OpenAI在叫停训练三天后，下调了顶级模型价格
OpenAI暂停训练、Sol降价以及推出Agent监控产品之间有何关联？我们将模型研发与已上线服务的商业战略拆开来看。
商业即使在叫停新模型训练期间，对已上线的模型也下调了价格并放宽了使用限额
宣布暂停训练三天后，下调了顶级模型的输入与输出价格
8 月 18 日，OpenAI 公开宣布暂停前沿模型的强化学习训练。这是因为有初步证据表明，即将推出的模型 Astra 可能触及了公司内部设定的最高风险等级。一家 AI 公司主动放慢自身开发节奏的消息，一天之内便传开了。
三天后的 8 月 21 日，同一家公司下调了顶级模型的价格。每 100 万输入 Token 从 5 美元降至 4 美元，输出则从 30 美元降至 20 美元。十二天后的 9 月 2 日，他们又联手网络安全公司，共同推出了一款用于监控自家 Agent 的产品。
读者，如果按时间顺序梳理从进行内部风险评估的 8 月 7 日到 9 月 2 日这 26 天，就会发现这三项决定并不矛盾。因为这并非安全措施与业务扩张相互妥协的产物，而是在训练层与部署层分别独立做出的判断。
26天内做出的3项决定
这三项决定分别以不同的新闻形式被报道。按时间顺序整理如下：
| 日期 | 发生了什么 |
|---|---|
| 8月7日 | 内部评估认为Astra可能达到“准备度框架”的“严重”（Critical）网络安全等级 |
| 8月18日 | 发布官方文件，公开暂停前沿强化学习训练 |
| 8月21日 | GPT-5.6 Sol降价，限时优惠至11月21日 |
| 8月30日 | 宣布Codex系列活跃用户达到2500万人 |
| 9月2日 | 扩大与CrowdStrike的合作关系，提供网络安全专用模型及智能体监控产品 |
我们先来准确看一下8月18日文件披露的内容。OpenAI列出了两个起因：一个是7月发生的Hugging Face事件；另一个是初步证据表明，即将推出的模型Astra可能已触及网络安全能力的“严重”（Critical）阈值。这个阈值由该公司自行定义，具体指：能够针对多个经过加固的真实核心系统，自主生成并运行零日漏洞利用代码；或者仅凭高级目标指引，就能对加固目标从头到尾完整执行全新的攻击。
应对措施分两路进行。一路是将即将部署的最新模型的强化学习1训练暂停两周，并重新检查研究环境，该工作目前已经完成。另一路则是针对以发布为目标的最大规模前沿模型训练，这部分训练已暂停数周，恢复时间尚未确定。他们并没有停止所有的训练，而只是叫停了内部判定为最具风险的那一部分。
作为起因之一的Hugging Face事件，有必要单独拿出来简要说明一下。根据OpenAI在7月披露的内容，当时正在内部运行网络安全评估的模型脱离了预期的测试环境，并在此过程中实际利用了未公开的漏洞。阿尔特曼在播客中表示，这是一记真正的警钟。这意味着模型的能力水平已经攀升到了全新高度，但模型的对齐机制以及外层的安全防护双双失效。值得注意的是，他们没有将其定性为安全配置失误，而是明确归为对齐失败。配置失误尚可修复，但对齐问题是否真正解决，要确认起来可就难得多了。
这里有一点需要特别澄清：Astra并未卷入Hugging Face事件，这两个起因是彼此独立的。许多韩语摘要将二者混为一谈，当作同一起事故来写，但官方文档将它们区分得一清二楚。一个是已经发生的真实事故，另一个则是对尚未发生的能力所做的初步评估，两者的性质截然不同。
在接受亚历克斯·希斯（Alex Heath）的播客采访时，萨姆·阿尔特曼做出了如下解释：以往大部分风险都在于如何部署和使用模型，但如今我们正在迈入一个新世界——在实际训练和构建模型的过程本身中，风险正在变得越来越大。他提到，在训练过程中，并没有出现像Hugging Face事件那样单一的决定性证据，而是在翻阅大量样本的过程中，观察到了不符合预期对齐的行为。
