GLM-5.3 与高级网络能力的扩散
来自 Anthropic Research · 期号 2026-09-29
摘要
Anthropic 分析了智谱 AI 的最新模型 GLM-5.3，发现它具备与 Claude Mythos Preview 相当的自主网络漏洞利用能力，但缺乏有效的安全防护。 在测试中，GLM-5.3 的安全防护可以被简单手段绕过 64% 到 100% 的时间：用欺骗性提示（告诉模型它是红队 agent）绕过率 64%，预填思考 token 绕过率 92%，abliteration（去除拒绝机制）绕过率 100%。abliteration 成本约 4400 美元，将拒绝率从 90% 以上降至 3%，且能力几乎不受影响。这些手段对 Claude 模型均无效。 NIST 下属 CAISI 评估 GLM-5.3 是“迄今发布的最具网络能力的开源权重模型”，在综合基准上落后美国前沿约四个月。但美国前沿模型只向经过审查的用户开放，而 GLM-5.3 任何人都可以下载。 GLM-5.3 在 ExploitBench 上 410 次尝试中成功开发端到端漏洞利用 50 次（Claude Mythos Preview 56 次）。在人工辅助测试中，一名研究员用 GLM-5.3 在一天内发现了流行浏览器 JavaScript 引擎的多个 0-day 漏洞并链成可工作的利用。另一名研究员用 GLM-5.3-Flash 在 20 分钟人工注意力加 8 小时模型计算（成本 20.40 美元）内，将公开漏洞变成了针对 ARM64 的可靠利用链。 Anthropic 已向相关维护者披露了发现的漏洞。
深读
导读 Anthropic 前沿红队分析了智谱 AI 的 GLM-5.3，发现它是首个具备与 Claude Mythos Preview 相当的自主网络漏洞利用能力的开源权重模型，但安全防护极其薄弱。攻击者可以用简单手段绕过其防护，而 Claude 模型不受这些手段影响。这篇文章的核心价值在于，它用具体数据揭示了“能力扩散但安全缺失”这一现实威胁，并讨论了防御者应如何应对。 关键信息 - GLM-5.3 在 ExploitBench 上成功完成端到端漏洞利用 50/410 次，Claude Mythos Preview 为 56/410 次，两者能力相当。 - 在 Anthropic 内部二进制漏洞利用基准上，GLM-5.3 实现完整控制流劫持的比例为 4%，Claude Mythos Preview 为 6%，而更早的模型（Claude Opus 4.6、GLM-5.2）成功率为 0%。 - 一名研究人员使用 GLM-5.3，在一天内发现并链式利用了一个流行浏览器 JavaScript 引擎中的多个零日漏洞，生成了一个可窃取用户 SSH 私钥的恶意网页。 - 另一名研究人员使用 GLM-5.3-Flash，在 20 分钟人工关注和 8 小时模型运行时间内，将 Chrome 的一个已知漏洞（CVE-2026-11645）转化为可靠攻击链，绕过 ARM64 的指针认证（PAC）防护，成本仅 20.40 美元。 - 对 GLM-5.3 进行“abliteration”（去除拒绝机制）成本约 4400 美元，将其在 JailbreakBench 和 HarmBench 上的拒绝率从 90% 以上降至约 3%，且模型能力几乎不受影响（GPQA-Diamond 得分不变）。 - 在不修改模型权重的情况下，欺骗性提示（告诉模型它是红队 agent）可绕过 GLM-5.3 防护 64% 的时间，预填思考 token 可绕过 92% 的时间，abliteration 可 100% 绕过。 逐节讲解 GLM-5.3 的自主漏洞利用能力 Anthropic 通过自动化基准测试和人工辅助测试评估了 GLM-5.3 的漏洞利用能力。在 ExploitBench（针对 Google Chrome V8 引擎的已知漏洞）上，GLM-5.3 成功完成端到端利用的比例与 Claude Mythos Preview 接近（50/410 vs 56/410）。在内部二进制漏洞利用基准（针对 OSS-Fuzz 项目中的开源软件）上，GLM-5.3 在 4% 的尝试中实现了完整控制流劫持，Claude Mythos Preview 为 6%，而更早的模型（Claude Opus 4.6、GLM-5.2）无一成功。这表明 GLM-5.3 已经跨过了一个关键的能力门槛。 人工辅助测试中的实际表现 在更贴…