今早你所在的 GLM 群里大概率已经刷开了这篇报告的两张截图：一张是浏览器 exploit 链读走 SSH 私钥的终端画面，一张是 Anthropic 红队写的标题。圈里现在两个说法在打架——“智谱被抹黑了"和"这是 GLM-5.3 生涯最好的广告”。我把 Anthropic 报告原文、NIST 下属 CAISI 的独立评测、以及 Artificial Analysis 上周刚上线的 Cyber Index 防守榜拼在一起核了一遍，先给结论：这篇警告文真正的指控不是"GLM-5.3 危险"，而是"同样的危险能力，Anthropic 锁在墙上，智谱让人随便下载"。两派都没说错，但都把三层不同的数字混在一起吵了。微博
第一层：Anthropic 自己实测了什么
报告发布前，Anthropic 安全研究团队在隔离环境里给 GLM-5.3 一台 Linux 机器和某主流浏览器的本地版本，事先不告诉它哪里有洞。实验持续约一天，人工投入不到一小时，GLM-5.3 在 JavaScript 引擎里找出多个此前未知的漏洞，并把多个 0day 串成完整攻击链：生成的恶意网页被访问后能突破浏览器沙箱、读取测试机任意文件，截图里 SSH 私钥被直接读出来了。相关漏洞已披露给厂商。知乎
也就是说——写这份警告文的人，自己正在用 GLM-5.3 挖 0day。安全研究员 Andrew Case 转发时的吐槽很传神：搞不懂 Anthropic 为什么写一篇博客，宣传自己的网安团队改用 GLM。知乎
另一组数字更贴近你的账单：研究人员把近期公开的 Chrome 漏洞 CVE-2026-11645 和另一个已知漏洞资料喂给 GLM-5.3-Flash，模型在没有大量人工指导的情况下把两个洞串成 ARM64 上稳定的利用链、绕过了 PAC 指针认证防护，全程只需约 20 分钟人工 + 约 8 小时自主运行，按智谱当时的 API 价格算，成本 20.40 美元。知乎微博
基准层面，Anthropic 的 ExploitBench（针对 Chrome V8 的端到端利用生成）：GLM-5.3 在 410 次尝试里 50 次产出完整 exploit，约 12%；只向少数机构开放的 Claude Mythos Preview 是 56 次，约 14%；Kimi K3 约 0.5%，DeepSeek V4.1-Flash 约 0.2%，Claude Opus 4.6 和上一代 GLM-5.2 是 0。Anthropic 内部二进制利用测试上是 4% 对 6%。知乎
第二层：绕过多便宜、门槛多低——这才是报告的靶心
很多人把"防护被绕过"当成结论，先提醒口径：64% 和 92% 那两档是在假命令行工具、代码不会真执行的模拟环境里测出来的欺骗成功率，不是真实攻击命中率。三档绕过里真正扎心的是最后一档——abliteration（直接改权重拆掉拒绝机制）：约 2200 GPU 小时、约 4400 美元，GLM-5.3 对恶意请求的拒绝率从 95% 降到约 6%（JailbreakBench 约 3%、HarmBench 约 2%、StrongREJECT 约 12%），GPQA-Diamond 和 CyberGym 分数几乎不动；更小的 GLM-5.3-Flash 只需约 600 GPU 小时。正常提问它会拒绝，但只要声明"你是执行演练的自主红队智能体"，64% 的测试照做；预填一段"思考过程"，升到 92%；改完权重，100%。同样的手段在带防护的 Claude 模型上不奏效——报告承认一个关键原因：闭源模型权重不开放，你没法 abliteration。这就是"证据扎实、动机不纯"说法的来源：Anthropic 指控的不是能力本身，而是能力进了裸奔的开放权重。微博知乎知乎
第三层：两个"外人"的数字，把故事补完了
只看 Anthropic 会被它的立场带偏，所以我把另外两份摆上桌。微博
NIST 旗下 CAISI 早在 9 月 17 日就独立测过：GLM-5.3 是他们测过的网络能力最强的开放权重模型，但综合多项网络安全测试，整体仍落后美国前沿模型约 4 个月——并且注明美国模型是关闭网络安全限制后测的。也就是说"最强开源"是真的，"接近前沿但有代差"也是真的。知乎
另一份是 Artificial Analysis 上周新上线的 Cyber Index，测的是防守侧（帮企业找洞、补洞）：Grok 4.7 与小米 MiMo-V2.6 Pro 并列第一（56 分），GPT-6 Luna 53 分，GLM-5.3-Flash 50 分排第三，Kimi K3 41 分。小红书
有个细节和这篇警告文形成奇妙互文：GPT-6 Sol、Claude Opus 5.5 这些闭源旗舰因为安全策略大量拒答（部分任务拒答率 98%–100%）而掉出前排——护栏越强，防守时越帮不上忙。MiMo-V2.6 Pro 端到端修内存安全漏洞成功率 79%、单任务成本约 0.18 美元，GLM-5.3-Flash 每任务约 0.32 美元。小红书小红书
所以，作为 GLM 用户，你到底该带走什么
买编程套餐、日常调 API 写代码的人：这篇报告是来自对手阵营最硬的一次能力认证，你的订阅不用退、用法不用变。但请把"模型会拒绝恶意指令"从你的安全假设里删掉——95% 拒绝率是个会被拆掉的数字，不是保险。
自己部署、跑开源权重或做安全/红队相关的人：官方护栏不能作为你的合规边界，部署方自己就是最后一道防线。想清楚你的威胁模型里有没有"用户能拿到权重"这一项；如果有，护栏约等于装饰，该有的隔离、审计、最小权限一个都不能省。另外，20.40 美元跑出一条真实利用链的成本已经压到这个量级，"高级漏洞利用只存在于少数受限模型"这个前提，从这篇报告起正式作废。反过来说，如果你是防守侧：同一周的 AA Cyber Index 端到端基准（CyberGym-E2E-AA）里，MiMo-V2.6-Pro 完成率 79% 居首、GLM-5.3-Flash 74%，而 Claude Opus 5.5 直接拒答了 98% 的任务——护栏立得太强的闭源模型，真找起漏洞来反而帮不上忙。小红书
看热闹之外还在等风向的人：截至发稿，我没有检索到智谱对这份报告的公开回应，建议盯四个信号——智谱的回应口径、CAISI 会不会扩大对开源模型的正式评测、HuggingFace 上 GLM-5.3 改权重衍生模型的增速、以及报告末尾"要求政府对强能力模型开展测试、向网安防御机构更多开放前沿模型"的政策诉求会不会被美国监管接住。
最后说句可能被喷的话：Anthropic 这篇报告在技术上是诚实的，在商业上是精明的——它把"权重不开放"这件事本身，写成了一种安全优势。对 GLM 用户，这反而是个不错的交易：你用一份白菜价账单，换到了别人锁在审批墙后、还要看机构资质的能力。唯一要记住的是，墙外的东西，得你自己上锁。