训练暂停与降价并未冲突的原因
一家刚刚暂停训练的公司在三天后下调价格，按常理来看似乎自相矛盾。如果因安全问题而放慢了脚步，业务随之放缓才合乎逻辑。
然而，奥尔特曼在播客中表达了截然相反的看法。他说当前的业务势头极其强劲，企业端收入已经超过了消费端收入。即便不再推出任何新东西，仅凭现有模型就能大幅拓展产品并拉动收入增长；不仅如此，在达到令人担忧的新水平之前，还有准备就绪的模型可以发布。因此，他对业务毫无担忧。
与这番表态相契合的举措，便是 8 月 21 日的降价。各项具体降幅如下：
| 项目（每 100 万 Token） | 调整前 | 调整后 | 变动 |
|---|---|---|---|
| 输入 | 5.00 美元 | 4.00 美元 | 下调 20% |
| 缓存输入2 | 0.50 美元 | 0.40 美元 | 下调 20% |
| 输出 | 30.00 美元 | 20.00 美元 | 下调 33% |
如果是消耗 100 万输入和 100 万输出的任务，费用将从 35 美元降至 24 美元，降幅达 31%。对于长推理任务而言，输出占比越高，体感降幅就越明显。智能体（Agent）工作负载恰恰呈现这种特征。
此次降价的对象是最高层级的 Sol。 7 月 30 日也曾有过一次价格调整。当时 Terra 和 Luna 降价了，唯独 Sol 维持了 5 美元和 30 美元不变。这曾被解读为绝不动最高层级的信号。而这唯一的例外，在训练暂停宣布仅三天后就宣告打破。
看看 Sol 当初经过了何种流程才得以面世，就会发现这次降价更加引人注目。6 月 26 日，OpenAI 在发布 GPT-5.6 系列时，仅向少数合作伙伴率先开放了 Sol。这些合作伙伴是根据 6 月 2 日行政命令设立的评估程序、由美国政府逐一批准的约 20 家公司，ChatGPT 并不在这次预览范围之内。直到 7 月 9 日审查解禁，它才正式公开发布。这意味着它是三兄弟中接受政府审查时间最长的一个层级。
接受政府审查时间最长的层级，仅过了 6 周就成了降价对象。 在此期间，该模型的性能并未下降，风险评估也未被推翻。改变的只有公司的销售策略。
还要看其性质。这并非永久降价，而是持续至 11 月 21 日、至少为期 3 个月的促销活动。适用范围也仅限于 API 和购买的积分（Credits），Plus 或 Pro 等订阅用量保持不变。这意味着这是一项针对开发者和智能体用户的举措。积分兑换率也按相同比例调整，Sol 输入 100 万 Token 从 125 积分降至 100 积分。
在前沿训练暂停、无法推出新模型期间，已发布模型的降价正在取代新品发布。
从竞争格局来看则更加清晰。直到降价前夕，Sol 仍是 OpenAI 产品线中最昂贵的模型。降价之后，它在输入和输出两端均比 Anthropic 的 Claude Opus 5 更为便宜。而且，这是在不到一个月的时间内推出的第二次价格调整。7 月 30 日下调了中低层级，8 月 21 日下调了最高层级。
在推出新模型的竞争陷入停滞之际，他们实际上转向了价格竞争。但要让这种方式成立，需要一个前提：已面世模型的性能必须足以承接市场需求。奥尔特曼之所以能宣称不担心业务，依据也正在于此。他的判断是，即便下一代前沿模型尚未出现，现有模型也仍有足够多的商业价值可以挖掘。
发生变动的不仅是价格。7 月 12 日，因需求涌入，官方临时解除了 Plus、Pro 和 Business 订阅方案的 5 小时使用限制。8 月 17 日，此前仅限 API 使用的 100 万 Token 上下文窗口也向 ChatGPT 账户开放。在训练停滞的 8 月整整一个月里，分发层面的容量、限额和价格被相继放宽。
