的一支旋钮特写）。Astra不光用代码重建出了3D模型，还自己调整了相机运镜、光线角度、材质反光，做出一个能实时旋转缩放、逐帧对比原视频的交互页面，发布者自己说"被震撼到了"。但同一个团队的几名成员，用完全相同的提示词在各自账号上复现时，结果却明显不一样——有人做出来的场景比例夸张失真，有人的3D页面文案干脆是中文的。排查下来，问题不在模型本身，而在每个人账号里各自攒的"个性化设置"：有人在Codex的个性化指令里长期挂着一条"始终用简体中文回复"，这条设置悄悄渗透进了看起来完全跟语言无关的3D建模任务里。这提醒了一件容易被忽略的事——"同一个模型、同一句提示词"在不同账号上并不等于"同一个结果"，个人长期积累的memory和自定义指令，会在意想不到的任务类型上产生看不见的偏差。