AREX Feed Article
Z.ai 称 GLM-5.3 通过 OpenVuln 已帮助防护 389 个开源项目、发现 4,249 个潜在漏洞
北京时间 9 月 30 日上午，Z.ai 的 Zixuan Li 在 X 上发帖称，。他补充说：OpenVuln 仍在运行，服务保持免费，发现结果会私下发送给维护者。约 50 分钟后，Z.ai 的官方账号 @Zai_org 。
此前一天，Anthropic 的 Frontier Red Team 发布了针对 GLM-5.3 的评估：该模型能像 Claude Mythos Preview 一样自主构建端到端网络利用，其防护可被简单技术在 64%～100% 的模拟场景中绕过，而这些手法对受防护的 Claude 模型均未奏效。报告援引美国 NIST 下属人工智能标准与创新中心（CAISI）9 月 17 日发布的评估，称 GLM-5.3 是「迄今最具网络能力的开放权重模型」，按 CAISI 网络基准的综合口径落后美国前沿约 4 个月。
两个总数是怎么来的
Li 的帖子只给了两个总数，没有项目名单，也没有漏洞明细；关于分发方式，他只写了结果会私下交给维护者。帖子附带的链接指向 ，页面自述为「面向开源世界、由 AI 驱动的漏洞发现」（by Z.ai）。按页面说明，维护者用 GitHub 账号提交自己的公共仓库，文案写道：「提交一个公共仓库，OpenVuln 就会搜寻它的漏洞，与 GLM 一起保护你的开源仓库。」
这套数字还在更新。Li 发帖时给出的累计数是 389 与 4,249；到 10 月 3 日，该服务的显示：项目 558 个、已完成扫描 409 次、findings（扫描发现）合计 4,415 条（其中严重 572、高危 2,533）。
「像在给网络安全团队推销 GLM」
报告发布后，质疑声集中到它的动机和框架上。
内存取证与 DFIR 研究者 Andrew Case 的直接反问：「我实在很困惑，Anthropic 为什么要写一篇读起来像在给网络安全团队推销改用 GLM 的博客？」10 月 3 日检索时，这条帖子获得约 2,900 次点赞和逾 35 万次浏览。
开源模型研究者 Nathan Lambert 的长评（）批评报告「以己度人」：它暗示 Z.ai 其实不在乎安全、采取这样的商业策略是鲁莽的，却没有考虑其他安全路径；在他看来，有公开记录的网络攻击更多使用闭源模型，「『开放危险、闭源安全』这个说法，也许更接近『开放不安全，闭源也不安全』」。他同时同意报告作者的一个判断：没有极端网络护栏的开放权重模型，对在经济中快速扩散网络防御能力有价值。
X 简介写着「AI and National Security @cnasdc」的 Ben Hayum 把报告数值：abliteration（去除拒答的常见技术）成本约 4,400 美元；拒答率从 90% 以上降到约 3%、2% 和 12%（三个基准）；能力几乎未降，GPQA 分数相同、CyberGym 约降 4%；即使不做 abliteration，越狱手法依然有效；而这些手法对 Claude 模型都不起作用。
另一边，据 ，Z.ai 称该模型的网络安全能力需要「额外两周的全面安全评估」；其 API 于 8 月上线，权重约两周后才公开。新的许可证还要求年收入超过 100 亿美元的公司先通过 Z.ai 的安全审查，才能用于商业用途。
「好消息」与「谁能拥有这些能力」
10 月 2 日，DeepLearning.AI 的给出正面读法，标题即《GLM-5.3 的 ExploitBench 成绩对网络安全是好消息》。文中写道：在 Anthropic 的图表里，按可比的 token 预算，GLM-5.3 在 ExploitBench 部分任务上的漏洞利用成功率是 12%，Mythos 是 14%；而在 GLM-5.3 开发方自己关于完整基准的报告里，对应数字是 54.4% 与 78.0%。两组数字测量范围不同。《The Batch》的判断是：这为用不上 Mythos 的防御者打开了用高能力模型自保的路径；攻击者同样能获得这类能力，加速防御因此更紧迫。
The Decoder 在 9 月 30 日的里把限定条件摆到前面：CAISI 的比较中，美国模型是在关闭网络护栏的条件下受测的，且其中顶级模型只对经过审核的用户开放；Anthropic 估算，熟练团队从零开始做 abliteration 只需约 1,200 美元。报道还说，这份警告同时服务于 Anthropic 的业务：它不公开权重，而报告恰好把这一点写成安全优势，其呼吁政府对后续模型做安全测试也招来「监管俘获」的联想。不过报道也承认，这并非纯粹的私利：CAISI 的独立评估支持了能力数字，被解除防护的模型版本也已流出。
Rui Ma 的把问题从能力转到分配。她写道，Anthropic 清楚这样一份报告在华盛顿意味着什么；而报告在论证 GLM-5.3 危险的同时，等于承认在网络安全这个关键能力上，中国的开放权重模型已接近 Mythos Preview 水平，她引用的是报告里 50 次对 56 次的端到端 exploit 数字。「政策问题不只是这些能力是否危险，而是谁能拥有它们。」在她看来，Anthropic 偏好的世界是受控访问，由它决定哪些防御者能用上最强的网络模型；GLM-5.3 代表的是另一个世界：权重开放，Anthropic 和美国政府都不是守门人。
两套数字各自的边界
这套防御数字公开到什么程度，受服务设计限制。OpenVuln 把每条发现的可见性交给提交者：默认只有所有者可见，维护者可以选择「披露」（disclose），披露后完整报告才会在该服务上公开。10 月 3 日检索时，4,415 条 findings 中标记为「已披露」的是 46 条。
Anthropic 那一侧也有报告自己写下的边界。报告记录的一项具体演示，是一名研究者借助 GLM-5.3 在沙箱环境中跑出的可运行利用（见下图）；而「绕过率」一类数字来自不执行代码的模拟。报告脚注写明，模型拿到的假 bash 工具不会真正运行指令，结果由另一个 LLM 近似给出，这类模拟「无法完美反映真实世界状况」，是不完美的度量。
两套数字并不来自同一种测量：一边量的是模型在模拟中面对恶意指令时是否配合、能否构建利用，一边数的是防御服务里提出的发现数量。Li 的帖子没有提及关于防护可被绕过的结论。
OpenVuln 对扫描结果的说明里写着：「一次干净的扫描不能证明一个项目没有漏洞。」截至 10 月 3 日，该服务仍有 6 个扫描在进行中。