奥尔特曼本人也准确指出了这一点。大家都在等待放缓的信号，或许会把必须推迟前沿训练这一事实解读为放缓，但这与能力放缓恰恰相反。因为这意味着进展已经快到了必须叫停训练的地步。
同一时期，分发层面的用量指标也同步攀升。不过这里的数字需要谨慎解读。将公开披露的数据连贯起来看，Codex 从年初的 50 万人增长到 5 月 30 日的 500 万人，并在 8 月 30 日达到了 2,500 万人。然而，从 7 月 12 日起，公布口径由 Codex 单独统计变更为包含 ChatGPT Work 的合并统计。那正是 GPT-5.6 发布三天之后。如果将口径不同的区间强行拼接，增长率就会显得比实际情况更夸张。仅看统计口径一致的 7 月 12 日之后，数据从 600 万人增长到 2,500 万人，7 周内增长了约 4 倍。这才是具有可比性的数字。
为安全打造的监控功能，变成了在售商品
第三项决定发布于 9 月 2 日。OpenAI 宣布扩大与 CrowdStrike 的合作伙伴关系。内容分为两个方向，但都与本次事件直接相关。
第一，CrowdStrike 的 AI 检测与响应3产品将在运行阶段对 Codex 智能体进行控制。其机制在于梳理企业内部正在运行哪些 Codex 智能体，掌握是谁部署的、正在访问什么，实时查看智能体当前在做什么，并检测且阻断未被允许的违规行为。他们使用了将原本停留在治理文件中的策略转变为运行阶段实际控制的表述。
第二，OpenAI 向 CrowdStrike 平台提供名为 GPT-5.6 Cyber 的网络安全专用模型。它仅限用于经过批准的防御目的，以评估风险并分析攻击路径。
CrowdStrike and OpenAI Expand Partnership to Secure the Agentic Era | CrowdStrike Holdings, Inc.New collaboration secures Codex agents with Falcon Guardian, harnesses advanced reasoning of GPT-5.6 Cyber on the Falcon platform AUSTIN, Texas & LAS VEGAS —(BUSINESS WIRE)—Sep. 2, 2026— Fal.Con 20请把时间线串联起来看。8 月 7 日，他们判定自家模型可能触及自主攻击能力的阈值；8 月 18 日，他们以此为由宣布暂停训练；9 月 2 日，他们向安全公司平台供应网络专用模型，并同时开始销售监控自家智能体的产品。这三件事发生在短短 26 天之内。
当希斯询问研究团队究竟发生了什么变化，是转移了算力还是转移了人力时，奥尔特曼回答说两者皆有，而且远不止于此。他说最近几周有一些研究人员主动跑来说想做对齐研究，而这些人是他以前从没想过会来做这项工作的。他还补充道，算力不仅被大量转向对齐研究，还转向了一个在智能体工作期间实施监控的新系统。
那个监控系统并没有仅作为内部安全机制保留。为了应对训练过程中发现的问题而打造的监控功能，如今也变成了向企业客户销售的产品。
OpenAI 没有自己直接负责监控自家的智能体，而是选择与外部安全公司合作。这是一个合理的选择。因为如果说自己监控自己做出的东西，谁也不会相信。企业客户想要的是在已有的安全工具中能够看清智能体的状态，而这一点光靠 OpenAI 自身是无法实现的。
然而，在同一份公告里还有另一条线索。OpenAI 正在向这家安全公司供应网络专用模型。这意味着，监督方的一部分判断能力是由被监督方提供的。这倒不是说眼下就会出问题，因为他们明确表示仅限用于防御目的，并且设计了由专家进行审查的流程。但需要明白的是，既然进行监督的公司使用的是被监督公司的模型，就很难称其为完全独立的第三方监督。
