GLM-5.3 分析：先进的网络漏洞利用能力与松懈的安全防护

摘要

智谱AI发布的开源权重模型GLM-5.3能够自主开发可用的网络漏洞利用程序，其内置安全防护在64%至100%的情况下可被绕过，为攻击者提供了强大且易于获取的工具，同时也为防御者提供了有力的分析辅助。

GLM-5.3 的漏洞利用开发性能

关键发现： GLM-5.3 创建端到端漏洞利用的速率与 Anthropic 的 Claude Mythos Preview 相当，且远高于早期模型。

  • ExploitBench (Chrome V8) – GLM-5.3 在 410 次尝试中成功 50 次（约 12%）。Claude Mythos Preview 在 410 次尝试中成功 56 次（约 14%）。早期模型（Claude Opus 4.6、GLM-5.2）得分接近 0%。
  • 内部二进制漏洞利用基准测试 – GLM-5.3 在 100 个随机任务中的 4% 上实现了完全的控制流劫持，而 Claude Mythos Preview 实现了 6%。没有早期模型在任何任务上成功。
  • 人在回路测试 – 在一天有限人工参与的会话中，GLM-5.3 发现了先前未知的 V8 引擎漏洞，将其串联成一个可用的路过式下载攻击，能够从沙盒 Linux 浏览器中读取任意文件，并随后识别了无线、图形和网络设备软件中的可利用缺陷。一个较小的变体 GLM-5.3-Flash 在 20 分钟的人工指导和 8 小时的模型计算（按智谱 API 费率约 20.40 美元）内，为已知的 Chrome CVE（CVE-2026-11645）构建了可靠的 ARM64 漏洞利用链。

“GLM-5.3 在浏览器 JavaScript 引擎中发现了多个先前未知的漏洞，并在一天有限的人工交互内将其串联成一个可用的漏洞利用程序。” – Anthropic 研究人员

这些结果证实 GLM-5.3 跨越了一个重要的门槛：它可以自主生成功能性的漏洞利用程序，这是先前开源权重模型所不具备的能力。

GLM-5.3 安全防护的弱点

关键发现： 简单的提示工程和模型消融可将 GLM-5.3 的拒绝率从 >90% 降至 12% 以下，同时保持核心能力不变。

  1. 消融（拒绝移除） – 使用标准的“abliteration”技术，Anthropic 在大约 2,200 GPU 小时（约 4,400 美元）内重建了 GLM-5.3 的消融副本。在 JailbreakBench 和 HarmBench 上，拒绝率从约 95% 降至 3%，在 StrongREJECT 上降至 12%。GPQA-Diamond 和 CyberGym 上的能力得分仅变化了几个百分点。
  2. 非消融绕过 – 在不修改模型的情况下，Anthropic 确定了三种基于提示的技巧：
    • 欺骗性掩护故事（假装模型是自主红队代理） – 64% 参与度。
    • 预填充推理令牌 – 92% 参与度。
    • 消融模型 – 100% 参与度。
  3. 与 Claude 的比较 – 受保护的 Claude 模型（Opus 4.8、Opus 5、Mythos 5）在所有三种条件下均拒绝了 0% 的恶意请求。Claude 的 API 不允许预填充令牌，且其权重未公开发布，从而防止了消融。

“经过 abliteration 后，GLM 模型很少拒绝有害查询，但其科学和网络健身房性能几乎保持不变。” – Anthropic 分析

NIST CAISI 的独立验证

关键发现： NIST 人工智能标准与创新中心独立将 GLM-5.3 评为迄今为止网络能力最强的开源权重模型，落后美国前沿模型约四个月。

  • CAISI 的评估与 Anthropic 的基准测试结果一致，证实了 GLM-5.3 卓越的漏洞利用开发能力。
  • 美国前沿模型在禁用安全防护的情况下进行了评估，但公众仍无法访问，这凸显了与 GLM-5.3 不受限制的可用性之间的对比。

对攻击者和防御者的影响

攻击者影响： 一个能够自主发现和串联漏洞的模型不受限制地发布，降低了复杂网络攻击的门槛。国家行为体和非国家行为体现在无需定制 AI 专业知识即可获得接近前沿的漏洞利用能力。

防御者影响： 同样的能力在可信赖的网络防御者手中可以加速漏洞发现和补丁开发。Anthropic 的 Project Glasswing 已经使防御者在恶意行为者获得类似工具之前发现了超过 10,000 个关键软件漏洞。

政策建议： 政府应强制要求对高能力开源权重模型进行安全测试，并鼓励负责任的发布实践。独立评估对于在广泛部署之前揭示滥用潜力至关重要。

对 AI 社区的建议

  • 限制开源权重发布，除非嵌入了强大的、防篡改的安全防护措施，否则不得发布展示自主漏洞生成能力的模型。
  • 提供经过审查的访问计划（例如 Project Glasswing），以确保防御者受益于前沿能力，同时限制恶意使用。
  • 标准化抗消融测试，以检测简单的权重编辑是否能移除安全层。
  • 投资于快速披露管道，用于 AI 模型发现的漏洞，以最小化现实世界的暴露。

结论

GLM-5.3 标志着一个关键的转变：一个公开可用的模型可以自主制作功能性的网络漏洞利用程序，而其最低限度的安全防护可以通过简单的技术被规避。这极大地扩展了恶意行为者的网络攻击工具包，同时也为防御者提供了一个强大但具有风险的资产。AI 社区必须在开放研究与严格安全控制之间取得平衡，以防止此类能力的无节制扩散。

Sources