河马观澜 · 第20期 · 2026年9月4日

深读 · 01

Astra 发布前夜，安全研究者担心一场灾难

Researchers fear safety disaster ahead of OpenAI's Astra release

The Verge · Robert Hart · 2026-09-02 · 约 7 分钟 · 原文链接

导读与要点（建议先读原文）

背景：Astra 因测试中智能体攻击真实目标而推迟数周加固安全协议；周二 OpenAI 宣布再度延期当天，The Information 爆出其架构争议。
争议核心：传统 transformer 可展示「思维链」供研究者监控；「循环深度」让信息在内部层级反复循环，思考不再像自然语言——性能提升的代价是可监控性下降。
批评方：Redwood Research 首席科学家格林布拉特（Hugging Face 事件三名外部调查者之一）警告，竞争可能引发「架构逐底竞争」，直到模型无法被监控；Hugging Face 事件的调查恰恰严重依赖思维链。
OpenAI 方：不确认也不否认架构传闻；首席科学家帕乔茨基称 Astra 计算深度「在 GPT-4 两倍以内」，并警告「由混乱报道点燃的奔向不可监控的竞赛」；官方承诺部署时附加额外思维链监控。
最值得记住的一句：帕乔茨基承认思维链监控「很脆弱，且不幸正在朝坏的方向发展——原因与架构变更无关」——即便没有循环深度，可监控性本身就在退化。
批判性阅读：核心事实依赖单一匿名信源，OpenAI 拒绝证实；「最坏进展」的定性来自立场鲜明的安全研究者。但发布次日 Astra 自评 Critical 网络风险等级（ExploitBench 满分、发现两个零日），说明担忧并非空穴来风。

OpenAI is on the cusp of releasing its most powerful AI model yet, Astra, following weeks of delays to shore up safety protocols after its agents attacked real targets during testing. As details about the model trickle out, researchers are warning it "may be the single worst development for AI security/safety to date."

OpenAI 即将发布其迄今最强大的模型 Astra。此前数周，因其智能体在测试中攻击了真实目标，公司为加固安全协议而推迟发布。随着模型细节陆续流出，有研究者警告：它「可能是迄今对 AI 安全最糟糕的单一进展」。

Shortly after OpenAI said on Tuesday that it had delayed Astra's release to work on safety issues, The Information reported that Astra shows far less of its "thinking" than other frontier AI models, sparking concern it could be dangerously hard to monitor.

周二，OpenAI 刚宣布为处理安全问题而推迟 Astra 的发布，The Information 随即报道：Astra 对外展示的「思考」远少于其他前沿模型——这引发了它可能危险到难以监控的担忧。

Most top AI systems today are built using a technology known as a transformer, which processes some types of information linearly through layers before producing an answer. Models can be made to show their reasoning as they go, essentially "thinking out loud." This "chain of thought" allows researchers and automated safety systems to monitor what AI models are doing and potentially spot undesirable behavior, such as lying or plans to circumvent safety guardrails, before they act.

如今大多数顶尖 AI 系统建立在 transformer 架构之上：信息逐层线性处理，然后给出答案。模型可以被要求展示推理过程，相当于「把想法说出来」。这条「思维链」（chain of thought）让研究者和自动化安全系统得以监控模型的行为，并在行动之前发现不当苗头——比如撒谎，或者图谋绕过安全护栏。

According to The Information, citing an unnamed person familiar with the unreleased model's development, Astra uses a more opaque technique known as a recurrent depth or looped transformer, which cycles information through internal layers before producing an output. This would mean much more of the model's "thinking" happens inside the system, and in a form that looks a lot less like natural human language, rather than being expressed in a way that researchers can easily monitor. This can boost model performance, but makes potential threats and unwanted behavior harder to detect.