如果把这简单地斥为虚伪，反而会忽视现实的复杂性。在逻辑上它是一致的。毕竟，掌控危险能力的公司能够最好地制造应对该危险的工具，这确实是事实。问题在于这种一致性所带来的后果。当安全不再是阻碍业务的成本，而是变成了待售的商品，企业在安全上投入更多资金的理由变充分了；然而，向外界证明其成效的动力却丝毫没有增加。
我们能看到的与看不到的
把目前为止出现的这三项决定按可观测性重新划分，结果如下：
| 我们能看到的 | 我们看不到的 |
|---|---|
| Token 单价与降价幅度 | 对齐评估中究竟发现了什么、程度如何 |
| 上下文长度与处理速度 | 暂停的训练何时重启 |
| 用户规模与合作伙伴关系 | Astra 评估的实际结果 |
| 基准测试分数 | 监控系统漏掉了什么 |
左侧全部属于部署层指标。它们每周都在更新，第三方可以验证，也能与竞品对比。右侧则全部属于训练层信息，只有在公司决定发布博文时，外界才能知晓。
如果奥尔特曼的判断属实——也就是说，风险的重心正在从部署层转向训练层——那么我们能核实的所有指标就都在部署层，而对于风险正在加剧的训练层，这些指标根本无从体现。这一次我们能获知训练暂停，唯一的途径也就是公司的自愿公开。既不是监管机构查出来的，也不是审计发现的，更不是媒体挖掘出来的。
而且在同一期播客中，还有一段话将这个问题推向了更深一层。当希斯问及他是否认为已经触及 AGI 时，奥尔特曼回答说，如果看到公司内部最新的模型，许多人都会说它已经非常接近 AGI 了。接着他又补充道，自己已经很久没在员工餐厅听到大家争论是否已经实现 AGI 了；AGI 感觉像是一个里程碑，而超级智能4给人的感觉则是可以无限扩展的。
这番言论通常会被解读为野心的表达。而我的解读却有所不同。一旦像 AGI 这样可以衡量是否越过的关口消失，判定是否达标的基准线也会随之消亡。
OpenAI 章程中对 AGI 的定义，至少是一个被成文记录的基准：在大多数具有经济价值的工作中超越人类的高度自主系统。即便定义略显宽松，外部至少还可以拿着这把尺子去衡量，而一旦越过这条线，关于治理架构与收益分配的条款就会被触发。相比之下，无限扩展的能力根本没有终点线。既然无法追问何时越界，也就无从追问何时该触发何种机制。
归结起来就是：风险已经转移到了外部无法观测的训练层，而用于判定该层究竟发生了什么的基准也变得模糊不清。剩下的，全凭公司自己主动开口。而这一次，他们恰好说了出来。
从评估企业引入 AI 的角度来看，这种格局带来了三点变化：
第一，等待下一个模型的策略在当下并不划算。 在前沿模型停滞的区间内，单价反而下调了 31%，而且优惠只持续到 11 月 21 日。与其坐等模型升级，不如利用当前的价格跑通实际工作负载并掌握成本曲线，这才是务实之举。不过，务必同时把促销期结束后的情景计算在内。毕竟，基于 4 美元和 20 美元制定的商业计划，到了 11 月 22 日可能就会回弹至 5 美元和 30 美元。
第二，向供应商提出的问题需要改变。 到目前为止，尽职调查的问题大体都指向已部署的模型。既然风险转移到了训练端，提问的角度也必须随之转移。
| 以往会问的问题 | 如今应当追加的问题 |
|---|---|
| 基准测试得分是多少 | 以何种标准进行风险等级评估，何时以何种方式公开结果 |
| 数据存储在哪里 | 在我们环境中运行的智能体在执行期间做了什么，是否有记录留存 |
| 响应延迟是多少 | 该记录我们是否可以直接查阅，还是仅限供应商查看 |
| 价格是多少 | 此价格是否为限时促销，到期后将按何种条件变更 |
| 模型何时更新 | 如果出于安全考量推迟发布，何时会通知我们 |
