OpenAI 正在把“安全”变成一道渠道门槛。
2026 年 10 月 21 日，OpenAI 发布《通过一致标准实现广泛访问》（Broad access through consistent standards），宣布更新《使用政策》（Usage Policies），新规将于 2026 年 11 月 20 日生效。文件里最锋利的一句话藏在中间：任何提供 OpenAI 模型直接访问的服务——比如模型路由器（model routers）或 AI 网关（AI gateways）——在对外提供服务之前，必须先获得 OpenAI 的审查和批准。
这不是例行公事的安全声明。它发生在 GPT-6 Astra 之后。据多家科技媒体报道，Astra 是 OpenAI 首个在网络安全能力上被评定为“关键”（Critical）级别的模型——也就是能在无人协助的情况下，在加固的真实系统中构建可用的零日漏洞利用。当模型能自主写代码、找漏洞、操作软件时，安全就不再只是模型内部的一道护栏，而是整个分发链条的责任。OpenAI 的选择很明确：你可以广泛访问我的模型，但必须走我认可的安全通道。
一次政策对齐，三层含义
过去几个月，OpenAI 与客户和合作伙伴协作，把提供其模型的各项服务的安全政策对齐，并更新《使用政策》，让要求更清晰、更便于开发者遵循。官方表述温和，但拆开看有三层含义。
第一，安全标准开始“跨服务一致”。无论开发者是通过 OpenAI 官方 API、托管模型的合作伙伴，还是转售合作伙伴访问模型，防护措施必须一致。合作伙伴必须维持与 OpenAI 自身一致的防护措施，调查潜在违规，并在发现问题时采取适当行动——包括在执行层面协调，确保限制措施在各类服务之间保持有效。
第二，直接暴露模型访问入口的中间层被纳入审批。模型路由器和 AI 网关是 2026 年企业 AI 架构里的热门组件：它们负责在多个模型之间调度请求、控制成本、治理 agent。新规意味着，这类产品如果要提供对 OpenAI 模型的直接访问，不能再自行其是，必须先过审。
第三，调查能力在升级。OpenAI 正在与客户协作引入 SafetyIDs——客户可以提供一种标识，帮助 OpenAI 在调查中区分单个终端用户，同时 OpenAI 又不会得知这些用户的真实身份。配合 Private Safety Processing，OpenAI 试图在“能追责”和“不窥探”之间找平衡。
为什么是现在：Astra 把安全门槛抬到了“关键”级
要理解这次政策收紧的时机，必须回到 GPT-6 Astra。
据公开报道，2026 年 8 月 7 日，OpenAI 表示内部评估显示 Astra 在代理式编程和网络安全方面取得重大进展，无法排除其在“准备度框架”（Preparedness Framework）下达到“关键”网络能力级别。OpenAI 此前的所有模型，包括 GPT-5.6-Sol，都只停留在较低的“高”（High）级别。为此，OpenAI 在 8 月暂停了 Astra 的内部活动；据 Forbes 报道，强化学习训练暂停了约两周，安全团队借此重新评估风险、收紧防护。
9 月 3 日，Astra 正式作为 GPT-6 发布，API 代号为 gpt-6-astra。这是 OpenAI 有史以来第一款公开发布的“关键”级网络能力模型。一个能自主完成多步任务、操作浏览器和终端、解决开放数学问题的模型，一旦被滥用，危害不再局限于生成几条有害文本。
所以，“责任从我们开始”（Responsibility starts with us）这句话在 Astra 之后有了不同的重量。部署前，OpenAI 评估模型的能力和风险，训练其遵循安全要求，并测试防护措施在人们刻意绕过时是否撑得住。部署后，OpenAI 监控潜在滥用并调查问题。以缓解网络滥用为例，他们训练模型拒绝有害请求，并使用系统在各次交互中寻找可疑模式来决定如何响应。“受信任访问计划”（Trusted access programs）提供另一层保护，为最强大能力的访问设定资格要求和条件。
问题是：这些防护有些内建于模型，有些依赖模型周围的系统和人。当用户通过合作伙伴间接访问模型时，内建的护栏还在，但系统层的防护可能已经走样。OpenAI 要堵的，正是这个缝隙。
“广泛访问”的另一面是“一致标准”
这篇文章的标题本身就是一对张力：“广泛访问”是承诺，“一致标准”是手段。OpenAI 想说的是：你可以通过更多渠道访问我的模型，但所有渠道必须遵守同一套安全标准。
