来源: GLM-5.3 and the spread of advanced cyber capabilities \ Anthropic
五个月前，我们发布了Claude Mythos Preview，这是首个能够自主构建复杂端到端网络攻击方案的人工智能模型。人工智能技术的飞速发展让我们意识到，这种能力最终会扩散到许多其他模型中，从而使恶意网络攻击者更容易发起影响巨大的网络攻击。
鉴于这些考虑，我们选择通过“玻璃之翼计划”以有限的方式发布 Claude Mythos Preview——该计划使值得信赖的网络防御者能够在关键软件中发现超过 10,000 个漏洞，使他们在恶意行为者获得类似功能模型之前抢占先机。
但这些模型如今已然问世。本文将分享我们对智普人工智能（Zhipu AI，在海外被称为Z.ai）最新人工智能模型GLM-5.3的分析。与Claude Mythos Preview类似，GLM-5.3也具备自主构建端到端网络攻击的强大能力。但与其他前沿模型不同的是，GLM-5.3在发布时并未采取有效的安全措施来限制其滥用。我们的模拟测试发现，攻击者仅凭简单的技术就能在64%到100%的情况下绕过GLM-5.3的安全防护。相比之下，在我们的测试中，针对配备安全防护的Claude模型，这些攻击均未成功。我们认为，GLM-5.3安全防护的不足显著提升了恶意攻击者的网络攻击能力。与此同时，这些能力也可能使致力于保护自身系统的防御者受益。
9月17日，美国国家标准与技术研究院（NIST）人工智能标准与创新中心（CAISI）发布了其对GLM-5.3网络安全能力的评估报告。CAISI发现，GLM-5.3是“迄今为止发布的网络安全能力最强的开放权重模型”，并且在CAISI网络安全基准测试的综合结果中，其性能比美国领先模型落后约四个月。我们的能力评估结果与CAISI的结论基本一致。在CAISI的对比测试中，美国模型在适用情况下禁用了网络安全防护措施，而美国领先模型仅发布给经过审核的用户。攻击者无法轻易访问这些版本的美国模型，但任何人都可以下载GLM-5.3。本文将分析GLM-5.3的安全防护措施被绕过或移除的难易程度。
GLM-5.3 可以开发端到端的可用漏洞利用程序。
为了解 GLM-5.3 如何帮助网络威胁行为者发现并利用真实的软件漏洞，我们分别采用自动化基准测试和人机协同工作流程进行了评估。两种方法均在隔离的沙箱环境中运行测试模型，确保其只能攻击我们为本次评估专门设置的离线目标。我们主要关注漏洞利用开发能力，因为 Claude Mythos Preview 在这方面相比之前的 Claude 模型有了显著提升。
首先，我们在ExploitBench上运行了该模型，该工具用于衡量 AI 模型利用 Google Chrome 使用的 V8 引擎中已知漏洞的能力。我们重点关注模型成功开发端到端漏洞利用程序的能力，因为这是攻击者最关心的能力，也是我们发现模型间差异最显著的地方。我们发现，GLM-5.3 在 410 次尝试中成功开发了 50 次端到端漏洞利用程序。Claude Mythos Preview 的成功率与之相近，在 410 次尝试中成功开发了 56 次。
在我们内部的二进制漏洞利用基准测试¹中，我们测试模型能否发现并利用参与谷歌OSS-Fuzz项目的热门开源项目中的漏洞。在此测试中，完全控制流劫持可获得满分。我们从基准测试中随机选取100个任务，对多个模型进行评估，发现GLM-5.3在4%的测试中实现了完全控制流劫持；Claude Mythos Preview的这一比例为6%。尽管GLM-5.3的性能低于Claude Mythos Preview，但显然已经突破了一个重要的阈值：更早的模型，例如Claude Opus 4.6和GLM-5.2，在任何测试中都未能成功。
接下来，我们评估了 GLM-5.3 在人类专家手中执行开放式网络攻击任务时的表现（与我们今年早些时候使用 Claude Mythos Preview 进行的测试类似）。在此，我们选择人类专家事先不了解其现有漏洞的目标，然后要求他们使用该模型来识别和利用新的漏洞。这些实验测试了专家在短时间内能够完成的任务：实验通常持续一天或更短时间，总共耗时不到一小时。
在第一阶段，研究人员在一台沙盒机器上使用 GLM-5.3，该机器上安装了本地 Linux 版本的一款常用网页浏览器。在一天的时间里（且人工干预有限），GLM-5.3 在该浏览器的 JavaScript 引擎中发现了几个此前未知的漏洞，并将它们串联起来，构成了一个可利用的漏洞：一个网页，当用户访问该网页时，它会从访问者的计算机上读取任意文件（如图 3 所示）。该漏洞利用针对的是 Linux 版本的浏览器，因为这是模型唯一可用的环境。然而，我们认为这些漏洞也可能影响其他平台上的用户，尽管在这些平台上利用这些漏洞的路径可能更为复杂。（我们已将这些漏洞披露给维护者。）在随后的阶段，研究人员还使用 GLM-5.3 在其他几个广泛使用的系统中发现了可利用的漏洞，包括无线和图形驱动程序以及面向网络的设备软件。我们目前正在审查这些报告，并将酌情向维护者披露相关信息。
