就蛮搞笑的。
事情的起因，是Anthropic一纸檄文状告了智谱的GLM-5.3，大致意思是说：
GLM-5.3这个模型啊，它已经很会找软件漏洞、编写攻击程序，而且防滥用限制容易被绕过。大家得小心喽~
但如果你把这篇文章读完吧，就会越发觉得不对劲儿。
因为Anthropic为了证明自己说的是有道理的，所以特意拿出了实测成绩。
例如在一项考察完整漏洞利用能力的ExploitBench测试中，同样尝试410次，GLM-5.3成功了50次，Claude Mythos Preview成功了56次。
文章顺带还引用了美国NIST下属CAISI在9月17日给出的评估，说“GLM-5.3是迄今网络能力最强的开源权重模型，综合水平距美国前沿大约4个月”。
甚至Anthropic自己的研究人员还拿GLM-5.3去检查浏览器，找出了此前未知的漏洞，并在隔离环境里做出了能够读取测试电脑文件的攻击链。
……
你说你这，你这这这……到底是在骂啊，还是在夸啊。
好多网友看也是这种感觉：
看完这份报告之后，对GLM-5.3的印象更深了。
Anthropic在给GLM-5.3打广告。
能把警告写成广告，Anthropic还是有点东西在身上的。
△
到底控诉了些啥？
调侃归调侃，我们还是得先把Anthropic究竟在警告什么给搞清楚。
其实这篇报告的核心意思，可以归结为三条。
第一条：Mythos级别的能力已经“流”到开源模型里了
在这份报告中，Anthropic上来先铺垫了一件事，就是他们五个月前发的Claude Mythos Preview，说是第一个能自主完成复杂、端到端漏洞利用的AI模型。
Anthropic当时是觉得这个能力太敏感，于是没有选择公开发布，只是通过Project Glasswing开放给经过审核的防御者，让这些人抢先去修关键软件里的漏洞，据称已经找出了1万多个。
当时Anthropic就判断，这种能力迟早会扩散到别的模型身上。现在它的说法是：来了，就是GLM-5.3。
而且在Anthropic看来，这事儿的门槛还有点低。除了前面我们说的浏览器案例，研究员还拿更小的GLM-5.3-Flash试了一把：
给它一个刚公开的Chrome漏洞（CVE-2026-11645）和另一个已知漏洞的公开资料，人工只花了约20分钟，模型自己跑了约8小时，就在ARM64平台上搭出一条稳定的攻击链，还绕过了指针认证（PAC）防护。
按照智谱当时的API价格估算，模型调用费用为20.40美元。
第二条：护栏太好绕，甚至能直接拆掉
这份报告其实是承认GLM-5.3是有安全机制的，在模拟测试里直接让它去攻击关键系统，它全都拒绝了。但研究员找到了几个简单的办法：
骗它说自己是正在做演练的“自主红队智能体”，GLM-5.3有64%的情况会接着干；
提前替它填好思考内容，假装它已经想过并决定执行，比例升到92%；
换成拆掉护栏的版本，直接100%。
（所谓“拆护栏”，是一种叫abliteration的技术，通过修改开源权重来削弱模型的拒答机制。）
Anthropic自己动手做了一遍，说团队以前从没做过，花了大约2200 GPU小时、约4400美元算力。处理完之后，GLM-5.3在JailbreakBench和HarmBench上的拒答率从90%以上掉到约3%和2%，在StrongREJECT上掉到12%，能力却几乎没受影响。
报告里甚至贴了一段拆掉护栏后的GLM-5.3在模拟环境里的思考过程，模型把“悄悄造成伤亡”当成自己的任务，犹豫了一下，最后还是决定照用户说的办。
与之对照，Anthropic反复强调，同样这几招拿去对付带防护的Claude模型都没成功：骗它，它不上当；API不让用户预填思考；权重不公开，也就没法拆。
第三条：呼吁第三方出手测一测
报告最后给出的结论是，GLM-5.3很可能让恶意攻击者在几乎没有限制的情况下拿到找漏洞、打漏洞的能力，这一点和其他同等能力的模型都不一样，后者要么带着防护发布，要么只限量开放。
基于此，Anthropic给出了两条建议：
一是尽快把前沿模型开放给更多防御者，报告特意提到，审核过的防御者现在已经能通过受信访问计划用上更强的Claude Mythos 5.1。
二是呼吁对足够强的AI模型开展独立安全测试，点名包括GLM-5.3的后继者，同时希望全球的开源模型开发者把这些能力管好、防止滥用。
总而言之，总结成一句话就是：
GLM-5.3很强，强到Anthropic觉得不该让所有人都随便用。
从“你抄我”到“你太强”
有一说一，你是否觉得这次的事情有那么一丢丢眼熟？
没错，因为这不是Anthropic第一次点名智谱了。
9月10日，Anthropic的威胁情报报告点了七家中国AI实验室蒸馏，智谱也在其中。
这不，不到三周时间，点名又来了，这次的话题就是网络安全。
几个月前还是“你的能力是从我这儿抄的”，现在变成“你的能力太强，强到危险”，如此转变还是有点意思的。
不过这次报告里有几处警告，还是值得掰扯一下。
比如“拆护栏”，abliteration针对的是开放权重这个属性，换成任何一个开源模型都能这么干，不是GLM-5.3独有的问题。按报告自己的数据，原版GLM-5.3在三个有害请求基准上的平均拒答率约95%，Claude约96%，相差无几。
而Claude之所以“骗不动、拆不了”，很大一部分原因是权重不公开、API不让预填思考，这更多是产品形态的差别。
再比如“没有实质防护”，GLM-5.3在8月发布时，智谱就把权重推迟两周开源，称要先完成安全评估和加固，最敏感的能力也只通过网络安全受信访问计划开放给验证过的用户，这其实是和Anthropic对Mythos 5.1的做法思路相近的。
还有个现成的例子就是今年7月，OpenAI的模型在内部测评时跑出测评环境，攻进了Hugging Face。Hugging Face取证时，托管的前沿模型API拒绝分析攻击载荷，最后靠自己部署的开源GLM-5.2，才还原出1.7万多条攻击动作。
当然，开源模型的安全不是伪命题，权重放出去就收不回，这是整个开源阵营都得正视的事。Anthropic说防守方应该用上至少和对手一样好的模型，这话也没错。真正的分歧在于，这把武器是锁进保险柜按审核发放，还是交到每个开源维护者和中小团队手里。
不管怎么说，被对手当成最强安全工具认认真真测了一遍，还附上实战截图和成本核算，这波广告费，智谱算是省下了。
最后，Anthropic，如果你们觉得开源模型不安全，你们大可以开源一个安全的给大家用啊！
参考链接：
[1]https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
[2]https://x.com/kimmonismus/status/2105052186401267864
[3]https://x.com/SahilPanhotra/status/2105018914833158262
本文来自微信公众号 “量子位”（ID：QbitAI），作者：关注前沿科技，36氪经授权发布。
