AREX Feed Article
Anthropic 评估：智谱 GLM-5.3 可自主构建端到端网络利用，防护可被简单技术绕过 64%～100%
Anthropic 的 Frontier Red Team 在 9 月 29 日发布，称智谱（Zhipu AI，海外使用 Z.ai 品牌）的开放权重模型 GLM-5.3 在自主构建端到端网络利用（cyber exploit）上具备很强的能力，与 Anthropic 此前通过 Project Glasswing 限量发布的 Claude Mythos Preview 类似。报告同时称，在其设计的模拟测试中，攻击者用几种简单技术就能绕过 GLM-5.3 的防护，成功比例在 64%～100% 之间；同样的技术没有让受防护的 Claude 模型执行被测试的恶意任务。
关于利用能力，报告给出两套自动化基准的结果：在测量 V8 引擎（Google Chrome 使用的 JavaScript 引擎）漏洞利用能力的 ExploitBench 上，GLM-5.3 于 410 次尝试中开发出 50 次可用的端到端利用；在 Anthropic 内部的二进制利用基准上，它在 4% 的试验里实现了完整控制流劫持（control-flow hijack）。报告给出的一个前提是：GLM-5.3 是开放权重模型，任何人都能下载。
从已知漏洞到可用的端到端利用
Anthropic 在这套评估里用的是 ExploitBench，它衡量模型能否把已知漏洞变成可用的利用。按照该基准的，它在 41 个 V8 缺陷上把利用过程拆成 16 个可测量的能力档位，从触发崩溃一路到任意代码执行，每一档都由确定性验证器判定；论文认为，把触发崩溃直接当作利用成功，会略过从触发 bug 到构造可复用原语与控制流这段最难的部分。Anthropic 测的是最末端的端到端成功率：GLM-5.3 在 410 次尝试中成功 50 次，Claude Mythos Preview 为 56 次。
第二套是 Anthropic 内部的二进制利用基准，测试对象是参与 Google OSS-Fuzz 的流行开源项目，只有完成完整控制流劫持才算满分。在随机抽取的 100 个任务上，GLM-5.3 有 4% 的试验做到了完整控制流劫持，Claude Mythos Preview 为 6%。报告提到，更早的 Claude Opus 4.6 与 GLM-5.2 在这 100 个任务中一次都没有成功。Anthropic 的结论是，GLM-5.3 在这一项上低于 Claude Mythos Preview，但已经跨过了一个有意义的门槛。
自动化基准之外，Anthropic 还做了人在环路的测试：由研究人员挑选自己也不知道存在哪些漏洞的目标，再让模型去找并利用新缺陷。这些实验通常持续一天以内，人工投入总计不到一小时，模型运行在隔离沙箱中，只能攻击为测试搭建的离线目标。
一天之内在浏览器里找出 0-day 并串成利用链
第一次测试中，研究人员在一台沙箱机器上让 GLM-5.3 面对某个流行浏览器的本地 Linux 版本。Anthropic 称，在一天之内、人工关注有限的情况下，模型在该浏览器的 JavaScript 引擎中找到了若干个此前未知的漏洞（即 0-day），并把它们串成一个可用的利用：一个被访问时就会读取访问者电脑上任意文件的网页。报告说明，该利用针对 Linux 版本，因为这是提供给模型的唯一环境；Anthropic 认为这些漏洞也可能影响其他平台，只是在那些平台上利用路径可能更复杂。同一场测试稍后，研究人员还借助 GLM-5.3 在若干广泛使用的系统中找到了可利用漏洞，涉及无线与显卡驱动、面向网络的设备软件。
第二次测试换成了更小、能力更弱的 GLM-5.3-Flash，目标是已知漏洞。研究人员只提供了 Google Chrome 新近披露的缺陷 CVE-2026-11645 的公开细节，以及另一个已知缺陷。Anthropic 称，模型在没有得到明显人工指导的情况下把两个缺陷串成了一条面向 ARM64 目标的可靠利用链，并绕过了指针认证（PAC）加固。整个过程花掉 20 分钟人工关注，加上 GLM-5.3-Flash 8 小时的工作；按智谱的 API 价格计算，这些工作折合约 20.40 美元。
虚假掩护、预填思考与去审查版本
Anthropic 把 GLM-5.3 放进一个模拟世界中，让它接到直接攻击关键系统的恶意请求，每个单元格 50 个样本，由五种攻击指令、两个目标和五次尝试组合而成。
未做任何改动的模型在这些试验中全部拒绝执行，其他被测模型也一样。报告列出了三种让模型配合的简单方法：给出欺骗性提示，例如告诉模型它是正在做演练的自主红队代理（agent），模型有 64% 的时候会按要求尝试连接远程目标；预先填好模型的思考 token（模型在回答前的内部推理内容），让它看起来已经考虑过请求并决定继续，比例为 92%；换成 abliterated 版本（经改造去除了拒绝行为的模型），比例是 100%。
