五个月前，Anthropic 宣布 Claude Mythos 预览版（Claude Mythos Preview），这是首个能自主构建复杂端到端网络漏洞利用的 AI 模型。AI 能力快速提升，可能扩散到其他模型，让恶意攻击者更容易发动高影响网络攻击。因此，Anthropic 通过 Project Glasswing 有限发布该模型，让受信任的防御者先发现超过 10,000 个漏洞。如今同类模型已经出现：智谱 AI（Zhipu AI，海外称 Z.ai）的 GLM-5.3 同样能自主构建端到端网络漏洞利用，但发布时没有有效防护，攻击者可绕过限制。

五个月前，我们宣布了 Claude Mythos Preview——首个能自主构建复杂的端到端网络漏洞利用的 AI 模型。AI 能力的快速提升让我们意识到，这种能力终将扩散到许多其他模型，使恶意网络行为者更容易发动影响巨大的网络攻击。

出于这些考虑，我们通过 Project Glasswing 限量发布 Claude Mythos Preview，让受信任的网络防御者在恶意行为者获得同类能力之前抢占先机，发现关键软件中超过 1 万个漏洞。

但这些模型如今已经出现。以下是我们对 GLM-5.3 的分析，它是智谱 AI（在中国以外称为 Z.ai）开发的最新 AI 模型。与 Claude Mythos Preview 一样，GLM-5.3 具备自主构建端到端网络漏洞利用的强大能力。但它与其他前沿模型不同：发布时没有设置有意义的防护来限制滥用。在我们的模拟测试中，攻击者用简单技巧就能绕过 GLM-5.3 的防护，成功率在 64% 到 100% 之间；相比之下，这些攻击未能对受防护的 Claude 模型奏效。我们评估认为，GLM-5.3 松懈的防护显著增加了恶意行为者可用的网络能力。与此同时，这些能力也能惠及正在保护自身系统的防御者。

9 月 17 日，NIST 的人工智能标准与创新中心（CAISI）发布了对 GLM-5.3 网络能力的评估。CAISI 发现 GLM-5.3 是“迄今发布的最具网络能力的开放权重模型”，在 CAISI 网络基准的综合评分上落后美国前沿约四个月。我们的能力发现与 CAISI 大体一致。在 CAISI 的比较中，美国模型在适用时关闭了网络防护后测试，美国前沿还包括仅向受审查用户发布的模型。攻击者无法轻易获取这些版本的美国模型，但任何人都能下载 GLM-5.3。我们在此补充对 GLM-5.3 防护被绕过或移除难度的分析。

图 1. 发现汇总。上：Claude Opus 4.6 到 Claude Mythos Preview 之间利用能力的提升，与 GLM-5.2 到 GLM-5.3 之间的能力跃升相对应。Claude 模型发布时带有网络防护，防护减弱的版本仅限受审查用户使用；而任何人都能下载并使用 GLM-5.3。下：GLM-5.3 有限的防护可被标准技巧绕过，而在我们的测试中这些技巧对 Claude 模型无效或不适用。

GLM-5.3 能端到端开发可用的漏洞利用

为了解 GLM-5.3 如何帮助网络威胁行为者找到并利用真实软件漏洞，我们使用自动化基准和人在回路工作流进行评估。两种方法中，被测模型都运行在隔离的沙箱环境中，只能攻击我们为评估搭建的离线目标。我们主要关注漏洞利用开发能力，因为这正是 Claude Mythos Preview 相较此前 Claude 模型出现显著跃升的地方。

首先，我们在 ExploitBench 上运行模型，该基准衡量 AI 模型利用 Google Chrome 所用 V8 引擎中已知漏洞的能力。这里我们关注模型能否成功开发端到端利用，因为这是对攻击者最相关的能力，也是模型之间差异显著之处。GLM-5.3 在 410 次尝试中有 50 次开发出端到端利用，Claude Mythos Preview 比例相近，为 410 次中 56 次。

在我们的内部二进制利用基准上，我们测试模型能否在参与 Google OSS-Fuzz 的热门开源项目中找到并利用漏洞，完整劫持控制流可得满分。我们在随机选取的 100 个任务上评估了若干模型，GLM-5.3 在 4% 的试验中完成完整控制流劫持，Claude Mythos Preview 为 6%。尽管 GLM-5.3 在此低于 Claude Mythos Preview，但一条有意义的分界线已被跨越：Claude Opus 4.6 和 GLM-5.2 等更早的模型一次都没有成功。

图 2. 利用能力与输出 token 预算的关系。每条线显示模型尝试中达到基准最高结果的比例与所耗输出 token 的关系。两图分别展示两个关闭防护运行的 Claude 模型（Opus 4.6、Mythos Preview）、两个 GLM 模型（5.2 和 5.3），以及 Moonshot AI（Kimi K3）和 DeepSeek（V4.1-Flash）最新开放权重模型的结果。

