AREX Feed Article
Vals AI 网络攻防基准：受限 GPT-6 Sol 完成 80.8% 攻击目标，开放权重 DeepSeek 以 72.8% 紧随、单次成本约 3 美元对 22 美元
评测公司 Vals AI 公布了网络攻防基准 CyberOffense 的结果（基准页 2026 年 10 月上线）：AI 智能体在一台与互联网隔离的 Kali Linux（一款渗透测试专用 Linux 发行版）机器上，无人类协助地自主攻击模拟的企业网络靶场。据 11 月 7 日报道，OpenAI 仅通过受限 Daybreak 网络计划提供的 GPT-6 Sol 完成 80.8% 的攻击目标，排名第一；任何人都可以下载的开放权重（open-weight，指模型参数公开）模型 DeepSeek V4.1 Flash 1017 达到 72.8%。按 的口径，开放模型跑出这一成绩的成本约为受限模型的十分之一：Nova 测试中 DeepSeek 单次运行不足 3 美元，Daybreak 约 22 美元。
差距在更难的 Lighthouse 靶场上进一步具象化：Daybreak 在不到三小时里完成 31 项目标中的 27 项——攻入第一家公司、夺取管理员权限、窃取密码，再用这些凭据进入第二家公司；DeepSeek 完成 21 项。Vals 在基准页写道：过去分隔受限前沿模型与免费可用模型的那道差距，「现在已经很小」。
从夺旗谜题到网络靶场：CyberOffense 怎么测完整入侵
CyberOffense 测的不是单点解题，而是完整入侵。Vals AI 在基准页解释，多数现有攻防基准用的是短小的自包含挑战，比如单个夺旗（capture-the-flag）谜题；而真实入侵要花上数小时、在网络里串联许多步骤。该基准因此使用「网络靶场」（cyber range）——按真实组织搭建、与真实系统隔离的模拟网络，里面有服务器、工作站、用户账号和逼真的安全漏洞。靶场目前有两个：Nova 是一个带多个互连 Active Directory（微软用于管理企业账户与权限的域管理系统）域的大型 Windows 网络；Lighthouse 则包含两套独立的公司网络，第一套里找到的信息是进入第二套的唯一途径。
每次运行，被测模型被装进开源的 Pi 智能体，放到一台只允许连接模型提供方和靶场的 Kali Linux 隔离机器上，拿到任务简报（目标、起点、授权范围）和一个公共 web 应用的地址，然后自行执行命令、读输出、再执行，直到完成、耗尽 5 亿 token（模型读写的文本单元，含缓存输入与推理 token）预算或触及 48 小时上限；每次运行都用一份全新的靶场副本。
评分不采信模型的自述。每项目标在目标机器上都留有一个隐藏标记——比如一个文件或一条记录——只有真正攻到那一步才读得到；运行结束后，Vals 在私有答案库中检索外部记录的命令输出。基准页署名 Nikil Ravi、Hung Tran、Langston Nashold 与 Rayan Krishnan 四位作者，他们称复核了全部运行，未发现捷径：没有模型读到答案库，每一项得分都能对应到一台被真实攻破的机器上的标记。
榜单：Nova 上开放模型反超，Lighthouse 上受限模型领先
据 The Decoder 整理的榜单，综合完成率居首的是 GPT-6 Sol Daybreak，DeepSeek V4.1 Flash 1017 紧随其后；分靶场看，结果并不一边倒。Nova 上 DeepSeek 三次运行平均完成 16.3 项（满分 21，区间 15～18），略高于 Daybreak 的 15.7 项（区间 12～19），Vals 的表述是两者在第一个网络上「持平」；Lighthouse 上 Daybreak 以 27 项领先，DeepSeek 完成 21 项，Kimi K3.1 Pro 20 项，Meta Wonder 则以 28 项位居该靶场第一——但它在 Nova 上只完成 7 项。
| 模型 | Nova（满分 21） | Lighthouse（满分 31） |
|---|---|---|
| GPT-6 Sol Daybreak | 15.7（3 次平均，区间 12～19） | 27 |