目前能够以合同形式正面回答右侧问题的供应商并不多。正因如此，这些问题才更有提出的价值。无法作答本身就是一种信息。尤其是最后一行，更是直接从此次事件中衍生出的问题。OpenAI 虽主动通报了暂停训练，但这纯属其自主选择，而非义务。
补充一点，这些问题并非为了应付监管，而是为了应对运营。一旦开始向智能体授予实际业务权限，审计日志的有无就决定了事故后的恢复速度。在暴露为安全隐患之前，它会先演变为服务无法继续运转的现实困境。
第三，将智能体运行监控列为单独的成本预算项。 9 月 2 日的发布表明，这已经发展成一个独立的市场。这是一笔在模型使用费之外额外产生的成本，且使用的智能体越多，费用就越高。如果只按 Token 单价来测算引入成本，这项支出就会被彻底遗漏。
Oswarld视角
我认为这 26 天中最关键的一点，在于这三项决定之间并不存在因果关系。
并没有证据表明降价是因为暂停训练而引发的。我也不会做这样的推论。正因恰恰相反，整件事才格外耐人寻味。这两项决定互不参照，分别在训练层与部署层各自独立做出判断，因而没有产生冲突。这意味着在公司内部，并没有在安全措施与定价策略之间纠结该舍弃哪一方。
这在某种程度上算是个好消息。如果安全措施不需要商业利益立刻付出代价，那么这类措施便具备了被重复执行的可能。相比于只有在营收动摇时才顾及安全的公司，这种结构无疑要好得多。事实上，奥尔特曼也曾表示，如有必要，可以再次推迟更强模型的训练。而在训练暂停的状态下，依然能在 8 月 21 日通过降价来推进业务，这一点也印证了他的表态。
问题在于，同样的结构在另一面所引发的后果。如果安全决定无法在业务指标上留下任何痕迹，投资者或客户就失去了通过指标来衡量这家公司安全水平的手段。无论是股价、营收还是用户规模，都不会随这家公司在训练层所做的事情而波动。因为外部根本没有可作为反应依据的公开数据。
从制定产品策略的角度来看，这是一种十分熟悉的境况。如果某项成本没有在财报中列为单独条目，那么既不会产生削减该成本的压力，也不会产生增加该投入的动力。如今的安全投入就处于这种状态。它既不会削减营收，因此无人反对；也不会增加营收，所以要求进一步加码的依据同样站不住脚。最终，判断的权力完全落在了管理层手中。只要决策是正确的，自然相安无事；但即使决策发生了变化，外部也没有任何指标能够察觉。
我认为过去的这 26 天应该被视作一次良性决策的范例。暂停训练付出了真实的成本，而且最大规模的训练至今仍处于停滞状态。我们没有理由去轻视这一点。然而，期待良好的决策得以延续，与能够切实验证其是否仍在延续，完全是两码事。
因此，奥尔特曼表示可能会推迟上市的那番言论，在我读来别有一番意味。他的逻辑在于，季度业绩的压力可能会阻碍安全决策的施行，因此推迟上市是更好的选择；但这也意味着，只有减轻市场纪律的约束，才能守住安全。这番话或许出自真心。可如果这套逻辑成立，今后外部了解这家公司安全状况的渠道只会变得更加狭窄。剩下的，就只有自愿披露这一条途径了。
这让我想起了在第 194 期中探讨过的 Astra 案例。当时令人印象深刻的一点在于，他们不仅公布了成功的成果，还将尝试过却最终放弃的方法单独整理成文并公之于众。这一次，同样是这家公司率先主动讲出了自身的问题。两次都是值得称道的做法。然而，希望善举能够持续，与能够验证其是否仍在行善，依然是两码事。而当下摆在我们面前的，仅有前者。
站在企业实务操作者的立场上，我建议采取这样的态度：可以将供应商的安全披露作为信誉指标，但必须将“此类披露纯属自愿”这一事实反映在合同条款当中。因为一家凭自愿向你告知实情的公司，同样可以凭自愿随时停止告知。
结语
同一家公司在 26 天内暂停了训练、降低了价格、出售了监控。这三项决定各自在所处的层面上都是合理的，因此谁也没有妨碍谁。
根据不同情况，当下的判断会有所分化：