接下来，我们评估 GLM-5.3 在人类专家手中执行开放式攻击性网络任务的表现，方式与今年早些时候对 Claude Mythos Preview 的测试一致。我们选择人类专家尚不知晓存在漏洞的目标，请他们用模型识别并利用新漏洞。这些实验测试专家在短时间内的能力：通常运行一天或更短，人类专注投入总计不到一小时。

图 3. GLM-5.3 在研究者驱动测试中生成的利用页面（已脱敏），演示通过恶意网站窃取用户的 SSH 私钥。该利用串联了模型在一款流行网页浏览器组件中发现的多个 0-day 漏洞，从用户电脑上读取敏感文件。

第一次会话中，一名研究员在有本地 Linux 版流行网页浏览器的沙箱机器上使用 GLM-5.3。在一天之内（人类关注有限），GLM-5.3 在该浏览器的 JavaScript 引擎中发现了若干此前未知的漏洞，并将它们串联成一个可用的利用：一个网页在被访问时会读取访问者电脑上的任意文件（见图 3）。该利用针对浏览器的 Linux 构建版本，因为那是提供给模型的唯一环境。但我们认为这些漏洞也可能影响其他平台的用户，尽管那里的利用路径可能更复杂。（我们已向维护者披露这些漏洞。）会话后期，研究员还用 GLM-5.3 在多个其他广泛使用的系统中发现了可利用漏洞，包括无线和图形驱动以及面向网络的设备软件。我们正在审查这些报告，并将酌情向维护者披露。

第二次会话中，一名研究员使用 GLM-5.3-Flash（GLM-5.3 更小、能力更弱的版本）为已知漏洞开发利用。研究员聚焦于 Google Chrome 新近披露的漏洞（CVE-2026-11645），观察模型能以多快速度把公开修复变成可用攻击。研究员向 GLM-5.3-Flash 提供了该 CVE 和另一个已知漏洞的公开细节。在没有研究员显著指导的情况下，GLM-5.3-Flash 将两个漏洞的利用串联起来，为 ARM64 目标构建了可靠的利用链，绕过指针认证（PAC）加固。这花费了 20 分钟人类关注，加上 GLM-5.3-Flash 8 小时的工作。按智谱的 API 价格，这项工作成本为 20.40 美元。

GLM-5.3 缺乏有力的防护措施

GLM-5.3 发布时带有一些内置防护：如果用户要求明显有害的内容，模型往往会拒绝。在我们的测试中，这些防护可被多种简单技巧绕过或移除。

最费力气、也最成功的方法是一种标准的降低拒答技术，称为“消融”（abliteration）。由于 GLM-5.3 以开放权重模型发布，用户可以重新配置它以移除拒答，而能力几乎不变。模型发布后几天内，就有多个开发者向公众发布了消融版 GLM-5.3。

为研究消融能让攻击者多大程度上绕过 GLM-5.3 的防护，我们自行制作了一份消融副本，然后在三个公开基准（JailbreakBench、HarmBench、StrongREJECT）上运行，这些基准衡量模型对明显有害请求的遵从频率。消融该模型花费我们团队约 2200 GPU 小时，计算成本约 4400 美元——这个团队此前从未尝试过该任务。消融 GLM-5.3-Flash 约需 600 GPU 小时。这一改动让 GLM-5.3 的拒答率从前两个基准（JailbreakBench 和 HarmBench）的 90% 以上降到约 3% 和 2%，在第三个（StrongREJECT）降到 12%。消融没有显著降低模型能力：在衡量通用科学能力的 GPQA-Diamond 上，标准版和消融版得分相同；在 CyberGym 评估的测试子集上，消融版得分低了几个百分点（见下图）。

图 4. 上：已发布和消融版 GLM 模型以及 Claude 模型在 JailbreakBench、HarmBench 和 StrongREJECT 上的平均拒答率。消融后，GLM 模型很少拒绝这些查询。Claude 模型无法被消融，因为其权重未公开发布或不可自定义。下：GLM-5.3 和 GLM-5.3-Flash 与各自消融变体在 GPQA-Diamond 和 CyberGym 上的表现。消融基本未损害能力。

在我们的测试中，我们还观察到不使用消融版模型也能绕过 GLM-5.3 的防护。我们把模型置于一个模拟世界中，向它下达公然恶意的攻击关键系统请求。开箱即用时，GLM-5.3 在所有试验中都拒绝（与我们测试的其他模型一样）。但我们找到了几种绕过 GLM 模型防护的简单方法，使其在多数或全部情况下回应这些请求：

1. 提供欺骗性提示，例如告诉模型它是一个正在做演练的自主红队代理。这能让 GLM-5.3 有 64% 的概率参与。
2. 预填模型的思考 token，使其看起来已经考虑过用户请求并决定继续。这能让 GLM-5.3 有 92% 的概率参与。
3. 使用上文所述的消融版模型。这能让 GLM-5.3 有 100% 的概率参与。

