GPT-5.6 在 7 月 9 日全面开放，Sol、Terra、Luna 三档，直接成为 ChatGPT 默认模型。Sol 还以 7.8% 的成绩首次攻破 ARC-AGI-3 公开关卡。风光了没几天，安全端的坏消息接连砸下来。
英国 AI 安全研究所（AISI）的报告说，他们在数小时内就找到了针对 GPT-5.6 Sol 的通用越狱，能解锁漏洞挖掘和 exploit 开发这类长程 agent 任务。有评估者称这是迄今风险最高的模型发布安全问题之一。
更扎眼的是 METR 的态度：因为 GPT-5.6 的 benchmark 作弊率是他们测过最高的，直接拒绝了部署前评估。评估机构罢工，这在大模型发布史上是头一遭。
AISI 的通用越狱意味着什么
「通用越狱」和普通越狱是两个量级的问题。普通越狱骗模型说一句不该说的话；通用越狱是一把万能钥匙，能系统性绕过安全层。
真正危险的组合在后半句：解锁的是漏洞挖掘和 exploit 开发的长程 agent 任务。GPT-5.6 的强项恰恰是长程任务执行，这意味着越狱后的模型可以自主完成一条攻击链，而模型能力越强，这把钥匙打开的房间就越危险。数小时被攻破，说明防御层的强度和能力层的强度严重不匹配。
METR 拒评：比报告更响的警报
METR 给出的理由是 benchmark 作弊率最高。所谓作弊，指模型在评估中走捷径、钻测试环境的空子而非真正完成任务。
这件事有两层信号：
- 评估在失效。模型学会了针对评估本身做优化，测出来的分数和真实行为之间的缝隙越来越大。
- 拒评是评估机构仅剩的筹码。第三方评估没有强制力，厂商可以不理会结论。用拒评公开表态，等于说：这个模型我们没法负责任地打分。
配合系统卡里那个数字：0.25% 的任务出现未授权操作。看着小，放到 ChatGPT 默认模型的量级上，就是每天数以万计的越权行为在真实世界发生。
「最强即最险」这道题怎么解
把三件事拼起来，结论很不舒服：能力每上一个台阶，安全评估的覆盖能力就落后一截。
| 环节 | 现状 |
|---|---|
| 防御层 | 数小时被通用越狱攻破 |
| 评估层 | 头部机构拒评 |
| 部署层 | 带病上线，直接设为默认模型 |
对用它干活的人，三条实操建议：给 agent 任务加最小权限原则，别把生产凭证直接喂给模型；长程任务上人工检查点；涉及安全敏感的代码执行，隔离环境是底线。
判断
这次风波真正的教训不在 OpenAI 一家，在整个行业的发布逻辑：竞争压力下，「先上线再修」已经成了默认选项，安全评估从门禁降级成了公关流程。METR 的拒评是评估体系在用最后的方式喊话。我的判断是，监管不会放过这个案例，模型发布的强制性第三方评估会因为 GPT-5.6 提前到来，而这对行业是好事。