Anthropic 红队报告指出 GLM-5.3 的防护可被简单手法绕过
Anthropic 前沿红队 9 月 29 日发布报告，评估智谱 Z.ai 的开放权重模型 GLM-5.3 的网络攻击能力。结论是它已能自主构造端到端漏洞利用，能力接近 Anthropic 受限发布的 Claude Mythos Preview，却没有配套的有意义防护。美国 NIST 下属的 CAISI 在 9 月 17 日给出类似判断，称它是迄今网络能力最强的开放权重模型，落后美国前沿约四个月。
我们此前报道过 GLM-5.3 开源时攻防能力的跃升，这份报告的增量在于防护有多容易被拆掉。在模拟环境中，直接提出有害请求时 GLM-5.3 全部拒绝；给它一个“正在执行红队演练”的掩护说辞，成功率升到 64%；预填思维链、让它看起来已经想清楚要照做，是 92%；换成去拒绝（abliteration）版本则是 100%。同样的手法对受保护的 Claude 模型全部失效。
去掉拒绝的门槛也不高。Anthropic 自己动手，花约 2200 GPU 小时、约 4400 美元把拒绝率从 90% 以上压到 3% 左右，能力几乎没掉，GPQA-Diamond 得分不变。权重一旦公开，任何安全策略都不再需要模型厂商配合。
能力一侧同样具体。在 ExploitBench 的 410 次尝试中，GLM-5.3 成功构造 50 次端到端利用，接近 Claude Mythos Preview 的 56 次；研究者投入不到一小时的注意力，它就找到某主流浏览器 JS 引擎的多个 0-day，并串成可读取本地文件的网页。用更小的 GLM-5.3-Flash 把 Chrome 的 CVE-2026-11645 变成可用的 ARM64 利用链，只花 20 分钟人力和 8 小时模型时间，API 成本约 20.40 美元。
Anthropic 的落点是政策。前沿模型可以只对受审查对象开放，但权重公开后攻防双方拿到同等能力，自律式防护失去约束力。报告呼吁政府对足够强的模型做安全测试，并扩大可信防御方的先进模型访问。HN 上的反驳也很直接：一边说模型像武器，一边拿它推动监管，这个立场本身就不干净。