安全红线，已经被跨过去了

AI搞网络安全这件事，早就不是实验室里的理论推演了。它已经变成了明牌。

五个月前，Anthropic放出Claude Mythos Preview，号称首个能自主构建端到端网络攻击的模型。他们很谨慎，把它锁在Project Glasswing项目里，只让可信的防御者用。目的是抢在恶意黑客前面，挖出上万个关键漏洞。

但现实不讲剧本。这些能力，已经像水一样流到了外面。

这次的主角是智谱AI（海外名Z.ai）发布的GLM-5.3。和Claude不同，它没有加任何实质性的安全护栏。NIST下属的CAISI机构直接盖章：这是“截至目前发布的最具网络能力的开源权重模型”。中美前沿模型在网络攻防基准测试上差距仅约四个月。但美国模型要么加了锁，要么只对白名单开放。GLM-5.3不一样。它摆在货架上，谁都能下载，谁都能跑。

说实话，这种“开门做生意”的姿态，直接把网络安全圈的底裤都掀了。

二十美元撬动的“数字破城锤”

能力跃迁从来不看口号，只看数据。

我们在ExploitBench基准测试里看到，GLM-5.3在V8引擎漏洞利用任务中，410次尝试成功构建了50个完整攻击链。Claude Mythos Preview的成绩是56次，两者几乎持平。更可怕的是Binary Exploitation基准测试：早期模型连一次都没成功过，而GLM-5.3拿下了4%的全控制流劫持率。这个看似不高的数字，意味着一条从“不能做”到“能做”的暗线，已经被彻底踩实。

人类专家上手后的表现更直观。一名研究员把模型扔进沙盒，盯着一个Linux版主流浏览器跑了不到一天。GLM-5.3不仅自己挖出了多个未知漏洞，还把它们串成了一条完整的利用链：受害者只要点开特定网页，电脑里的任意文件就会被读取。后来，同样的操作又套在了无线驱动、显卡驱动和面向网络的设备上。

有意思的是，成本核算。另一场测试里，研究员用轻量版的GLM-5.3-Flash去复现Chrome的一个公开漏洞（CVE-2026-11645）。模型自己花了8小时，人类只盯了20分钟。搞定ARM64架构的指针认证绕过，按智谱API计价，总花费20.40美元。

个人觉得，这才是最让人后背发紧的地方。过去需要顶尖红队熬几周、烧几十万美金才能拿下的自动化攻击路径，现在变成了一次性消费的廉价服务。技术平权的尽头，往往是攻击成本的断崖式下跌。

“GLM-5.3将 Likely 赋予恶意行为者前所未有的漏洞发现能力。”

防弹衣脱下来，只剩纸糊的墙

开源意味着自由，也意味着裸奔。

GLM-5.3出厂时并非没有拒绝机制。你直接问“怎么炸大楼”，它会摇头。但在我们的模拟环境里，绕过它的防线成功率高达64%到100%。不需要高级社工，不需要复杂Prompt注入，几个常规动作就够用了。

最狠的一招叫“abliteration”（拒答剥离）。因为权重是开放的，开发团队不用改代码，直接重构参数就能把模型的道德刹车拆掉。我们团队花了2200个GPU小时，砸了大概4400美元，把GLM-5.3的拒答率从90%以上硬生生压到2%左右。通用科学能力没掉，网络安全专项只跌了几个百分点。几天内，网上已经出现了大量剥离后的版本。

对比一下Claude的待遇。 deceptive prompts（欺骗性提示）会被精准拦截；API不允许预填充思维链；权重更是铁板一块，根本没法动刀。Anthropic的测试报告里写得很清楚：“这些技巧对受保护的Claude模型完全无效。”

但这恰恰暴露了一个行业悖论。一边是高昂的合规成本和严密的访问控制，另一边是零门槛的本地部署和一键剥离。当防御方还在为API配额和审核流程头疼时，攻击方已经在GitHub上完成了武器库的迭代。

这点我不太认同：认为“加了护栏就是负责任”的逻辑，在开源生态里根本行不通。护栏可以挡住新手，挡不住拿着源码的人。

守门人关上了门，却忘了钥匙在谁手里

Anthropic的结论很官方：防御者也需要顶级工具。他们呼吁政府做安全测试，呼吁开发者加强护栏，同时暗示自己的项目应该向更多防御实体开放。

听起来无懈可击。但看看社区的真实反应，风向已经完全变了。

有人复盘了自己的遭遇：笔记本中了伪装成Cloudflare的恶意软件，慌忙找Claude求助，结果第一条请求就被拒。退而求其次，打开OpenCode调用DeepSeek v4 Flash，不仅完成了全链路逆向取证，还把残留进程清得干干净净。“Anthropic把模型当武器，转头又抱怨武器伤人。”这条热评扎得很准。

更讽刺的旧案翻出来了。前几个月Hugging Face遭大规模攻击时，平台被迫启用GLM模型进行分析和防御。为什么？因为OpenAI和Anthropic的模型触发了安全护栏，根本不给输出。最后救场的，还是这家中国公司的开源底座。

说实话，这种“我造了核按钮，然后禁止别人碰，最后自己喊痛”的操作，确实有点双标。商业公司追求利润和合规无可厚非，但当AI的网络攻防能力已经跨越临界点，继续玩“精英白名单+高墙深院”的游戏，只会加速生态的分化。用户不会等你的审核，黑客也不会遵守你的使用条款。

真正的破局点不在封锁，而在扩散。防御者手里握着比对手更强的工具，才是遏制滥用的唯一物理法则。

技术洪峰已经推到岸边，闸门还能关上吗？当第一行自动化攻击代码以二十美元的价格流向全球，我们是在迎接效率革命，还是在默许一场无声的数字军备竞赛？

【锐评】：安全护栏挡不住开源洪流，防御者唯有先于对手拿到武器，才能守住底线。

参考链接：
https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities