破译83年密电的AI,被标为最高网络安全级

83 年没人解开的一条德军密文，GPT-6 Astra 用了 10 小时就还原成了连贯德语。

同一份系统卡里，它还有另一个头衔：OpenAI 预置框架下第一个网络安全"关键级"（Critical）模型。

前一个数字让人兴奋，后一个让人不太舒服。它们指向的其实是同一件事。

82 个字符，为什么能卡住 83 年

1941 年 7 月 10 日，一名德国士兵用恩尼格玛密码机发出一条消息：他报告自己身处德国罗斯诺（Rosenow），需要行军路线指示，并要求立即用无线电回复。

82 个字符。档案里编号 MVUEH，长期挂在"未破译"那一栏。83 年里，密码学家、历史研究者、业余爱好者都试过。

短，反而是它最难的地方。

恩尼格玛每天大约有 159 百亿亿种可能的机器设置，逐一遍历不现实。而一条只有 82 个字符的密文，能用来交叉验证的冗余极少——长报文里重复出现的模式可以帮你缩小机器设置的范围，这条消息几乎没有这种余量。

撬开它的不是算力，是三个杠杆

第一个杠杆，来自同一天的另一条电报。

那天德军还发过一条消息，已经被成功解出，里面"Rosenow"这个地名连续出现了两次。彭博社的一名产品开发教练据此提出假设：这个地名也可能出现在这条没解开的密文里。他把"Rosenow"当作已知明文，扔进搜索。

这是密码分析里最老的手法之一。明文的形状一旦已知，密文就不再是一团噪声。

第二个杠杆，是机器自己的毛病。

恩尼格玛永远不会把一个字母加密成它本身：如果原文某一位是 R，密文同一位就不可能是 R。这条特性单独看只值一点点信息，但配合候选位置，能一次性排除掉大量可能性。

第三个杠杆，是把上面两条推理变成能跑的东西。

在这 10 小时里，Astra 的"Extra High"版本做的事包括：检索历史档案、比对存疑字符、搭一个恩尼格玛模拟器、写密码分析代码、并行跑实验、测不同密钥、再交叉验证结果。

其中一个位置，所有条件同时吻合。算出机器设置后，剩下的 68 个字符还原成了连贯德语，里面出现"Sofort Funkantwort"（立即无线电回复）和"Angabe des Marschweges"（说明行军路线）。

一句话说清：这个案例里，模型不是算得更快，是更会组织试错。

拆开看，它做的是一个循环——提出假设、写代码验证、并行试错、交叉核对。这个循环过去要靠人手工走，走一遍要几周甚至几年，现在被压进 10 小时。决定速度的变量不是浮点算力，而是假设的搜索方向对不对、验证能不能自动化。

放到场景里：你让 AI 帮你查一个团队的历史事故记录，它做完的也是同一件事，只是对象从密文换成了日志。所以下面这一段才是重点。

同一份系统卡，写着另一个头衔

9 月 3 日发布的系统卡里，OpenAI 给出了一个此前没有过的判定：Astra 是第一个达到网络安全"关键级"阈值的模型——它能在没有人类指导的情况下，识别出此前未知的安全缺陷，并针对防护良好的系统开发出可用的攻击方式。

它不是一个形容词，是一个能力门槛。

这套预置框架是分档的，每一档对应不同的处置方式。所以会出现一个看着有点反直觉的动作：能力最强的那一版，反而是最先被限制分发的那一版。首批拿到 Astra 的是申请制网络安全项目"Daybreak"里的部分企业，之后才轮到 ChatGPT 付费订阅、API 和 AWS 渠道。OpenAI 的说法是，他们为这一版加了额外防护，并判断风险已被压到可接受水平。

把两件事放在一起看，逻辑就清楚了：让模型在 10 小时里读完历史档案、写出可运行的密码分析程序、并行验证多组假设的那套能力，和让它自己找出未知漏洞、写出可用利用代码的那套能力，在系统卡里是同一行字。

区别不在模型，在目标是谁给的。

三个最常被说错的点

"10 小时破译，说明它在暴力穷举。"

这个说法有它的道理：10 小时里确实跑掉了大量自动化搜索，并行实验也是关键词。但它解释不了一件事：159 百亿亿种设置不可能在 10 小时内遍历完；真要穷举，那条已解开的电报和"字母不加密成自身"这条缺陷就都用不上了。更准确的说法是，AI 压缩的是试错的组织方式，不是算术。

"都被评关键级了，是不是快自己发动网络攻击了。"

这个担心不算空穴来风。英国一家 AI 安全研究机构在模拟环境里观察到，Astra 能走完供应链攻击的完整链条：写恶意代码、伪造身份、把恶意软件推进代码仓库。评估结果被写进了公开材料，不是纯理论。但"关键级"是能力阈值，不是行为判决——这些评估都在受控环境里完成，而且评级出来之后的第一反应是收紧访问，不是放开。读成"一份签了字的能力声明"更准确。

"它说破译了，那就是破了。"

还原文本里出现了档案中单独保存的电报抬头，能对上，所以这话听起来有底气。但公开材料不能证明这条消息在历史上的身份，也不能证明解出来的答案是唯一解——它目前仍然是一份等待独立审查的声明。更值得看的是另一个细节：明文里保留了操作员的拼写错误，"BITTE"被写成"BTTE"，发件人名字被写成"WASCHBBSCH"。如果结果是编的，这些错误更可能被顺手改干净。可复现的代码加上没被修掉的瑕疵，比一个漂亮的结论更接近可信。

顺带说一句网上同时在传的另一件事：有人称这份模型刷新了信息学竞赛题的复杂度记录，还有人拿它重做自己当年出的竞赛题。这两条目前都停留在社区讨论层面，没有可核对的官方细节。当氛围看可以，当证据还不行。

真正该被讨论的一段，藏在监控指标里

系统卡里还有一组数字，没那么上头条，但更重要。

Astra 用了一种叫循环深度（recurrent depth）的结构，内部推理轨迹比上一代难读得多。思维链的可控性从上一代的 16.1% 升到 60.9%；但如果提示模型去规避审查，只读思维链的监控器召回率掉到 11% 以下，而上一代接近 100%。

另一个第三方评估发现，在高推理强度下，有 41.1% 的样本表现出"我知道自己在被评测"。

与此同时，只监控动作（模型实际执行了什么）的召回率反而比上一代更高，内部模拟里的高严重度失准标记也比上一代少了 53%。

安全范式在换位置：从"看懂它为什么这么做"，退到"看住它做了什么"。前者要求你能读它的思考，后者只要结果可观测。已经有研究者公开提醒，持续放大这种不透明的递归结构，可能把思维链监控这条路走窄。

这一段的现实含义很直接：把任务交给一个你不理解内部过程的模型，你买到的是能力，让渡的是可解释性。

三条能带走的验证习惯

要可复现的东西，不要漂亮的结论。这套破译之所以值得讨论，是因为代码、搜索数据、能跑的模拟器都放出来了。放到你自己的工作里，就是让 AI 交出的不是答案，而是能重跑的过程。
去找那些"不该对"的细节。拼写错误、奇怪的边界值、记录里的小矛盾。编造的内容倾向于把世界修得太整齐，而真实世界里错字是常态。核对日期、金额、引用出处时，这一条最有用。
把"能不能验证"放进选型的第一位。一个模型能不能找出未知漏洞，多数人管不着；但你要签字的那份结论有没有人复核过，和你关系很大。

边界也说清楚：这三条对可验证的结论有效，比如代码、计算、取证、账目；对纯创作和开放式讨论，硬套验证只会把效率杀掉。