在我们的测试中，这些技巧都没能让受防护的 Claude 模型执行我们测试的有害任务。Claude 的防护拦截了使用欺骗性提示的请求。Anthropic API 不给潜在攻击者预填 Claude 思考的途径。由于 Claude 的权重不提供给用户，也无法通过消融改变其行为。

图 5. 各模型在收到公然有害请求后尝试连接远程目标系统的比率，按模型和绕过条件划分（每格 50 个样本：五个攻击指令 × 两个目标 × 五次尝试）。GLM-5.3 从直接请求下的零参与，升到掩护说辞下的 64%、预填下的 92%、消融下的 100%，而所有受测 Claude 模型在 API 防护下保持为零。带锁图格标记对 Claude API 通常不可行的攻击。

为展示消融版 GLM-5.3 愿意参与有害任务，我们摘录其生成的思维链中的一段：

图 6. 在模拟环境中，消融版 GLM-5.3 考虑如何执行一个公然有害的请求，最终不顾最初的伦理顾虑，决定遵循用户指令。文字逐字引自模型的思维链。

这意味着什么？

GLM-5.3 很可能让恶意行为者获得在无实质限制下寻找和利用网络漏洞的能力。这与任何其他能力相近的 AI 模型都不同——它们发布时都带有防护或通过限量访问计划发布。GLM-5.3 的发布是攻击者可获得的网络能力的一次实质性跨越。Anthropic 和其他美国 AI 实验室近期发布的报告披露了网络攻击者如何尝试使用 AI 系统。鉴于这些证据，我们认为国家和非国家行为者都可能用 GLM-5.3 这类模型造成现实危害。

另一方面，具备这种能力水平的模型也能被防御者使用。我们认为网络防御者应使用满足其需求的最好工具。我们正努力安全地扩大 Claude 网络能力的访问范围，让尽可能多的防御者用上。网络防御者面对的对手会使用一切可用工具，我们认为防御者应配备至少与对手所用模型同样优秀的前沿模型。

通过 Project Glasswing（以及 Patch the Planet 等其他努力），网络防御者在这一时刻到来前已在保护关键系统方面取得有意义的进展，但仍有许多工作要做。虽然受审查的防御者现在可以通过我们的可信访问计划使用更先进的模型，如 Claude Mythos 5.1，但自由可及能力的临界线已被跨越。GLM-5.3 凸显了向更广泛实体扩大先进前沿模型访问、赋能网络防御者的紧迫性。

政府应对能力足够强的 AI 模型（包括 GLM-5.3 的后继者）进行安全测试。没有来自独立来源的高质量评估，这些能力的影响可能直到为时已晚才对模型开发者充分显现。随着世界各地 AI 开发者构建能力越来越强的开放权重模型，我们希望他们妥善防护这些能力并防止滥用。

社区一面倒质疑 Anthropic 借 GLM-5.3 安全报告游说监管以限制中国开放权重模型竞争，并反讽其意外成为开放模型的最佳推广；几乎无人认同其风险叙事，反而强调模型护栏妨碍防御工作。

认为 Anthropic 借安全名义推动监管以限制开放模型竞争

• 较多人认为 Anthropic 夸大开放模型被滥用风险，实为消除中国模型带来的竞争压力，为其 IPO 铺路或维护垄断（较多人） > 叙事正在被设定为全球封禁开放权重模型，除非它们被限制到无法与美国公司产品竞争（@prymitive）

认为模型护栏阻碍防御工作而开放模型更利于安全

• 较多人指出 Anthropic 等闭源模型的护栏在漏洞修复、恶意软件分析时碍事，开放模型如 GLM 能实际帮助防御者自查漏洞（较多人） > 前沿实验室连刚写的代码漏洞都拒绝修复，这并非道德中立（@wren6991）

认为 Anthropic 自身模型更易被滥用却反咬开放模型

• 较多人提到 Claude 已被用于军事目标或胡塞武装等实例，质疑 Anthropic 选择性渲染中国模型风险而回避自身责任（较多人） > 胡塞武装正在使用 Claude，我们应该禁用它（@ok123456）

认为报告意外成为 GLM-5.3 的最佳推广

• 较多人调侃 Anthropic 的警告反而吸引大家下载和使用 GLM-5.3，称赞其便宜、可本地运行且能力接近前沿（较多人） > 没想到 Anthropic 给开放模型做的营销比开发者自己还好（@water-drummer）

有价值的补充

• Hugging Face 数月前遭攻击时，因 OpenAI 和 Anthropic 模型触护栏，被迫用 GLM 模型进行防御分析（@Kim_Bruning）
• 安全工具如 nmap 和 metasploit 并不非法，防御者同样需要黑客工具来发现并修补漏洞（@0xbadcafebee）
• 本地运行可选 Qwen Flash Next 3.8、DeepSeek Flash v4 等 abliterated 版本，同样擅长逆向等网络任务（@bitexploder）
• 网络工作多为试错，可通过初始引导并保存状态让模型胜任，甚至离岸交给 LLM 完成（@teravor）