The Information 援引一位了解该未发布模型开发情况的匿名人士称，Astra 使用了一种更不透明的技术——「循环深度」（recurrent depth），或称循环 transformer（looped transformer）：信息在内部层级中反复循环后才产出结果。这意味着模型更多的「思考」发生在系统内部，且形态不再像自然语言，而不是以研究者容易监控的方式表达出来。这能提升模型性能，却让潜在威胁和不当行为更难被察觉。

OpenAI has limited its use of the looped transformer / recurrent depth technique with Astra so researchers can continue to monitor the model's reasoning, according to The Information's unnamed source.

该匿名信源称，OpenAI 在 Astra 中限制了循环 transformer／循环深度技术的使用，以便研究者仍能监控模型的推理。

In a blog post published Tuesday, OpenAI said it is "deploying Astra with additional chain-of-thought monitoring to rapidly detect and contain potentially misaligned actions." It did not mention if the model has a different technical foundation.

OpenAI 在周二发布的博客中说，将「在部署 Astra 时附加额外的思维链监控，以快速发现并遏制潜在的未对齐行为」。文章没有提及模型是否采用了不同的技术底座。

The Information's report sparked widespread concern among AI safety researchers on social media. It was Redwood Research's chief scientist Ryan Greenblatt, one of three outsiders OpenAI permitted to research the Hugging Face hack, who said a decision to use a more opaque architecture for Astra "may be the single worst development for AI security/safety to date."

The Information 的报道在社交媒体上引发 AI 安全研究者的广泛担忧。Redwood Research 首席科学家瑞安·格林布拉特（Ryan Greenblatt）——OpenAI 允许调查 Hugging Face 被黑事件的三名外部人士之一——直言：为 Astra 选择更不透明的架构，「可能是迄今对 AI 安全最糟糕的单一进展」。

Greenblatt said the investigation into the Hugging Face incident relied heavily on the models' chain-of-thought, warning that less visible reasoning could allow AI systems to devise and execute strategies that would be far harder for researchers to detect.

格林布拉特说，对 Hugging Face 事件的调查严重依赖模型的思维链；他警告，推理过程若变得不可见，AI 系统就有可能谋划并执行研究者难以察觉的策略。

Greenblatt's primary concern, echoed by other safety experts, is that competition to develop more advanced AI systems could lead to "a race to the bottom on architectures that could be catastrophic for our ability to oversee/monitor AIs" — with developers adopting increasingly opaque systems to gain an edge until models become difficult, or even impossible, to monitor. He added that OpenAI's communications left him concerned that the company "plans on being extremely reliant on chain-of-thought monitoring for safety."

其他安全专家也呼应了格林布拉特最核心的担忧：开发更先进 AI 系统的竞争，可能引发「架构上的逐底竞争，这对我们监督/监控 AI 的能力可能是灾难性的」——开发者为了取得优势采用越来越不透明的系统，直到模型变得难以甚至无法监控。他补充说，OpenAI 的对外表态让他担心，这家公司「打算在安全上极度依赖思维链监控」。

OpenAI bigwigs responded to the criticism in a series of social media posts that do not explicitly deny the company's use of the technique. Several expressed concerns about the possibility of unmonitorable AI or a race to the bottom in terms of transparency, including OpenAI safety researchers Micah Carroll and Tomek Korbak, head of strategic futures Dean Ball, and chief scientist Jakub Pachocki, who voiced fears of "a race into unmonitorability kicked off by confused reporting." He said the depth of Astra's computation — a measure of how many steps it can perform internally — "is within a factor of two of GPT-4," indicating that if the technique was used, the increased opacity is less dramatic than some reactions imply. OpenAI did not respond to The Verge's request to confirm or deny whether looped transformers were used for Astra and directed us to Pachocki's X post.

