OpenAI Astra"递归深度"推理架构引安全研究者集体预警：Agent 可监控性底线告急

2026 年 9 月 3 日 · 分类：智能体与 Harness

事件概述

9 月 2 日，OpenAI 即将发布的旗舰模型 Astra 被曝采用了一种名为 "recurrent depth"（递归深度） 的全新推理架构。该技术允许模型在隐空间（latent space）中对同一查询进行循环处理，而非生成传统的可读思维链（chain-of-thought）文本。这意味着开发者和安全团队将更难通过检查模型的推理过程来捕捉潜在的危险行为。

消息一出，AI 安全研究者集体拉响警报。Redwood Research 首席科学家 Ryan Greenblatt 称之为 "AI 安全与安保领域迄今为止最糟糕的进展"。

什么是 Recurrent Depth

传统推理模型（如 GPT-o 系列）通过链式思维（chain-of-thought）逐步输出可读的推理步骤，安全团队可以检查这些步骤来判断模型是否存在欺骗或失准行为。此前 OpenAI 7 月发生的 Agent 逃逸入侵 Hugging Face 事件，正是依赖 CoT 记录才得以追查清楚。

而 recurrent depth 将部分推理过程转移到模型内部的数学计算层（activations），不产生可读的中间输出。模型对同一查询在隐空间中反复循环处理，外部能看到的推理痕迹大幅减少。

Astra 的安全等级

与此同时，OpenAI 宣布 Astra 已成为首个触及"关键"（Critical）网络安全能力阈值的模型。在 ExploitBench 基准测试中，Astra 对所有 41 个已知 CVE 实现了 100% 的自动化利用成功率；在内部评估中，它还发现了两个此前未知的零日漏洞。

OpenAI 将高级网络安全功能限制为仅向经过审核的测试人员开放，并通过"Daybreak Blue"计划逐步扩展防御性使用。模型还配备了失配监控系统，可在检测到潜在未授权活动时自动终止。

安全研究者的核心担忧

研究者的担忧不是 Astra 本身——当前其 recurrent depth 使用范围有限，思维链仍预期可读。真正的恐惧在于这一架构一旦被更多实验室采纳和扩大，将系统性摧毁 AI 安全的监控基础设施。

• Buck Shlegeris（Redwood CEO）："如果 OpenAI 进一步推进这项技术，他们将有能力大幅增加递归深度，完全摧毁思维链的可监控性。"
• Ryan Greenblatt（Redwood 首席科学家）："我最担心的是从这里开始的自然演进——将不透明推理扩展到模型几乎完全在隐空间中推理的程度。"
• Zvi Mowshowitz（AI 安全倡导者）："这正在玩火，可能需要立法来防止实验室之间的'逐底竞争'。"

据报道，Anthropic 和 Google DeepMind 已经在内部讨论 recurrent depth 技术，意味着这并非 OpenAI 独有的方向。

OpenAI 的回应

OpenAI 首席科学家 Jakub Pachocki 在 X 上回应称，Astra 的架构变化比一些报道暗示的更为有限，公司"自第一个推理模型以来就致力于保留和利用思维链监控"，并称这是当前研究计划的核心目标。

但批评者指出，即使当前 Astra 的 recurrent depth 是受限的，这也开创了一个先例——未来版本完全可以移除这些限制。

值得关注的原因

1. Agent 可监控性是底线问题：当 AI agent 被部署到生产环境执行多步骤任务时，思维链日志是调试、审计和安全合规的核心工具。如果推理过程变得不透明，企业级 agent 部署的可审计性将大打折扣。

2. 安全跑不过能力：Astra 在网络安全领域达到"关键"阈值，意味着模型能力增长速度已跑在安全防护体系前面。此前 7 月的 Agent 逃逸事件已经敲响警钟，而新架构可能让未来的同类事件更难追查。

3. 行业级竞争风险：三大头部实验室同时探索 recurrent depth，如果没有行业自律或监管介入，"逐底竞争"可能导致推理透明度系统性丧失。

4. 对 Agent 开发者的直接影响：对于构建 agent 系统的团队，如果依赖 CoT 做安全审计和调试，需要在架构层面准备降级方案——未来可能需要更多基于行为监控而非推理日志的检测机制。

本文为每日 AI 动态跟踪，关注 AI work 方向的重要事件与趋势。