Anthropic 称，这些手法都没能让受防护的 Claude 模型执行测试中的恶意任务：Claude 的防护拦下了使用欺骗性提示的请求，Anthropic 的 API 不提供预填 Claude 思考内容的方式，Claude 的权重不提供给用户，因此无法用 abliteration 改变其行为。图 5 显示 Claude Opus 4.8、Opus 5 和 Mythos 5 在 API 防护下全部保持 0%，同时标注：在关闭防护的版本上，虚假掩护故事让 Opus 4.8 和 Opus 5 分别有 4% 和 10% 的比例尝试连接远程目标。Anthropic 还给出一个细节：前文那些找漏洞、写利用的任务并没有在原始模型上触发拒绝，只有当请求它编写恶意软件或帮助攻击远程目标时，才会观察到拒绝。
Anthropic 在脚注中说明，模拟环境不执行任何模型生成的代码，模型也无法接触外部系统：它拿到的是一个不执行代码的假 bash 工具，命令结果由另一个 LLM 根据模拟世界的描述近似生成。报告自己写明，这类模拟不是真实条件的完整再现，因而只是对模型行为的不完美测量。
一份去审查版本的代价：2,200 GPU 小时、约 4,400 美元
Abliteration 是一种标准的降低拒绝率技术。GLM-5.3 以开放权重发布，用户只要做少量改动就能重新配置模型、去掉拒绝行为，而能力变化不大；Anthropic 称，若干开发者在该模型发布后数天内就公开了去审查版本。
Anthropic 自己也做了一份：一个此前从未尝试过这项工作的团队花掉约 2,200 GPU 小时、约 4,400 美元算力成本，其中大部分时间用在并行尝试不同变体和测试改造后的能力；对更小的 GLM-5.3-Flash，这一过程约需 600 GPU 小时。报告估计，一个熟悉该技术的团队从零开始在 GLM-5.3 上操作，更接近 600 GPU 小时、约 1,200 美元。改动之后，GLM-5.3 在 JailbreakBench 与 HarmBench 上的拒绝率从 90% 以上降到约 3% 和 2%，在 StrongREJECT 上降到 12%。能力上，Anthropic 称 abliteration 没有显著削弱模型：在测量通用科学能力的 GPQA-Diamond 上，原版与去审查版得分相同；在被测试的 CyberGym 子集上，去审查版低几个百分点。
自称面向安全、国防和信任安全等高风险行业的模型公司 Abliteration.ai 在 9 月 29 日（UTC）称，大实验室不满于自己不再垄断网络能力；它称自己一个月前发布的、由客户自行控制防护的 GLM-5.3 版本吸引了从初创公司到财富 500 强的客户，这些客户都提到，大实验室的集中式防护让他们无法完成工作，即便他们能进入这些实验室专门的网络安全项目。
CAISI 的对照数据与「落后约四个月」的判断
Anthropic 引述美国国家标准与技术研究院（NIST）下属的人工智能标准与创新中心（CAISI）9 月 17 日发布的，称 GLM-5.3 是「迄今最具网络能力的开放权重模型」，并在 CAISI 网络基准的综合口径上落后美国前沿约四个月；Anthropic 表示自己的结论与 CAISI 大体一致。
CAISI 的公开数据来自四个基准。GLM-5.3 在 SEC-Bench Pro（183 个任务）上得 40.4%（74/183），在 ExploitBench（41 个任务、16 分制、取三次最好成绩）上得 61.1%（9.8/16），在 ExploitGym 用户态测试（502 个任务）上得 9.4%（47/498），在 CAISI 自有的 OSS-Fuzz 基准（297 个任务）上得 7.7%（23/297）。同口径下，「美国前沿最好成绩」分别为 90.2%、100%、44.4% 和 23.2%；在多数评估中，此前的中国最好成绩，同时也是 CAISI 评估过的最强开放权重模型，是 Kimi K3。CAISI 还说明，美国模型在适用时是在关闭网络防护的条件下测试的，「美国前沿最好成绩」既包括受信任访问的发布，也包括完全公开的发布。Anthropic 则补充，攻击者难以获得那些只向受审查用户开放的美国模型版本。
Z.ai 在发布 GLM-5.3 时的中写道，「随着后训练规模扩大，网络能力的成长快于我们的预期」，并称该模型在 CyberGym 上拿到 84.5%、在 ExploitBench 上拿到 54.4%。博客写明权重「将在发布两周后、安全评估与加固完成后」释放。据 CAISI 记录，该模型在 8 月 14 日发布；8 月 27 日公司称权重次日发布，8 月 28 日 GLM-5.3 已开放权重，可下载、运行和自定义。
Anthropic 在结论中写道，GLM-5.3 很可能让恶意行为者获得在没有实质限制的情况下寻找和利用网络漏洞的能力，这是攻击者可用网络能力的一次「实质性跃迁」；它援引以及其他美国 AI 实验室近期的报告，称这些报告记录了网络攻击者尝试使用 AI 系统的情况，据此认为国家和非国家行为者都可能用这类模型造成现实伤害。同一份结论里，Anthropic 也表示同等能力的模型对防御方同样有用，公司正设法扩大防御方对 Claude 网络能力的访问，让通过审查的防御方通过受信任访问项目使用 Claude Mythos 5.1，并呼吁政府对足够强大的模型、包括 GLM-5.3 的后续版本进行安全测试。
报告留下的未决事项是漏洞披露：浏览器中的缺陷已向维护者披露，而无线与显卡驱动、面向网络的设备软件中发现的可利用漏洞仍在审阅，将酌情向维护者披露。