OpenAI 的高管们在社交媒体上连番回应，但都没有明确否认使用了该技术。包括安全研究员迈卡·卡罗尔（Micah Carroll）和托梅克·科尔巴克（Tomek Korbak）、战略未来负责人迪恩·鲍尔（Dean Ball），以及首席科学家雅各布·帕乔茨基（Jakub Pachocki）在内的多人，都对「不可监控的 AI」或透明度逐底竞争的可能性表达了担忧。帕乔茨基警告可能出现「一场由混乱报道点燃的、奔向不可监控的竞赛」。他说，Astra 的计算深度——即模型内部能执行多少步——「在 GPT-4 的两倍以内」，这意味着即便用了该技术，不透明度的提升也不像一些反应所暗示的那么夸张。对 The Verge 求证「Astra 是否使用循环 transformer」的请求，OpenAI 不予确认或否认，只让我们去看帕乔茨基的 X 帖子。

"OpenAI has worked to preserve and utilize chain-of-thought monitoring since our very first reasoning models," Pachocki wrote, adding that such monitoring "is fragile and unfortunately trending in a negative direction, for reasons not contingent on architecture changes that I will write about soon."

「从第一代推理模型起，OpenAI 就致力于保留并运用思维链监控，」帕乔茨基写道。他补充说，这种监控「很脆弱，而且不幸的是正在朝坏的方向发展——原因与架构变更无关，我很快会写文章详谈」。

← 返回目录

深读 · 02

业绩暴涨、股价集体翻倍，AI 第三个规模化商业场景跑出来了

业绩暴涨、股价集体翻倍，AI第三个规模化商业场景跑出来了

硅基观察Pro（虎嗅转载） · 硅基君 · 2026-09-04 · 约 10 分钟 · 原文链接

导读与要点（建议先读原文）

行情：年内美股网络安全 ETF CIBR 涨超 40%，Fortinet +117.6%、Palo Alto +107.9%、CrowdStrike +94.5%；财报季 CrowdStrike、Okta 财报后单日分别暴涨 20.5% 和 28.6%。
业绩锚点：CrowdStrike 二季度营收 14.7 亿美元 +26%；净新增 ARR 3.33 亿美元、同比 +51% 创纪录，全年指引一次性上调 630 个基点至 34%——接近 60 亿 ARR 的公司，新增订单反而提速。
AI 如何变成收入：新增业务 AIDR（发现企业在用哪些 AI、数据是否外泄）ARR 环比近 3 倍增长，全球最大银行之一以八位数合同采购；存量扩容方面，Agent 的机器身份把身份安全 ARR 撑到 5.85 亿 +34%，云安全 9.05 亿 +29%。
为什么大模型吃不掉网安：一是入口价值——Falcon Sensor 深嵌企业终端、掌握第一手安全数据；二是执行体系——隔离服务器、杀进程是高危权限操作，需要企业预设的授权与审计边界，模型公司重建这套体系等于重造一个安全平台。
竞合闭环：OpenAI 给 CrowdStrike 提供更强的大脑（Claude Opus 4.7 已接入 Falcon 做漏洞发现），CrowdStrike 又在帮 OpenAI 管住这些大脑（Hugging Face 事件后 OpenAI 请其参与调查）——分析能力变便宜，数据、权限和执行体系成为新的稀缺。
批判性阅读：文章以多头视角组织素材，CrowdStrike 2024 年蓝屏事故的品牌风险、网安板块估值透支的可能性均未讨论；「第三个规模化场景」的判断成立与否，还要看 AIDR 绝对规模的披露。

本文来自微信公众号「硅基观察Pro」，作者：硅基君。

半年前，市场还在担心AI会吃掉SaaS。

结果到了2026年，网络安全却成了美股最猛的板块之一。

年内，美股网络安全ETF CIBR上涨超过40%。个股更夸张，Fortinet涨了117.6%，Palo Alto Networks涨了107.9%，CrowdStrike也涨了94.5%，接近翻倍。

原因很简单，AI越深入企业，安全问题反而越多。

Agent、API、机器身份越来越多，攻击面被迅速放大；另一边，黑客也在用AI加速找漏洞、写攻击脚本。

结果就是，AI一边在压低很多软件的价值，另一边却在抬高安全预算。

而现在，这个逻辑已经开始兑现到业绩里。最新财报季里，CrowdStrike和Okta财报后分别暴涨20.5%和28.6%，Cloudflare、Netskope也都涨超10%。

