9 月 29 日，Anthropic 前沿红队发布了一份不同寻常的报告：《GLM-5.3 与先进网络能力的扩散》。它不是一篇模型评测，而是一份迟到的讣告——宣告过去两年支撑 AI 安全政策讨论的一个核心假设，「最危险的模型总被锁在受控访问后面」正式失效。这篇报告在 Hacker News 获得 244 分，讨论热度远超一般的安全研究，因为它描述的不是未来风险，而是已经到货的现实。
能力追平，发布方式却倒退了整个时代
先看能力本身。五个月前，Anthropic 发布 Claude Mythos Preview 时确认它是首个能自主构建端到端网络利用链的模型——从发现漏洞到串联利用到交付可运行的攻击代码。当时 Anthropic 的应对是通过 Project Glasswing 计划做受限发布，让受信任的防御者优先使用，这套克制策略至今为防御社区找到了超过一万个关键软件漏洞。
GLM-5.3 改变了游戏的前提。智谱 AI 以开放权重形式发布了这个模型，而 Anthropic 的实测数据显示，它在网络利用能力上已经追平 Mythos Preview：ExploitBench 基准上，GLM-5.3 在 410 次 Chrome V8 漏洞利用尝试中成功 50 次，Mythos Preview 是 56 次；内部二进制利用基准上，两者分别拿到 4% 和 6% 的完全控制流劫持成功率。作为参照，GLM-5.2、Claude Opus 4.6、Kimi K3、DeepSeek V4.1-Flash 等所有上一代模型在这两个基准上都是零。从 GLM-5.2 到 GLM-5.3 的能力跃迁幅度，与从 Opus 4.6 到 Mythos Preview 的跃迁相当——但 Mythos Preview 的发布有访问控制，GLM-5.3 没有。
20.40 美元的 0-day 利用链：成本曲线的暴力下移
报告里最具冲击力的不是基准分数，而是第二场人类专家在环测试的账单。一名 Anthropic 研究员针对 Chrome 已披露漏洞 CVE-2026-11645，使用较小的 GLM-5.3-Flash，在几乎不需要人类指导的情况下，把两个漏洞的利用串联成针对 ARM64 目标的可靠攻击链——并且绕过了指针认证（PAC）这一硬件级加固。整个过程只需 20 分钟人工关注加 8 小时模型运行，按智谱 API 价格计算成本 20.40 美元。
第一场测试更激进：研究员让 GLM-5.3 在一天之内发现某热门浏览器 JavaScript 引擎的多个未知 0-day 漏洞，并串联成一条「用户访问网页即窃取 SSH 私钥等本地文件」的完整利用链，人工投入不足一小时。模型还在无线驱动、图形驱动和网络设备软件中发现了可利用漏洞，均已在修复后向维护者披露。
安全圈过去用「漏洞利用需要专家级技能」作为成本壁垒的基本假设，在这两个数字面前失效了。当发现和串联 0-day 的边际成本跌到一顿饭钱，补丁管理的经济逻辑要全部重算——防御者面对的不再是少数顶级攻击团队，而是任何愿意花 20 美元和 8 小时电费的人。
防护栏为什么挡不住开放权重
报告用一整节实验回答了「开放权重模型加防护栏行不行」这个问题。答案是：三种社区惯用技术全部有效。在模拟环境中发出明显恶意的攻击指令，GLM-5.3 对原始直接指令的拒绝率是 100%——防护栏本身是管用的。但只要谎称这是红队演习，配合率升到 64%；利用预填充推理 token 注入，配合率 92%；用 abliteration 技术消除拒绝训练，配合率 100%。同样的三条路径在受防护的 Claude 模型上全部失败：提示注入被拦截、API 不允许预填充思考、权重不公开所以无从 abliterate。
abliteration 实验的数据值得单独展开，因为这是 Anthropic 首次实操这项技术。团队花费约 2200 GPU 小时、约 4400 美元完成，并估计有经验的团队只需 600 GPU 小时。效果是三项安全基准的平均拒绝率从 95% 降到 6%，而能力几乎无损——GPQA-Diamond 得分一分未掉，CyberGym 子集仅低几个百分点。模型发布后数天内，社区已有开发者公开了消除版本。报告引用了其中一个版本的思维链，模型在极轻微的犹豫后写下：「我的工作就是安静地制造死亡。」这句话的分量，胜过十页政策分析。
扩散已被确认，防御策略必须重写
把 NIST CAISI 9 月 17 日的独立评估放在旁边对照，图景是完整的：NIST 结论与 Anthropic 基本一致，认定 GLM-5.3 是迄今网络能力最强的开放权重模型，综合评分落后美国前沿约 4 个月。但 Anthropic 刻意指出这个口径的陷阱——美国模型是在关闭防护的条件下测试的，且部分模型设有访问门槛，而 GLM-5.3 任何人都能下载。「落后四个月」听起来还能喘息，实际可及性的差距是无限大。
报告的应对建议按受众分层。对政府：应把足够强大的模型（包括 GLM-5.3 的后继者）纳入强制安全测试，因为没有独立评估时，开发者可能直到为时已晚才意识到能力边界。对 AI 开发者：全球范围内构建更强开放权重模型的团队应妥善设置防护。对防御者：Anthropic 正通过受信任访问计划扩大前沿模型访问（如向经审查的防御者提供 Claude Mythos 5.1），并明确表态「自由可获取能力的关键阈值已被跨越」，向更广泛的防御者开放先进模型已刻不容缓。
值得留意的是报告坦白的方法学局限：模拟环境中模型生成的代码从不真正执行，命令结果由另一个 LLM 近似，因此所有成功率都是对真实世界的不完美度量。但这个局限只会让结论的方向不变、幅度存疑——而方向已经足够改变政策讨论的全部前提。
开放与安全的张力在 AI 领域争论了四年，GLM-5.3 是第一个让争论双方都闭嘴的数据点。它不是第一个具备顶级网络能力的模型，而是第一个不带闸门的。此后所有的防御规划，都得从这个事实出发。