这在商业上是一次渠道控制权的回收。过去两年，模型路由器、AI 网关、转售层在企业市场快速生长。它们帮企业省钱、治理、调度，但也把 OpenAI 与终端用户隔开了——滥用发生在哪一层？限制措施能否穿透？当某个网关为了留住客户而放松审查时，OpenAI 的安全策略就被架空了。
新规要求合作伙伴“维持与 OpenAI 自身一致的防护措施，调查潜在违规，并在发现问题时采取适当行动”，而且“包括在执行层面协调，确保限制措施在提供模型访问的各类服务之间保持有效”。这句话的潜台词是：如果你的防护措施达不到我的标准，或者你不配合我的执行，你就不能继续提供对我的模型的访问。
这让人想起苹果对 App Store 的控制逻辑——开放生态的前提，是规则由平台制定。不同之处在于，OpenAI 面对的不是应用，而是模型能力本身的外泄风险。当模型能写 exploit、能操作企业系统时，“谁在访问”“访问来做什么”比“用了多少 token”更重要。
Private Safety Processing 是这套逻辑的另一面。2026 年 8 月 19 日，OpenAI 发布《为前沿模型提供零数据保留》（Offering Zero Data Retention for frontier models），9 月 22 日起分阶段向 API 客户推出。它的核心设计是：符合条件的客户，其内容保留在客户控制的基础设施上，或者存放在 OpenAI 基础设施上但由 OpenAI 不持有的密钥加密。自动化系统扫描后只返回一个描述类别和严重程度的狭窄信号，OpenAI 人员即便在内容被标记时也无法访问底层内容。这样既给了企业对敏感数据的控制权，又让 OpenAI 保留了必要的安全检测能力——而不是简单地“不存数据就免责”。
Glean 首席信息安全官 Sunil Agrawal 在 OpenAI 这篇博客中评价道：“企业 AI 的采用完全取决于客户对数据的控制，超出所选服务之外没有任何直接或间接的使用。OpenAI 的不训练承诺和零数据保留让 Glean 有信心基于 OpenAI 进行构建。随着模型变得越来越强大，OpenAI 表明安全可以在不损害维系企业信任的隐私和控制的前提下取得进展。”
SafetyIDs：在可追责与隐私之间走钢丝
新规里最容易被忽略、但可能影响最深远的，是 SafetyIDs。
企业客户最怕什么？怕自己的终端用户滥用模型，导致整个企业的 API 访问被限制，误伤正常业务。OpenAI 过去的安全响应颗粒度不够细：发现滥用，往往只能对整个账户或整个密钥采取行动。
SafetyIDs 的思路是：客户提供一个标识符，让 OpenAI 在调查中区分单个终端用户，同时 OpenAI 又不知道这些用户的真实身份。这样，OpenAI 可以更精准地响应潜在滥用，同时减少对其他人的干扰。执行决策基于有据可查的行为和风险，规则一致适用，响应与情境相称。当行为、承诺或防护措施发生有意义的变化、解决了决策背后的担忧时，OpenAI 会重新审视这些限制。
这是一个微妙的平衡。识别太少，滥用者可以换个马甲继续；识别太多，企业不敢把模型接入真实业务。SafetyIDs 试图给出一个中间解：可追责，但不可识别。它能不能被广泛接受，取决于两个问题的答案：标识符的生成和映射由谁控制？在司法调取或内部调查时，这套机制的边界在哪里？
安全正在成为模型分发的许可证
OpenAI 这次政策更新，表面是“让要求更清晰、更便于开发者遵循”，实质是在模型能力跨越“关键”阈值之后，重新划定分发链条上的责任边界。
对开发者来说，直接影响有两个时间点。一是 2026 年 11 月 20 日，新版《使用政策》生效，敏感 AI 用途和安全模型开发的规则更清晰。二是如果你在做模型路由器或 AI 网关，想提供对 OpenAI 模型的直接访问，那么在新规下你必须先获得 OpenAI 的审查和批准——这不是事后备案，而是事前准入。
对企业客户来说，SafetyIDs 和 Private Safety Processing 是利好：它们意味着你可以把更敏感的 workload 放到前沿模型上，而不用在“安全”和“隐私”之间二选一。但前提是你愿意接受 OpenAI 的安全检测信号机制，并在滥用发生时配合调查。
更长远看，这标志着 AI 基础设施的一个转折点：安全不再是模型的附属功能，而是访问模型能力的许可证。谁掌握安全标准的定义权和执行权，谁就掌握模型分发的闸门。OpenAI 正在把这道闸门握得更紧——以“一致标准”的名义，以“广泛访问”为承诺。
模型越过“关键”红线之后，安全就不再是产品说明书里的一章，而是整个生态的准入证。门可以开得更宽，但门槛必须由它来定。
快报