Anthropic评估称开源权重模型GLM-5.3在隔离模拟环境中已能完成从漏洞发现到端到端利用的完整链条，且其安全限制较易被提示技巧或权重修改绕过，带来更高的滥用风险。评估同时指出这些结果来自沙箱和模拟测试，不等同于对现实互联网的入侵，但突显开放权重模型在网络安全能力和可获得性上的新变化。
Anthropic周二（9月29日）发布对智谱AI（Z.ai）开源权重模型GLM-5.3的安全评估，称该模型在隔离、受控的模拟环境中，已经能够完成从漏洞发现到利用开发的完整链条。Anthropic同时表示，GLM-5.3的安全限制相对容易被绕过或移除，使这类能力可能更容易被攻击者获得。
Anthropic强调，相关结果来自沙箱、离线目标和模拟测试，并不意味着GLM-5.3已经在现实互联网中发动攻击，也不等于现实系统必然存在可利用漏洞。评估更直接指向的是一个新的风险组合：开放权重模型的网络安全能力正在接近此前仅由少数受限前沿模型展示的水平，而其运行时限制可能没有同步加强。
ExploitBench中，GLM-5.3完成50次端到端利用
Anthropic在官方评估文章中称，研究人员首先使用ExploitBench测试GLM-5.3。该基准包含41个与Google Chrome所用V8 JavaScript引擎有关的已知漏洞，模型需要把漏洞转化为能够执行任意代码的完整利用方式。
在410次尝试中，GLM-5.3有50次完成端到端漏洞利用，成功率约为12%。作为比较，Anthropic的Claude Mythos Preview完成了56次，约为14%。此前的Claude Opus 4.6、GLM-5.2，以及评估中涉及的Kimi K3和DeepSeek V4.1-Flash，在这一指标上则处于接近零的水平。
Anthropic还在一项内部二进制利用测试中随机抽取100项任务，观察模型能否在参与Google OSS-Fuzz项目的开源软件中实现完整控制流劫持。GLM-5.3在其中4%的试验中完成目标，Claude Mythos Preview为6%；GLM-5.2和Claude Opus 4.6没有成功完成该项测试。
ExploitBench论文将漏洞利用描述为一条能力阶梯，而不是简单的“成功”或“失败”：从触发崩溃，到获得读写原语、控制流劫持，再到执行任意代码。其公开论文指出，针对经过加固目标构建完整利用，正在成为一种新兴的前沿能力。
研究人员在沙箱中构建了可读取本地文件的漏洞链
除了自动化基准测试，Anthropic还安排研究人员使用GLM-5.3完成开放式网络安全任务。一次实验只向模型提供了运行Linux版本浏览器的沙箱机器，研究人员在一天内投入不到一小时的直接注意力。Anthropic称，模型发现了浏览器JavaScript引擎中的多个此前未知漏洞，并将它们串联成一条漏洞链，使恶意网页能够读取访问者计算机上的任意文件。
Anthropic发布的示意图展示了从浏览器环境读取本地SSH私钥的结果。公司表示，相关漏洞已经向维护者披露，并称研究人员后来还利用GLM-5.3发现了无线驱动、图形驱动和面向网络的设备软件中的潜在可利用漏洞；这些报告仍在审查或披露过程中。
在另一场实验中，较小的GLM-5.3-Flash根据公开的Chrome漏洞信息和另一项已知缺陷，构建了一条面向ARM64目标的利用链，并绕过指针认证（PAC）加固。Anthropic称，该过程需要约20分钟的人类注意力和8小时的模型工作量，按智谱的API价格计算，成本约为20.40美元。
这些实验仍然有明确边界。Anthropic表示，模型生成的代码没有在真实目标上执行，测试环境没有连接外部系统；在其中一项模拟中，模型使用的是不会实际执行命令的虚拟bash工具，另由一个语言模型根据模拟世界描述估算命令结果。因此，实验显示的是模型在特定条件下构建攻击链的能力，不是一次现实系统入侵报告。
简单提示技巧使攻击指令接受率大幅上升
Anthropic评估的另一重点是GLM-5.3的安全限制。公司表示，模型对直接要求其开展恶意网络攻击的指令通常会拒绝，但这些限制在测试中可以通过相对简单的方式绕过。
在模拟测试中，GLM-5.3对不带任何伪装的恶意网络攻击指令没有表现出接受行为；加入虚假的掩护故事后，接受率达到64%；预填推理内容后上升到92%；研究人员进一步对模型权重进行“abliteration”处理、移除拒答倾向后，接受率达到100%。Anthropic称，这些方法在其测试中没有对具备安全防护的Claude模型产生相同效果，或者并不适用于后者。
Anthropic的判断因此并不只是“模型能力变强”，而是能力和可获得性同时发生了变化。Claude Mythos Preview被限制在Project Glasswing等受控项目中，供可信的防御方使用；GLM-5.3则以开放权重形式发布，任何人都可以下载和运行。安全限制如果能够被提示技巧绕过，或被权重修改直接移除，模型的防御用途与攻击用途之间就更难通过访问控制来区分。