| DeepSeek V4.1 Flash 1017 | 16.3（3 次平均，区间 15～18） | 21 |
| Kimi K3.1 Pro | 13 | 20 |
| Meta Wonder | 7 | 28 |
| Grok 4.7 | 12 | 16 |
| Kimi K3 | 9 | 10 |
| GLM 5.3 Flash | 5 | 5 |
这批成绩全部出自 Vals AI 自有基准的口径，The Decoder 为转述方。The Decoder 还转述了 Vals 研究者的判断：模型权重一旦公开，任何提供方都无法再监控或阻止它的使用方式。Vals 称开放权重模型此次是在「没有防护措施」的状态下运行的；The Decoder 则指出，DeepSeek 在 Lighthouse 上的表现并非只受安全护栏限制。
Lighthouse：从第一家公司偷来的密码打开了第二家
Lighthouse 模拟的是跨网络攻击战役。GPT-6 Sol Daybreak 的入侵从一台工作站和公共 web 应用的地址出发：先攻破第一个网络并取得管理员控制权，窃取其中的密码，再用它们进入第二家公司网络。靶场后段要求钓鱼——让一名模拟员工运行攻击者的文件——还要攻击 Active Directory、在机器间横向移动、滥用域间的信任关系、从最终域提取数据。
最深的一段无人走完：Vals 称，没有任何模型完成 Lighthouse 的最终目标——把从第一个网络偷到的访问权一路带到最后一个目标；整套运行中，也只有一次到达了 Nova 的最后阶段。
前 2,500 万 token 零得分：短测试会低估开放模型
DeepSeek 在最初 2,500 万 token 内得分为零，直到累计约 1 亿 token 后才取得大部分进展，付出的 token 是 Daybreak 的 2～4 倍；Daybreak 则高效得多，在 1 亿 token 内就完成了 Lighthouse 31 项中的 25 项。差别在价格：DeepSeek 的 token 便宜，跑满这么长的时间，单次成本仍在 3 美元以内。Vals 据此给出的结论是：会在早期截断算力的评测，会把 DeepSeek 排到远低于其实际水平的位置。
弱模型则相反，算力给得再多也追不动。The Decoder 榜单上的 Grok 4.7、Kimi K3 和 GLM 5.3 Flash 都在预算耗尽前很久就停滞、再未恢复；Vals 称这一组里每次运行都是自行结束，而非被 token 或时间上限切断——分数标记的是模型自己跑不出下一步的位置。Vals 认为 GLM 5.3 Flash 的停滞最为直观：在其中一个靶场上，它花了约 36 小时和约 1,000 轮对话，其中大部分时间在睡眠并轮询一个从未返回的后台任务，最后停在 5 项目标。
此前的两项测量指向同一方向：差距缩到 4～7 个月
Vals 的结果与此前的两项测量相互印证。发现，开放权重模型已追平 4～7 个月前闭源前沿模型的网络能力，而 2025 年的大部分时间里这个差距还是 6～10 个月；AISI 还测得一次 1 亿 token 的网络靶场运行，DeepSeek V4-Pro 花费 1.19 美元，Anthropic 的 Opus 4.5 约需 85 美元；该所并发现，开放模型的安全防护基本无效。9 月底，称智谱（Zhipu AI，在海外以 Z.ai 名义运营）的开放权重模型 GLM-5.3 构建漏洞利用（exploit）的能力已接近其受限的 Claude Mythos Preview。
三项测量口径各异——AISI 用 70 项窄任务和 32 步靶场，Anthropic 用漏洞利用基准，Vals 用两个完整入侵链靶场——但读数一致：开放模型与受限前沿模型的网络攻击能力差距在收窄。
防御者的窗口，以及 Vals 对未来几个月的判断
这份结果对防御方另有一层用途。Vals 在基准页写道：能让智能体找到入口的同一能力，也能让防御者先找到弱点；开放权重让企业不必等提供方批准，现在就能用这些模型测试并修复自己的系统，赶在攻击者之前。Vals 还预期，未来几个月，针对真实企业网络的此类攻击将变得更常见；并表示，会随前沿系统的进展继续增加靶场和受测模型。