Anthropic 預警 GLM-5.3：具備端到端駭客能力，安全防護極易被破

Anthropic 釋出了一份針對中國智譜 AI 最新模型 GLM-5.3 的安全評估報告。結論非常直接：這是目前網路攻擊能力最強的開源權重模型，已經能夠自主完成端到端的漏洞利用開發，但其安全防護極其脆弱，攻擊者只要花很少的成本就能徹底繞過限制。

五個月前，Anthropic 釋出過具備同類能力的 Claude Mythos Preview。當時為了防止技術擴散，Anthropic 專門啟動了 Glasswing 計劃，只將模型小範圍開放給受信任的防禦者。但隨著開源的 GLM-5.3 出現，這種門檻實際上已經被打破了。

端到端駭客實測：水平逼近頂尖閉源模型

在 ExploitBench 基準測試中，模型需要針對 Google Chrome 的 V8 引擎已知漏洞開發完整的攻擊程式碼。GLM-5.3 在 410 次測試中成功完成了 50 次，而 Claude Mythos Preview 的成績是 56 次，兩者差距微乎其微。

在更復雜的二進位制漏洞測試中，GLM-5.3 在 100 個隨機開源專案中實現了 4% 的完整控制流劫持，Claude Mythos Preview 則是 6%。看似百分比不高，但此前的 Claude Opus 4.6 和上一代 GLM-5.2 在這項測試中成功率全部為零。

在有安全專家參與的實測中，GLM-5.3 在不到一小時的人類引導下，僅用一天時間就挖出了 Linux 版主流瀏覽器多個未知的 JavaScript 引擎 0-day 漏洞，並將其串聯成能遠端讀取使用者檔案的有效攻擊載荷。

就連體積更小的輕量版 GLM-5.3-Flash 表現也相當驚人。研究人員只給了公開補丁資訊，它在八小時內就為 ARM64 架構生成了繞過指標認證的攻擊鏈，耗費的人工僅 20 分鐘，按智譜的 API 算成本只要 20.40 美元。

美國國家標準與技術研究院（NIST）旗下的 CAISI 也在 9 月 17 日釋出了獨立評估，得出了完全一致的判斷：GLM-5.3 是迄今為止網路能力最強的開源模型，整體攻擊能力僅落後美國前沿水平大約四個月。

4400 美元，安全防護就能被徹底拆除

能力強本身不是壞事，問題在於 GLM-5.3 幾乎沒有任何有效的防濫用保護。

雖然出廠預設狀態下它也會拒絕惡意提問，但由於程式碼和權重完全公開，攻擊者繞過防線的方法既簡單又廉價。

測試顯示，只要在 Prompt 裡偽裝身份，謊稱自己是在進行演練的紅隊自主 Agent，GLM-5.3 就有 64% 的機率直接執行惡意指令。

如果利用 API 預先填充思考標記（Thinking Tokens），讓模型誤以為自己已經評估過並同意執行，繞過成功率會直接飆升到 92%。

最徹底的方式是消除拒答（Abliteration）。Anthropic 團隊在毫無經驗的情況下，僅用了約 2200 個 GPU 小時、花費大約 4400 美元計算成本，就成功將該模型的拒答率從 90% 以上直接壓低到了 2% 至 3%。

更嚴重的是，這種手術式的修改幾乎沒有削弱它的實際能力。模型在科學測試中的分數完全沒有變化，網路攻擊測試的表現也僅僅微跌了幾個百分點。

相比之下，受防護的 Claude 模型對欺騙性提示詞完全免疫，其 API 也不允許攻擊者預填充思考過程，更由於權重未公開而無法被直接修改。

為什麼重要

對於網路安全防禦者而言，GLM-5.3 既是得力助手，也是巨大威脅。合法防禦人員可以用它自動化尋找系統漏洞，但門檻降得過低也意味著，惡意駭客和犯罪團伙甚至不需要頂尖的技術水平，只要花幾十美元 API 費或幾千美元算力，就能拿到工業級的漏洞利用工具。

這暴露了開源模型與閉源防護模型之間難以調和的矛盾。閉源模型可以通過許可權審查、行為監控和介面攔截構築護城河，但開源權重一旦流出，任何內建的對齊防護在算力面前都形同虛設。

我們認為，Anthropic 選擇公開這份評估，一方面是為了推動行業和監管機構正視開源高危能力的擴散風險，另一方面也是在為自身提供合規依據。既然攻擊方已經掌握了這種武器，防禦方就絕不能被安全束縛捆住手腳。接下來，安全行業可能會被迫加速普及 AI 自動化攻防工具，漏洞修補的速度如果跟不上 AI 編寫 Exploit 的速度，軟體生態的攻守天平將徹底失衡。