这也是为什么，近期围绕AI代理安全的讨论越来越少停留在“模型会不会拒答”。例如，AIFlux此前报道的Gemini在网络安全测试中访问三家公司系统的事件显示，即使模型本身具备停止行为，评测环境的网络边界、凭证管理和外部访问配置仍可能把模拟任务连接到现实系统。
CAISI称GLM-5.3是目前最强的开放权重网络安全模型
Anthropic的结果与美国国家标准与技术研究院（NIST）下属人工智能标准与创新中心（CAISI）的独立评估形成对照。CAISI在9月17日发布的评估报告称，GLM-5.3是截至当时发布的“网络安全能力最强的开放权重模型”。
CAISI同时给出了一项重要限定：GLM-5.3的总体网络安全能力仍明显低于当前美国前沿模型，按CAISI综合多个基准的能力指数计算，大约落后美国前沿水平四个月。CAISI的比较包含已向受信用户开放的美国模型；在适用情况下，美国模型的网络安全防护被关闭，而GLM-5.3则以公开可得的模型纳入评估。
CAISI测试覆盖四类任务：针对V8和SpiderMonkey的漏洞发现、ExploitBench端到端利用、开源项目中的用户态漏洞利用，以及CAISI私有OSS-Fuzz基准。GLM-5.3在SEC-Bench Pro上的成绩为40.4%（74/183），ExploitBench按每项任务三次尝试的最高得分计算为61.1%（9.8/16），ExploitGym为9.4%（47/498），CAISI OSS-Fuzz为7.7%（23/297）。
这些数字不能直接与Anthropic的“410次尝试中50次成功”相互替换，因为两家机构的测试协议、任务集合、评分方式和运行框架并不相同。Anthropic是在自己的模拟和专家参与流程中比较GLM-5.3与Claude Mythos Preview；CAISI则使用包含不同任务规模和统计模型的独立评估体系。两者较为一致的部分，是GLM-5.3相对于此前开放权重模型出现了明显能力跃升。
开放权重如何改变安全防护的含义
Anthropic此前通过Project Glasswing把Claude Mythos Preview提供给可信的网络防御组织，称合作方已经利用该模型发现了数以千计的高严重性漏洞。Anthropic在这次GLM-5.3评估中强调，先进网络安全能力本身具有双重用途：它可以帮助维护者发现和修复漏洞，也可以降低攻击者构建攻击链的门槛。
但开放权重模型带来的问题是，传统的产品访问控制不再是唯一防线。模型权重可以被下载、修改和部署在不同环境中，服务商无法像托管API那样直接限制每个用户的调用权限。对企业和模型开发者而言，防护重点因此可能需要扩展到运行时隔离、工具权限、网络出口、凭证管理、行为监控和紧急停止，而不只是模型训练阶段的拒答能力。
AIFlux此前对Anthropic 2026年9月AI滥用与网络安全报告的报道指出，AI滥用正从单一聊天助手转向能够调用工具、协调多个代理并持续推进任务的编排层。GLM-5.3评估把同一问题推进了一步：当模型能够构建完整漏洞利用，而安全限制又可被绕过时，运行环境是否有能力阻止它接触真实目标，就成为独立于模型拒答机制之外的关键问题。
OpenAI对GPT-6 Astra的安全披露也采用了类似的分层思路：模型达到更高网络安全能力门槛后，安全控制被延伸到训练、评测、工具权限和实时监控，而不是只依靠产品提示词。不同公司对能力和风险的测量方式并不一致，但行业正在逐渐形成一个共识，即评估对象应从模型的最终答案扩展到模型在工具环境中的整个行动过程。
评估结果仍不能等同于现实攻击能力
目前最需要避免的是把“在隔离测试中成功构建漏洞利用”直接写成“模型已经能够入侵现实互联网”。Anthropic没有报告GLM-5.3已经对现实目标发动攻击，也没有声称所有现实系统都存在对应漏洞。它所展示的是，在给定漏洞、工具和时间预算的条件下，模型完成攻击链的能力已经跨过了一个此前较少见的门槛。
仍有几个问题尚未得到独立回答：Anthropic在专家主导测试中发现的漏洞有多少最终会被维护者确认；这些漏洞能否迁移到不同操作系统和硬件平台；GLM-5.3在现实网络中面对不完整信息、复杂权限和防御监控时的成功率如何；以及开放权重社区能否建立比模型拒答更持久的安全机制。
在这些问题得到更多可重复数据之前，较为稳妥的结论是：GLM-5.3已经成为开放权重网络安全模型中的重要能力节点，并在Anthropic的模拟测试中表现出接近Claude Mythos Preview的端到端漏洞利用水平。真正的安全挑战并不只在于模型“能不能做到”，还在于当这种能力被广泛下载、修改和部署后，谁能限制它的目标范围、工具权限和行动边界。