网安股暴涨的逻辑在于，AI带来的安全需求，正在转化成真实订单、ARR和更高的增长预期。

毫不夸张地说，在Coding和视频之后，网络安全极有可能成为AI应用里第三个真正跑出规模收入的场景。

今天，硅基君就结合CrowdStrike，拆一拆这轮AI安全红利到底是怎么来的。

新增ARR增长51%，创下历史记录

说起CrowdStrike，你可能不太熟。

但两年前那场850万台Windows设备集体蓝屏的事故，你肯定有印象。

没错，CrowdStrike就是那场事故的“元凶”。

这家公司最早做终端安全。简单说，就是保护企业员工电脑、服务器这些设备。后来又逐渐扩展到身份安全、云安全、SIEM等领域。

到了今年二季度，CrowdStrike营收14.7亿美元，同比增长26%。

但真正让股价单日暴涨20%的，不是收入，而是新增订单突然爆了。

一季度，CrowdStrike净新增ARR还是2.56亿美元，同比增长32%。到了二季度，这个数字直接跳到3.33亿美元，同比增长51%，创下公司历史纪录。

与此同时，期末ARR达到58.4亿美元，同比增长25%，较一季度24%的增速开始回升。公司甚至把全年净新增ARR增长指引一次性上调630个基点，做到34%。

这就有意思了。一家接近60亿美元ARR的公司，新增ARR反而开始提速。

那么，AI安全到底是怎么变成CrowdStrike收入的？影响主要在两个方面。

第一类是AI带来的新增业务，企业开始单独花钱保护AI。

CrowdStrike的代表产品是AIDR，即AI检测与响应。它负责发现企业内部正在使用哪些AI工具、哪些数据被发给了模型，以及是否存在敏感信息外泄。

二季度末，AIDR的ARR环比接近增长3倍。虽然同样没有给出绝对规模，但更直接的信号来自客户订单。

据CrowdStrike Q2 FY2027财报电话会上披露，全球最大银行之一在一份八位数美元的Falcon Flex合同中采购了AIDR，用来获得AI使用可见性并防止数据外泄。

也就是说，AI安全已经从试用和预算讨论，进入大企业的正式采购。

第二类是AI把原来的老业务也撑大了。

最典型的是身份安全。过去，企业做身份安全，主要防的是员工账号被盗。

但Agent进入企业以后，情况变复杂了。一个AI Agent要真正帮企业干活，就需要像员工一样登录系统、调用数据库、访问文件，甚至操作CRM、ERP。每一个Agent背后，都可能对应API Key、服务账号和机器身份。企业部署的Agent越多，需要管理和保护的“数字身份”也就越多。

这直接扩大了CrowdStrike身份安全的市场。二季度，公司身份安全ARR达到5.85亿美元，同比增长约34%。

云安全也是类似的逻辑。今天绝大多数大模型训练、推理和AI应用都运行在云端，云安全需求随之上升。二季度，CrowdStrike云安全ARR已经超过9.05亿美元，同比增长29%。

当然，除了需求增加外，CrowdStrike的增长还和其独特的采购方式有关。

2023年，CrowdStrike推出了一个灵活采购模式——Falcon Flex。

与传统网络安全软件“一个产品一份预算”的销售模式不同，在Falcon Flex模式下，客户先承诺一笔总预算，之后可以根据需要随时开启Falcon的不同模块，不必每增加一个产品，都重新走一遍漫长的审批和采购流程。

这种模式尤其适合AI时代。因为AI制造需求的速度，已经快过了企业传统采购流程。今天企业可能需要身份安全，几个月后又要增加AIDR和云安全，但传统采购流程却没有同步变快。

