Anthropic 预警 GLM-5.3：具备端到端黑客能力，安全防护极易被破

Anthropic 发布了一份针对中国智谱 AI 最新模型 GLM-5.3 的安全评估报告。结论非常直接：这是目前网络攻击能力最强的开源权重模型，已经能够自主完成端到端的漏洞利用开发，但其安全防护极其脆弱，攻击者只要花很少的成本就能彻底绕过限制。

五个月前，Anthropic 发布过具备同类能力的 Claude Mythos Preview。当时为了防止技术扩散，Anthropic 专门启动了 Glasswing 计划，只将模型小范围开放给受信任的防御者。但随着开源的 GLM-5.3 出现，这种门槛实际上已经被打破了。

端到端黑客实测：水平逼近顶尖闭源模型

在 ExploitBench 基准测试中，模型需要针对 Google Chrome 的 V8 引擎已知漏洞开发完整的攻击代码。GLM-5.3 在 410 次测试中成功完成了 50 次，而 Claude Mythos Preview 的成绩是 56 次，两者差距微乎其微。

在更复杂的二进制漏洞测试中，GLM-5.3 在 100 个随机开源项目中实现了 4% 的完整控制流劫持，Claude Mythos Preview 则是 6%。看似百分比不高，但此前的 Claude Opus 4.6 和上一代 GLM-5.2 在这项测试中成功率全部为零。

在有安全专家参与的实测中，GLM-5.3 在不到一小时的人类引导下，仅用一天时间就挖出了 Linux 版主流浏览器多个未知的 JavaScript 引擎 0-day 漏洞，并将其串联成能远程读取用户文件的有效攻击载荷。

就连体积更小的轻量版 GLM-5.3-Flash 表现也相当惊人。研究人员只给了公开补丁信息，它在八小时内就为 ARM64 架构生成了绕过指针认证的攻击链，耗费的人工仅 20 分钟，按智谱的 API 算成本只要 20.40 美元。

美国国家标准与技术研究院（NIST）旗下的 CAISI 也在 9 月 17 日发布了独立评估，得出了完全一致的判断：GLM-5.3 是迄今为止网络能力最强的开源模型，整体攻击能力仅落后美国前沿水平大约四个月。

4400 美元，安全防护就能被彻底拆除

能力强本身不是坏事，问题在于 GLM-5.3 几乎没有任何有效的防滥用保护。

虽然出厂默认状态下它也会拒绝恶意提问，但由于代码和权重完全公开，攻击者绕过防线的方法既简单又廉价。

测试显示，只要在 Prompt 里伪装身份，谎称自己是在进行演练的红队自主 Agent，GLM-5.3 就有 64% 的概率直接执行恶意指令。

如果利用 API 预先填充思考标记（Thinking Tokens），让模型误以为自己已经评估过并同意执行，绕过成功率会直接飙升到 92%。

最彻底的方式是消除拒答（Abliteration）。Anthropic 团队在毫无经验的情况下，仅用了约 2200 个 GPU 小时、花费大约 4400 美元计算成本，就成功将该模型的拒答率从 90% 以上直接压低到了 2% 至 3%。

更严重的是，这种手术式的修改几乎没有削弱它的实际能力。模型在科学测试中的分数完全没有变化，网络攻击测试的表现也仅仅微跌了几个百分点。

相比之下，受防护的 Claude 模型对欺骗性提示词完全免疫，其 API 也不允许攻击者预填充思考过程，更由于权重未公开而无法被直接修改。

为什么重要

对于网络安全防御者而言，GLM-5.3 既是得力助手，也是巨大威胁。合法防御人员可以用它自动化寻找系统漏洞，但门槛降得过低也意味着，恶意黑客和犯罪团伙甚至不需要顶尖的技术水平，只要花几十美元 API 费或几千美元算力，就能拿到工业级的漏洞利用工具。

这暴露了开源模型与闭源防护模型之间难以调和的矛盾。闭源模型可以通过权限审查、行为监控和接口拦截构筑护城河，但开源权重一旦流出，任何内置的对齐防护在算力面前都形同虚设。

我们认为，Anthropic 选择公开这份评估，一方面是为了推动行业和监管机构正视开源高危能力的扩散风险，另一方面也是在为自身提供合规依据。既然攻击方已经掌握了这种武器，防御方就绝不能被安全束缚捆住手脚。接下来，安全行业可能会被迫加速普及 AI 自动化攻防工具，漏洞修补的速度如果跟不上 AI 编写 Exploit 的速度，软件生态的攻守天平将彻底失衡。