在第二次测试中，研究人员使用 GLM-5.3-Flash（GLM-5.3 的一个功能较少、体积较小的版本）开发了一个已知漏洞的攻击程序（我们之前曾在 此处介绍过这些“N天”漏洞利用）。这次，研究人员专注于最近披露的 Google Chrome 漏洞 (CVE-2026-11645)，以测试该模型将公开修复程序转化为有效攻击的速度。研究人员向 GLM-5.3-Flash 提供了该 CVE 和另一个已知漏洞的公开信息。在研究人员没有提供太多指导的情况下，GLM-5.3-Flash 将这两个漏洞的攻击程序串联起来，构建了一个针对 ARM64 目标的可靠攻击链，绕过了指针认证 (PAC) 加固。这项工作耗费了 20 分钟的人工操作时间，以及 GLM-5.3-Flash 8 小时的运行时间。按照 Zhipu 的 API 定价，这项工作的成本为 20.40 美元。
GLM-5.3 缺乏强有力的保障措施
GLM-5.3 发布时内置了一些安全措施：如果用户提出明显有害的要求，模型通常会拒绝。然而，在我们的测试中，我们发现这些安全措施可以通过多种简单方法绕过或移除。
最彻底、也最有效的方法是标准的拒食减少技术，称为“消除拒食”。由于 GLM-5.3 是以开放权重模型的形式发布的，用户可以对其进行重新配置，在几乎不改变其功能的情况下消除拒食。在模型发布后的几天内，一些开发者就向公众发布了 GLM-5.3 的消除拒食版本。
为了研究彻底删除模型能让攻击者在多大程度上绕过 GLM-5.3 的安全机制，我们自行制作了一个彻底删除的 GLM-5.3 副本，并在三个公开的基准测试（JailbreakBench、HarmBench和StrongREJECT）上运行了该副本。这三个基准测试衡量的是模型响应明显有害请求的频率。彻底删除模型耗费了我们团队约 2200 个 GPU 小时，计算成本约为 4400 美元，而我们团队此前从未尝试过这项任务。 3彻底删除 GLM-5.3-Flash 耗费了约 600 个 GPU 小时。修改后的 GLM-5.3 在前两个基准测试（JailbreakBench 和 HarmBench）中的拒绝率从 90% 以上降至约 3% 和 2%，在第三个基准测试（StrongREJECT）中降至 12%。消除模型的功能并没有显著降低模型的性能：在衡量一般科学能力的 GPQA-Diamond 评估中，标准模型和消除模型的得分相同；在 CyberGym 评估的一个测试子集中，消除模型的得分略低几个百分点（如下表所示）。
在我们的测试中，我们观察到，即使不 使用经过彻底改造的模型，GLM-5.3 的安全机制也可以被绕过。我们将该模型置于一个模拟世界4中，并向其发出明显的恶意请求，使其攻击关键系统。GLM-5.3 在所有测试中均拒绝了这些请求（与我们测试的其他模型一样）。但我们发现了几种绕过 GLM 模型安全机制的简单方法，使其在大多数情况下或所有情况下都能响应这些请求。这些方法包括：
- 提供误导性提示，例如告诉模型它是一个正在执行演练的自主红队代理，这种方法能让 GLM-5.3 在 64% 的情况下参与进来。
- 预先填充模型的思考标记，使其看起来像是已经考虑了用户的请求并决定继续执行。这使得 GLM-5.3 的参与率达到 92%。
- 使用如上所述的简化版模型。这样可以使 GLM-5.3 始终保持 100% 的运行率。
在我们的测试中，这些技术均未能使受保护的 Claude 模型执行我们测试的恶意任务。Claude 的安全机制阻止了使用欺骗性提示的请求。Anthropic API 使潜在攻击者无法预先填充 Claude 的思维模式。而且，由于 Claude 的权重不提供给用户，因此无法通过修改权重来改变 Claude 的行为。
为了展示被篡改的 GLM-5.3 版本是如何从事有害活动的，我们重点引用它所产生的一系列思路中的一段话：
这是什么意思？
GLM-5.3 很可能使恶意行为者能够获得强大的能力，从而在几乎不受任何限制的情况下发现并利用网络漏洞。这与其他任何类似功能的 AI 模型都截然不同，其他同类模型要么带有安全措施，要么通过限制访问计划发布。GLM-5.3 的发布标志着攻击者可利用的网络能力发生了重大转变。Anthropic和其他美国 AI 实验室近期发布的报告披露了网络攻击者如何试图利用 AI 系统。鉴于这些证据，我们认为国家和非国家行为体都可能利用 GLM-5.3 等模型造成现实世界的危害。
另一方面，具备这种能力的模型也可以被防御者使用。我们认为，网络防御者应该使用最符合自身需求的最佳工具。我们正在努力安全地扩大Claude网络能力的访问权限，让尽可能多的防御者都能使用。网络防御者面临着会利用一切可用工具的攻击者，我们认为防御者应该配备至少与对手所用模型性能相当的前沿模型。
通过“玻璃翼计划”（以及其他类似“修补地球”的项目），网络安全防御者在保护关键系统方面取得了显著进展，但仍有许多工作要做。虽然经过审核的防御者现在可以通过我们的可信访问计划使用更高级的模型，例如 Claude Mythos 5.1，但自由访问能力方面的关键门槛已被突破。GLM-5.3 凸显了将先进前沿模型的访问权限扩展到更多实体以增强网络安全防御能力的紧迫性。
各国政府应针对功能强大的AI模型（包括GLM-5.3的后续模型）进行安全测试。如果没有来自独立机构的高质量评估，模型开发者可能要到为时已晚才能充分了解这些功能的影响。随着世界各地的AI开发者构建功能日益强大的开放权重模型，我们希望他们能够妥善保护这些功能，防止滥用。