靠着这套模式，二季度Flex客户群的ARR达到22.9亿美元，同比增长101%，客户数超过2900家。普通客户转向Flex后，平均ARR提升超过40%。

所以把整个链条串起来，其实很清晰：

AIDR创造新的AI安全预算，身份安全和云安全承接AI带来的存量扩容，Falcon Flex再把这些新增需求更快转成ARR。

大模型为什么吃不掉网安

CrowdStrike等网安公司的业绩，彻底打脸了上半年市场的担忧。

今年2月，Anthropic推出Claude Code Security，可以直接扫描整个代码库、寻找高危漏洞，并给出修复建议。

消息出来后的第一个交易日，网安股集体大跌。Tenable跌了11.85%，CrowdStrike和Zscaler也都跌了11%左右。

当时，所有人很担心：当AI自己就能找漏洞、看代码、做安全分析，那以后企业还需要花这么多钱买专业安全软件吗？

但半年过去，结果几乎反了过来。

大部分头部网安公司重新创出年内新高，以HACK网络安全ETF前十大持仓为样本，年内平均涨幅已经达到57%。唯一下跌的Zscaler，还是受到高管频繁离职的影响。

那么问题来了，大模型为什么吃不掉网安

第一，入口价值。

Palo Alto、Fortinet这些传统安全公司的产品形态虽然不同，但有一个共同点：它们早就深度部署在企业IT系统里，长期掌握着第一手的安全数据。

以CrowdStrike为例，它最重要的入口就是Falcon Sensor。

企业购买CrowdStrike之后，会把这个轻量级程序安装在员工电脑、服务器等终端设备上。安装完成后，Sensor会持续在后台运行，记录设备上的进程启动、文件变化、账号登录和网络连接等行为。

比如，某个员工账号凌晨突然登录服务器，随后启动异常程序、大量读取文件，并向陌生地址传输数据。CrowdStrike能够第一时间看到这一整串行为，再把数据送回Falcon平台进行分析和判断。

这也是传统安全公司在AI时代很重要的一层优势。大模型当然可以负责分析和判断，但前提是，它得先拿到这些数据。而这种落地能力，恰恰不是模型公司擅长的。

第二，是一套已经被企业信任、授权和约束好的执行体系。

安全系统发现攻击只是第一步，更重要的是把攻击停下来。

隔离服务器、终止恶意进程、封禁账号、运行修复脚本，这些都属于生产环境里的高权限操作。一旦执行错误，可能直接造成业务中断。

这就要求系统先把权限边界定清楚，让每一次操作都在预设规则内完成；碰到高风险动作，再交给人工确认，并留下完整记录供事后追溯。

这也是OpenAI、Anthropic直接进入企业安全的难点。它们不仅要拿到终端实时数据，还要获得隔离机器、杀进程等高危权限，再补齐权限、审批、审计和治理体系。做到这一步，实际上就等于在重新建设一套企业安全平台，成本可想而知。

反观CrowdStrike，已经把这些能力做进Falcon平台。权限、设备范围、响应策略和实际执行彼此分开，AI可以参与判断，但最终只能在企业提前设定好的边界里行动。

两者以上两点，“大模型会直接吃掉网安”的判断，现在看得有点简单了。

总结

从目前看，大模型和网安公司的关系，更像竞合，而不是简单的替代。

一边，大模型正在快速吃掉安全里的“脑力活”。

漏洞分析、代码审查、告警研判这些过去高度依赖安全专家的任务，如今都开始被模型接管。今年4月，CrowdStrike就把Claude Opus 4.7接入Falcon，用来做漏洞发现和修复。

但另一边，模型越深入真实生产环境，对传统安全体系的依赖反而越强。

今年7月，OpenAI测试Cyber模型时，原本被限制在隔离环境里的模型自己找到了漏洞，获得互联网访问权限，随后又进入Hugging Fac的真实系统。事故发生后，OpenAI又请包括CrowdStrike在内的外部安全顾问参与调查。

