Anthropic 严正警告：GLM-5.3 已具备高级网络攻击能力

Anthropic 严正警告：GLM-5.3 已具备高级网络攻击能力 — woshipm.com · 13 小时前 · 🔒 安全

Anthropic 于今天凌晨发布对智谱 GLM-5.3 的网络安全评估，核心问题是：具备自主开发端到端漏洞利用程序的能力已经扩散到开放权重阵营，而发布时的护栏是否足以限制滥用。五个月前，Anthropic 的 Claude Mythos Preview 是首个能自主写出复杂端到端漏洞利用程序的系统，当时通过 Project Glasswing 限制性开放，帮助可信任的防御方在关键软件中发现超过 1 万个漏洞。评估称 GLM-5.3 具备同级能力，但发布时缺少有效护栏：用欺骗性提示、预填思考内容或移除拒绝行为等常见手法，绕过成功率分别可达 64%、92% 与 100%，而同类攻击未能突破保留护栏的 Claude 系统。9 月 17 日，NIST 下属的 CAISI 发布独立评估，认为 GLM-5.3 是迄今发布的网络安全能力最强的开放权重模型，按多项基准综合落后美国前沿模型约 4 个月；但 CAISI 在比较中对适用的美国系统关闭了网络安全护栏，且部分美国前沿版本只向通过审核的用户开放，而 GLM-5.3 任何人都能下载。在 ExploitBench 上，GLM-5.3 于 410 次尝试中完成 50 次端到端漏洞利用，Claude Mythos Preview 为 56 次；在内部二进制漏洞利用基准中，从参与 Google OSS-Fuzz 的开源项目随机抽取 100 项任务、要求完成完整控制流劫持，GLM-5.3 成功率为 4%，Claude Mythos Preview 为 6%。Anthropic 的结论是：能力扩散已不可避免，防御方必须抢在恶意使用者之前完成加固。

核心信息

能力扩散的时间线被压缩到约五个月：Anthropic 此前发布 Claude Mythos Preview，称其为首个能够自主开发复杂端到端网络漏洞利用程序的系统，并选择通过 Project Glasswing 限制性开放给可信任的网络安全防御者，这项计划帮助后者在关键软件中发现了超过 1 万个漏洞，让他们能在恶意攻击者获得同等能力之前先着手防御。如今同级能力已经出现在开放权重阵营，GLM-5.3 由智谱 AI 开发，在中国以外以 Z.ai 这一名称提供。
护栏有效性是本次评估的焦点。Anthropic 的模拟测试显示，攻击者用简单方法就能绕过 GLM-5.3 的安全护栏，绕过比例区间为 64% 到 100%，其中欺骗性提示、预填思考内容与移除拒绝行为三种手法分别对应 64%、92% 和 100%；相同攻击在保留护栏的 Claude 系统上未能突破，或者并不适用。评估因此认为，GLM-5.3 的弱护栏显著增强了恶意攻击者可获取的网络攻击能力，但同样的能力也能用于防御方保护自身系统。
第三方评估与可得性差异构成第二层风险。9 月 17 日，NIST 下属的人工智能标准与创新中心 CAISI 发布独立评估，认为 GLM-5.3 是迄今发布的网络安全能力最强的开放权重模型，按多项网络安全基准的综合结果比美国前沿模型落后约 4 个月；但 CAISI 在比较中对适用的美国模型关闭了网络安全护栏，且其纳入的部分美国前沿版本只向通过审核的用户开放，攻击者很难直接取得，而 GLM-5.3 任何人都能下载和使用。
基准成绩给出了能力落点：在针对 Google Chrome 所用 V8 引擎已知漏洞的 ExploitBench 上，GLM-5.3 在 410 次尝试中完成了 50 次端到端漏洞利用程序，Claude Mythos Preview 的表现在 410 次中完成 56 次；在内部二进制漏洞利用基准中，任务从参与 Google OSS-Fuzz 的常用开源项目里随机抽取 100 项，模型必须完成完整的控制流劫持才能拿满分，GLM-5.3 在 4% 的测试中做到，Claude Mythos Preview 的比例为 6%。

💡 为什么值得读: 它给出了可核对的绕过比例与基准成绩，让人看清高危能力已经落到人人可下载的权重上，攻防时间窗口究竟被压缩到了什么程度。

✍️ 小编看法: 小编看法：这份评估最值得注意的不是某一项跑分，而是能力门槛与可得性门槛被同时跨过。过去这类高危能力被锁在少数通过审核的账号后面，如今任何人都能下载权重、自行部署，护栏也就从产品功能变成了使用者的自觉。64% 到 100% 的绕过率说明，靠提示层拦截的做法在真正有动机的攻击者面前基本不成立；把安全寄托在发布方的善意上，是一种结构性错配。另一个容易被忽略的点是评估本身的不对称：一边是权重开放、人人可取，另一边是关闭护栏后才做比较、且部分版本只对审核用户开放。这种比较能说明能力差距，却说明不了真实攻击面上的风险差距。对防御方来说，时间窗口只有大约四个月，而这恰恰是补丁、检测规则与资产清点最需要提前布局的时段。对企业而言，现实动作是尽快清点暴露面，把可被自动化利用的已知漏洞排在修复队列最前面，并准备好当这类工具被用来批量挖洞时的应急流程。接下来值得盯三件事：会不会出现针对开放权重版本的强制护栏或使用登记要求，评测口径会不会统一成关闭护栏后的可比基准，以及下一代权重开放版本把差距再压缩到什么程度。真正的分水岭，是防御方能不能把这段领先期变成制度化的修复速度。

🏷️ Anthropic, GLM-5.3, cyberattack, guardrails