Anthropic 红队报告：智谱 GLM-5.3 漏洞利用能力接近 Claude Mythos，安全护栏却形同虚设

9 月 29 日，Anthropic 的前沿红队发布了一份针对智谱 GLM-5.3 的网络安全评估报告。结论分两面：这款中国开源权重模型自主构建端到端漏洞利用的能力，已经接近 Anthropic 自家的 Claude Mythos Preview；但它的安全护栏很薄，简单的提示技巧或直接改权重，就能让恶意请求几乎全部放行。

两个基准，差距很小

报告的测试口径是公开的。

第一个是 ExploitBench，测模型对 Chrome V8 引擎已知漏洞的利用能力。410 次尝试里，GLM-5.3 完成了 50 个可用的端到端漏洞利用，Claude Mythos Preview 完成了 56 个。两边几乎没有拉开。

第二个是 Anthropic 的内部二进制利用基准，目标来自 Google OSS-Fuzz 覆盖的开源项目，拿满分必须做到完整的控制流劫持。GLM-5.3 在 4% 的任务里做到了，Mythos Preview 是 6%。

同场对比的是上一代模型：GLM-5.2 和 Claude Opus 4.6 两个测试都没得分，Kimi K3 和 DeepSeek V4.1-Flash 也接近零。也就是说，这不是全行业一起爬坡，只有一款开源权重模型追到了这个门槛。

美国 NIST 下属的 CAISI 在 9 月 17 日给过独立结论：GLM-5.3 是他们评估过的“最懂网络攻击的开源权重模型”，能力落后美国前沿大约 4 个月。两家机构的数字互相印证。

两次带人的实战

数字之外，报告还做了两次有人参与的实战测试。

一次用完整版 GLM-5.3：一名研究员在完全隔离的沙箱里，花了一天、几乎没投入人工注意力，就在一个主流浏览器的 JavaScript 引擎里找出了好几个此前未知的漏洞。模型接着把这些漏洞串成一条完整的攻击链：一个恶意网页能跳出浏览器沙箱，读取访问者电脑上的任意文件。测试里，它读走了一个 SSH 私钥。Anthropic 说，已经把这些漏洞报告给了浏览器厂商。

另一次用更小的 GLM-5.3-Flash：研究员给了它一个刚公开的 Chrome 漏洞（CVE-2026-11645）的公开信息，人工只花了约 20 分钟准备任务，模型自己跑了 8 小时，产出了一条可用的攻击链。按智谱的 API 定价，这一单的成本是 20.40 美元。

这些测试都在隔离环境里做。报告没有证明 GLM-5.3 能在公网上独立攻击真实系统。但它证明了一件事：从“知道一个漏洞”到“有可用的攻击代码”，中间的体力活可以被自动化了。

三层防护，层层被绕

GLM-5.3 本身是有防护的，直接的恶意指令会被拒绝。智谱在 8 月 14 日发布时也说过，模型搭了三层“纵深防御”：API 外侧识别和拦截滥用请求，推理过程中检查任务意图，模型本身学会拒绝危险要求。为了做安全评估和加固，权重的开放还推迟了两周。

Anthropic 的测试是绕着这三层打的，结果三层全漏：

• 把恶意指令包装成“红队演练”，64% 的测试里模型照做不误；
• 提前往模型的思维链里塞好推理内容（prefill），92% 的测试通过；
• 把开源权重下载下来，用 abliteration 技术直接剥掉拒绝行为，100% 放行。这一步花了约 2200 个 GPU 小时、约 4400 美元。Anthropic 估计，有经验的团队 1200 美元就能做完。剥离之后，模型在 JailbreakBench、HarmBench、StrongREJECT 三个公开基准里全部放行，拒绝率从 90% 以上掉到 2%–12%，能力和科学测试的分数几乎没动。

作为对照，同样的测试套在 Claude 上：拒绝机制扛住了伪造提示，API 也没有 prefill 这种给攻击者塞词的入口，成功率是 0%。

更麻烦的是，开源权重一旦流出就收不回来。报告写道，模型发布几天之内，就有开发者放出了剥离防护的解锁版本，在网上公开流传。

同样的能力，不同的命运

五个月前，Anthropic 自己发布 Claude Mythos Preview 时，用的是一套完全不同的处理方式：不公开权重，只通过 Project Glasswing 项目给经过背书的网络防御方用。按 Anthropic 的说法，这些防御方靠它已经找出并修复了 1 万多处关键软件漏洞。

GLM-5.3 的能力被两家机构背书接近这个水平，但它是开源权重：任何人都能下载、改、再分发。Anthropic 的结论很直白：国家和非国家行为体很可能用这类模型造成真实伤害。他们同时喊话各国政府：给足够强的模型做独立安全测试，防御方手里的工具不能比攻击者差。

这份报告也不是完全无私的。Anthropic 自己不开源权重，报告恰好把“不开源”论证成安全优势；一款便宜又接近前沿的中国开源模型，本身也是它的直接竞争对手。不过 CAISI 的独立评估摆在旁边，能力数字那部分基本站得住。

智谱这边

据智谱 9 月 16 日披露，GLM-5.3 发布一个月后，网络安全成了它率先实现规模化收入的垂直场景：约 100 家安全企业把 GLM 模型接进了安全产品和业务流程，覆盖国内主要安全厂商、互联网大厂、研究机构和金融机构。

能力是同一套基座上长出来的。eWeek 对照了智谱的发布材料：GLM-5.3 和 GLM-5.2 用的是同一套 7430 亿参数的基座模型，所有提升都来自后训练。但在一个漏洞利用测试里，它的分数从 24.4 涨到 54.4；两小时内完成的网络安全任务从 29 个涨到 105 个。名字里只多了一个版本号，风险等级已经完全不同。

eWeek 给企业的建议是：评估开源模型时，不能拿“同一家族”当免检牌，每个大版本都要重新做一次安全评审。

三件事值得注意

第一，漏洞披露到可用攻击代码的时间正在被压缩。20 分钟人工加 8 小时模型跑，就能把一个刚公开的漏洞变成攻击链。安全团队的补丁窗口会越来越短。

第二，开源权重的防护和闭源 API 的防护不是一回事。API 侧的拦截、意图检查，在权重下载到本地之后全部失效，只剩下模型自身的对齐。而对齐可以用几千美元的成本剥掉。

第三，能力评估要按版本做。同一套基座、同一个家族名，5.2 到 5.3 的安全能力可以天差地别。准入评审如果只认家族名，会漏掉真正的风险。

对防御方来说，好消息是同样的能力也能用来找漏洞：Project Glasswing 的防御方已经靠它修复了 1 万多处关键漏洞。坏消息是，能力扩散的速度，未必会等防御方准备好。