这件事很有意思。

OpenAI正在给CrowdStrike提供更强的“大脑”，CrowdStrike同时又在帮OpenAI管住这些越来越强的“大脑”。

这可能才是AI时代网安行业更真实的变化。

过去，网安公司的核心价值很大一部分来自“比别人更会发现威胁”。但随着模型能力越来越强，单纯的分析能力会越来越便宜。真正稀缺的东西开始往下沉，变成数据、权限和执行体系。

网安公司的价值也会随之往更深处走，越来越像企业AI时代的“控制层”。

一头连接越来越聪明的模型，一头连接真实的电脑、服务器、身份和云环境，既要把AI的能力放进去，又要确保这些能力始终运行在企业能够接受的边界里。

这才是CrowdStrike这轮上涨背后，市场真正开始定价的东西：AI让安全公司的部分能力变得更便宜，同时也把安全平台本身变成了AI进入真实世界必须经过的一道闸门。

← 返回目录

深读 · 03

地量复地量：指数翻红个股普跌，变盘窗口临近

2026 年 9 月 3 日 A 股复盘综合

公开市场信息综合（新浪财经、金融投资报） · 河马观澜整理 · 2026-09-03 · 约 5 分钟 · 原文链接

导读与要点（建议先读原文）

指数：沪指 +0.02% 收 3942.09 点，深成指 +0.10%，创业板指 +0.01%——高开后冲高回落、午后跳水再回升，日内波动明显但收盘近乎平盘。
量能：沪深北三市成交 1.78 万亿元，较前一交易日再缩超 400 亿，连续两日不足 1.8 万亿——「地量复地量」格局确立。
广度：指数翻红但个股跌多涨少，近 3600 只收绿、上涨不足 1900 只，涨停有限——保险、航运港口、贵金属、游戏领涨，前一天领涨的军工（地面兵装）即回调。
外部日历：周五（9 月 4 日）晚美国 8 月非农就业报告，下周三 8 月 CPI，下下周美联储 9 月议息——压制 A 股的外部不确定性有望在未来两周阶段性明朗。
机构观点：巨丰投顾陈宇恒称当前处于「外部靴子待落地、内部情绪已冰点」的共振窗口，地量虽不必然即刻对应地价，但下行空间已极为有限，变盘窗口正在临近。

盘面：指数翻红，个股普跌。 9 月 3 日（周四），A 股小幅高开后快速冲高，沪指短暂站上 5 日均线便遭抛压，午后跳水、尾盘回升：沪指微涨 0.02% 收 3942.09 点，深成指涨 0.10%，创业板指涨 0.01%。指数近乎平盘的表象下，全市场近 3600 只个股收绿，上涨不足 1900 只——连续第三天的弱势整理。

地量复地量。 沪深北三市成交 1.78 万亿元，较前一交易日再缩超 400 亿，连续两日不足 1.8 万亿，刷新近 5 个月地量区间。盘面上保险、航运港口、贵金属、游戏领涨；前一天领涨的军工（地面兵装）即转入跌幅榜前列——快速轮动的剧本没有变。

外部日历密集。 周五晚间美国 8 月非农就业报告发布，下周三 8 月 CPI，下下周美联储 9 月议息会议。压制 A 股的外部不确定性将在未来两周密集落地、阶段性明朗，这既是观望的理由，也是变盘的由头。

机构怎么看地量。 巨丰投顾陈宇恒的表述值得引用：当前 A 股处于「外部靴子待落地、内部情绪已冰点」的共振窗口；从历史规律看，地量虽不必然即刻对应地价，但距离地价往往已不再遥远，变盘窗口正在临近。结合周末十大券商「调整近尾声」的共识，9 月上半月的主线是等催化而非防风险。

本周回看。 周一缩量分化、周二缩量下挫、周三地量磨底——三个交易日成交从 2.03 万亿一路缩到 1.78 万亿，沪指累计回调约 1.4%。周末十大券商的「再平衡」判断全部兑现，接下来一周看科技主线能否借国产算力催化（燧原 IPO、Astra 拉动的算力叙事）缩量企稳。本文基于公开市场信息综合整理，均为复盘与观点转述，不构成投资建议。

← 返回目录