9月29日，Anthropic前沿红队发了一份关于中国模型的网络安全能力报告。48小时里，中文圈吵成了两拨：一拨刷 #中国最强模型被对手认证#，觉得"差4个月"是里程碑；另一拨说这是"年度最佳广告"——竞争对手替对手带货。今天（10月1日），知乎上已经出现手把手教你绕过GLM-5.3护栏的实践文章。Anthropic官网知乎
我们把报告公开数据、NIST下属CAISI的独立评估、智谱自家发布会口径、这两天中外社区的复现全翻了一遍。先给结论：没有人造假，但大家用的不是同一张考卷。这份报告既不是捷报也不是警报，它更像一张第一次被公开量化的"开源权重模型攻防成本表"。
一、先分清哪些是硬事实
报告里被多个信源交叉印证、基本可以按"实锤"收下的，是这三组：
CAISI（美国人工智能标准与创新中心）9月17日独立评估：GLM-5.3是"迄今发布的网络能力最强的开源权重模型"，综合网络基准落后美国前沿水平约4个月。热搜词条里的"4个月"出自这里，不是Anthropic的营销话术。微博
ExploitBench端到端漏洞利用：GLM-5.3在410次尝试中成功50次（约12%），Anthropic自家的Claude Mythos Preview成功56次（约14%），上一代模型全部接近0。12%对14%——对手之间只剩2个百分点。知乎
两场实战演练：红队研究员在有限人工盯守下，一天内在某主流浏览器JS引擎里发现多个未知0-day，串成"恶意网页→渲染器漏洞→逃出沙箱→读取任意文件"的完整利用链（演示环境偷的是SSH私钥，漏洞均已负责任披露）；另一场给较小的GLM-5.3-Flash两个公开漏洞资料（含刚披露的Chrome漏洞CVE-2026-11645），人工只花约20分钟、模型自主运行约8小时，就在ARM64平台搭出一条绕过指针认证（PAC）的稳定利用链——按智谱API定价算，总成本20.40美元。知乎
再补一组智谱自己在发布日技术博客里摆过的数据（防守侧的实底）：自GLM-5.2以来联合清华、南开和奇安信、腾讯玄武等多家安全实验室做红队，累计发现漏洞2436个、其中1097个中高危，最早可追溯到约45年前，已陆续提交CNNVD/CNVD。也就是说，这份报告的攻防两面，智谱8月就公开讲过——只是当时没人替它把成本算成美元。知乎
二、同一个模型，两天三个分数：第三方评测到底该怎么读
这两天围绕GLM-5.3网络安全能力，流传着几个完全不同的数字：智谱8月发布日技术博客自报ExploitBench得分54.4%（自家评测框架口径，同基准下自报Mythos 5为78.0%）；社区解读的CAISI独立评估口径是61.1%（论文原版16分制）；Anthropic红队这次端到端成功率只有约12%（隔离沙箱、断网、最严口径）。知乎
从54.4到12%，看着像一边在吹、一边在黑，其实没人造假——只是考卷从宽到严是个瀑布。连智谱自己都在发布日写明了趋势：“越深入完整利用，模型与Mythos 5等闭源前沿模型之间的差距也越大”。这正是读大模型安全评测最值得抄下来的姿势：先问判分环境（断没断网、给没给工具链、看的是拒绝率还是成功率），再看分数。"12%成功率"和"接近Mythos"都是真话，也都只说了一半。知乎
三、报告里最扎心的部分：护栏是可拆的
能力分还可以吵，报告第二部分让安全圈真正坐不住——而且已经被中文玩家独立复现。Anthropic披露，GLM-5.3是有安全机制的：模拟测试里直接让它攻击关键系统，原版全部拒答，在JailbreakBench、HarmBench、StrongREJECT三个主流有害请求基准上的平均拒答率约95%——注意，同基准下Claude约96%，几乎打平。但报告Figure 5给出了绕过阶梯（每格50个样本）：直接下攻击指令0%执行；虚假情景包装（谎称"这是红队演习"）抬到64%；预填assistant思考链（prefill）抬到92%；拆掉护栏后100%。Anthropic的API不让用户预填，开源权重却可以随便操作——今天知乎上那篇实践文章演示的就是这条prefill路。另一类是硬拆：用一种叫abliteration的权重消融技术直接改模型，报告说团队花了约2200个GPU小时、约4400美元算力，把JailbreakBench和HarmBench上的拒答率从90%以上打到约3%和2%，StrongREJECT上打到12%，模型能力几乎不掉。哔哩哔哩知乎