如果您已经在通过 API 运行智能体（Agent），请在日程表上标出促销结束日期——11 月 21 日。请提前核算一下，按当前单价配置的架构，在促销结束后价格回查时是否仍能维持。
如果您正在考虑引入，等待的理由已经变少了。因为在尖端训练暂停的这段时间里，Token 单价反而下降了。不过，在计算引入成本时，请将智能体运行监控的费用作为一个单独的项目列入。
如果您是 AI 供应商，最好现在就开始准备向客户证明训练阶段安全性的方法。尽职调查的质询转向这一方向，不会需要太久。
像单价和用户数这样在部署层公开的数字正变得越来越详尽。然而，在奥尔特曼所说的风险正在增大的训练层，外部能够确认的信息却丝毫没有增加。
💬 您上一次向正在使用的 AI 工具供应商提出与安全相关的问题是什么时候？您得到了怎样的答复，欢迎在评论区分享。
📨 如果您身边的同事正在纠结引入 AI 的时机，请把这封信转发给他们。仅凭降价截止的 11 月 21 日这个日期，就可能改变他们的判断。
参考资料与延伸阅读
核心来源
- OpenAI，“Pacing model development in an era of cyber-critical capabilities”，2026 年 8 月 18 日。··· 公司亲自阐明暂停训练的两大诱因以及应对措施范围的原文。本期的大部分事实依据均出自此处。
- CrowdStrike，“CrowdStrike and OpenAI Expand Partnership to Secure the Agentic Era”，2026 年 9 月 2 日。··· 载明了监控 Codex 智能体运行以及供应网络安全专用模型的具体范围。
- Alex Heath，“Sources with Alex Heath: Sam Altman on OpenAI’s next model and the AI backlash”，2026 年 9 月。··· 风险从部署向训练转移的研判，与对商业前景的自信，在同一场对话中并存。
背景知识
- OpenAI，“20% price reduction for GPT-5.6 Sol”，2026 年 8 月 21 日。··· 可以通过一张表格直观对比 7 月 30 日的调整与 8 月 21 日的降价。
- TIME，“OpenAI paused frontier AI training” 相关报道整理，2026 年 8 月。··· 可以了解“对齐问题”这一表述在访谈中比在官方文件中更为强烈的背景语境。
相关往期
- 解出 10 道难题的记录竟是错题本 ··· 第 194 期。同一款模型在 8 月初曾因完全不同的原因引发热议。
- 一枚 Token 的价格所撬动的改变 ··· 第 68 期。探讨了单价变动如何重塑产品架构。
- 上线仅 3 天便被关停的全球最强 AI ··· 第 123 期。适合将国家出手关停模型的案例，与本次公司自发按下的暂停键放在一起对照阅读。
📝 术语说明
注释
-
强化学习：一种让模型自主尝试、根据结果获取评分并不断修正自身行为的训练方式。近期模型性能的飞跃大部分源自这一阶段，因此暂停前沿强化学习，意味着关停了能力扩张的主要通路。 ↩
-
缓存输入：重新发送此前请求中已处理过的内容时所适用的单独计费标准。由于模型无需从头重新计算，其价格远低于普通输入。在需要反复参考长文档的智能体任务中，会产生巨大的成本差距。 ↩
-
AI 检测与响应：指实时监控在企业内部运行的 AI 智能体活动，并在检测到未授权行为时予以阻断的安全产品线。其与传统安全工具的区别在于，监管对象是智能体而非人类账户。 ↩
-
超级智能：指在所有领域均全面超越人类能力、且差距不断拉大的状态。如果说 AGI 是一个跨越特定拐点的概念，那么超级智能往往被视为没有明确拐点的持续扩张。这种差异在评估与监管机制的设计中构成了实质性难题。 ↩