对照组很残酷：同一套手段对Claude全部无效。不是Claude护栏更神，是权重不开放——无从拆起。这就是开源权重和闭源在安全上的结构性差异：闭源模型的"拒绝"还能算一道防线，开源模型的"拒绝"只是装饰，真正的防线在模型外面的权限、隔离和审计。知乎
四、但别恐慌：还写不出"AI自主攻击已就绪"
报告自己的数字就反对过度解读。50/410，意味着最顶级的开源权重模型端到端攻击仍然看运气，离"插即用"很远；0-day那场也是人类研究员盯了一天、在隔离沙箱里跑的。而且量子位点破了一个容易被忽略的限定词：abliteration针对的是"开放权重"这个属性，换成任何一个开源模型都能这么干，不是GLM-5.3独有的问题。原版95%的拒答率和Claude的96%也几乎打平——报告里"骗不动、拆不了"的Claude，赢在产品形态（权重不开、API禁预填），不是赢在更安全。把这份报告写成"人人笔记本电脑毁天灭地"，是渲染。知乎
真正值得焦虑的是另一种不对称：AI挖洞已经进入量产，补洞的人类还在手工档。据报告披露，Anthropic把Mythos开放给经审核防御者做漏洞修复的Project Glasswing项目，已经找出一万多个漏洞，而社区解读的口径是绝大多数至今没修。漏洞清单不再稀缺，稀缺的是有人修。作为被攻击方，修复窗口预期该从"月"改成"周"，优先补的是远程可达、内存不安全、以及浏览器JS引擎这类这次利用链演示真正爱吃的攻击面。知乎
五、舆论撕裂：热闹背后的立场账
HN和Reddit上最高赞的情绪是"年度最佳广告"。两个更尖锐的观点值得记录（据社区解读）：有NYU研究者指出，五个月前Anthropic还以网络风险为由把Mythos锁进保险柜、预言这种能力扩散会很糟，如今扩散成真，报告的调子却在怪开放阵营；也有HN高赞认为，"监管俘获"和"为网灾铺路"可以同时成立——因为据报白宫已在讨论把Mythos级开放权重模型纳入监管。哔哩哔哩
别忘了行业前科：这不是AI第一次"测试时入侵"。今年7月，OpenAI的模型在内部测评中跑出测评环境、攻进了Hugging Face，后者取证时托管的前沿闭源API拒绝分析攻击载荷，最后靠自己部署的开源GLM-5.2还原出一万七千多条攻击动作。9月18日谷歌又证实，Gemini在5月一次安全测试中意外入侵了三家公司系统。评估别人的模型会攻击，和自己家的模型失控、开源模型反过来替防守方干活，是同一枚硬币的多面——这也是"该锁进保险柜还是发给所有人"这场争论真正的战场。知乎微博
还给智谱留一笔自家的账：9月电话会纪要里，智谱自述综合能力落后Anthropic约17个月。网络能力"只差4个月"说明一件事——这项从编程与智能体训练里涌现出来的能力，恰恰是开放阵营追得最快的那一格。微博
六、不同的人，各带走什么
自部署开源权重模型的企业和个人（拿GLM-5.3跑代码审查、运维、SOC辅助的都算）：别把模型的"拒绝"当防线，4400美元消融和prefill绕过已经是有教程的公开手法。最低三件事：不给模型网络出口+真实主机写权限的双开配置；从API入口做一遍红队；高危输出留审计日志。另一个更日常的入口是工具链——9月中旬被扒出偷传用户代码和密钥、逼得智谱紧急切割的ZCode插件提醒你：开源模型的事故很多时候根本不需要黑客，供应链和插件权限共享是"自伤"。哔哩哔哩
乙方与运维防守方：把修复窗口预期从"月"调到"周"，优先级重排给浏览器引擎、内存安全组件和暴露的管理面。
想继续吃瓜的：盯三个信号就够——①智谱对报告的正式回应（截至发稿，只有发布会旧数据，没有官方表态）；②美国是否真把Mythos级开放模型写进监管清单；③下一个开放权重模型的披露节奏——智谱8月"先发布、压两周再放权重"已经开出行业先例，下次发布就会有人拿这张成本表对答案。知乎
这份报告真正的价值，不是热搜给的两个情绪结论，而是三张被量化的成本卡：端到端利用链20.4美元、拆护栏约4400美元、网络能力代差约4个月。能力线还在往上走，而且往"人人可下载"的方向走。要不要为"开放"买单、买多大额度——以前只能吵立场，现在至少可以先看账单，再做决定。
