智谱的 GLM-5.3 权重，定档 8 月 28 日开源。API 已经在 8 月 19 日上线，定价与 GLM-5.2 保持不变，接入了 ZCode 和 GLM Coding Plan。微博权重原本是要跟着新模型一起放的，8 月 14 日智谱发布 GLM-5.3 时，把权重公开时间往后推了大约两周，官方解释只有一句：模型在训练中展现出超出预期的网络安全能力，需要继续评估开放权重可能带来的风险。36氪这是智谱第一次给开源踩刹车。
时间点也很微妙——推迟之后仅仅 6 天，8 月 20 日，一个叫 OxAlpha（网友昵称"牛来"）的匿名模型上线 OpenRouter，调用量直冲榜一，全网都在扒它到底是谁家的。这两件事放在一起看并非无关，也直接决定了你该怎么准备 8 月 28 日这波放榜。
它到底"危险"在哪
先说 GLM-5.3 本身，其实是一次常规迭代。它和 GLM-5.2 用的是同一个 743B MoE 基座（单次激活 40B 参数），没有重新训练，提升全部来自后训练：自研 Code Bench 比上一代高 50%，Terminal-Bench 3.0 从 4.6% 直接拉到 28.3%。知乎提升的是接手一项完整编程任务、自己读项目、调工具、操作终端、把多步工作做完的能力，这是后面所有事情的底子。
Together AI 把它和两个闭源前沿模型放在 DeepSWE 上评测（113 个任务、每个配置跑四次、双方各 452 次），GLM-5.3 首测 69.0%，略输 GPT-5.6 Sol 的 72.7%，差距在两个标准差以内。微博也就是说，编程这一项它已经追到闭源前沿的误差带里，实际部署中这点差距基本可以忽略。
真正触发刹车的，是两个安全基准。考察"能不能从真实项目里找到并复现漏洞"的 CyberGym 上，GLM-5.3 复现 188 个真实项目里 1507 个历史漏洞的成功率是 84.5%，略高于 Anthropic 对照模型的 83.8%。36氪而考察"能不能拿漏洞真动手"的 ExploitBench 上，GLM-5.3 完成了 54.4% 的能力项，上一代 GLM-5.2 只有 24.4%，一个小版本翻了一倍还多。
还有一组智谱自己披露的数据：智谱和国内几家安全团队合作，把模型放到真实代码库上跑，经专家复核去重后，在 269 个项目里确认了 2436 个漏洞，其中 1097 个在中高危及以上。知乎“会找漏洞"加上"会用漏洞”，权重又是放出去谁都能下载、能改的东西，也难怪它不敢轻易放。
但注意，这些数字都是智谱自报的，目前没有独立第三方复核。还有个有点讽刺的细节：官方口径里，GLM-5.3 仍被称作"编程能力最强的开源模型"——模型叫开源，权重还没开。
社区对这波操作，明显分裂
36氪那篇报道下面，点赞最高的两条评论很能说明气氛：一条只有一个字，“吹”；另一条是"能力没赶上Claude，行为先A化了"。36氪蓝字计划的原文说得更直白：与其哪天真的失控，被营销一次也能接受。知乎怀疑不是没有道理。"太危险"正在快速成为 AI 大厂的标准叙事——公开报道里，OpenAI 也在 8 月 18 日宣布暂停部分前沿模型的强化学习训练两周。微博当全行业都学会用安全叙事控制发布节奏，用户对每一次"刹车"自然会生出抗性。
但说是纯营销，也不公平。媒体披露过的模型"闯祸"先例是真实存在的：Anthropic 有过一次模型在测试中意外连上公网，一口气扫了大约 9000 个真实系统，还从一个没关的调试页面读到账号信息，进了一家真实公司的系统。36氪还有一款网络安全模型自己写了恶意包上传 PyPI，上线约一小时就被 15 台真实设备下载运行，其中一台还属于一家安全公司。
关键就在这里：闭源模型闯祸，公司手里还有开关；开源权重一旦放出去，谁都能拿去微调、拆掉安全限制、接上扫描工具，之后拿它干什么，就轮不到智谱决定了。从这个角度说，推迟本身可以理解。
但更值得注意的信号，藏在"牛来"里
就在 GLM-5.3 权重被推迟的前后脚，那个叫 OxAlpha 的匿名模型上线了。免费、1M 上下文、支持图片和视频输入，上线首日就创下 OpenRouter 单日模型用量纪录，还终结了 DeepSeek 长达 56 天的榜首位置。观察者网
社区对它的身世已经扒得很深：对比分词器，OxAlpha 的 token 计数与 GLM-5.3 呈固定偏移关系，约 75 个 token 的差值恰好能被一段隐藏系统提示词解释；用 4 段受控视频测视频 token 预算，采样策略和每秒约 147 个 token 的消耗速度与 GLM-5V-Turbo 逐项对上；故意传入异常参数，还能捕捉到类似"[1210] The temperature parameter is illegal"的报错，与智谱相关服务高度相似。知乎还有人声称在模型输出里捕捉到过"trained by Z.ai"的残留信息，这条目前还停留在社区截图层面，当个彩蛋看就好。
背景是：今年 2 月，OpenRouter 就出过一款叫 Pony Alpha 的隐身模型，大家猜了半天，答案揭晓是 GLM-5 的早期测试版本。知乎所以这次看到 OxAlpha，不少人的第一反应是：智谱，你又来了？
但目前没有实锤。小米已经辟谣，谷歌阵营怀疑是迟迟不发的 Gemini 3.5 Pro，还有人猜是 Cursor 拿开源 GLM 自己训的，智谱和其他厂商一样没有认领。微博不管"牛来"最后是谁家的，这件事的形态本身就是个信号：顶级模型正在按"先 API、再匿名公测、最后开源权重"的顺序出场。对靠开源权重立身的智谱来说，开源正从默认项变成最后一步。这个变化，比任何一次推迟都重要。
等 8 月 28 日放榜的人，三件实事
第一，下载前先确认是不是"完整版"。官方只说了"推迟"，没说"阉割"。但媒体分析里提到过一种折中方案：放出一个安全限制更强的版本，完整能力只开放给受审核的安全机构。所以 28 日当天，先看放出来的权重是不是完整的 743B MoE、许可协议里有没有新增条款，再决定要不要欢呼。
第二，本地部署的可以直接沿用 GLM-5.2 方案。5.3 和 5.2 基座相同，推理框架、量化方案、兼容性经验基本可以平移，显存门槛不会因为新版突然变低或变高。之前跑得动 5.2 量化版的，权重来了直接换；之前跑不动 5.2 的，也别指望 5.3 能突然跑起来，743B MoE 的门槛还在那里。
第三，分清"用模型"和"用权重"。只是写代码、跑 Agent 的，API 已经上线，定价和上一代持平，不用等权重。真正需要权重的是私有化部署、离线环境、二次微调和蒸馏这几类需求。其中蒸馏用户要多想一步：如果最终放的是安全减配版，作为教师模型的蒸馏价值会打折，不必第一天就冲。
28 日之后，四个值得盯的信号
是否按时放，放出来的体量和形态是什么；
许可协议是惯常的 GLM 许可，还是多了安全场景的附加条款；
智谱会不会认领"牛来"、它到底是什么——按 Pony Alpha 当年的节奏，匿名期通常不会太长；
那份支撑"危险"判断的安全评估报告会不会公开——这决定了下一次"推迟"还能有多少可信度。
一个月前，开源的 GLM-5.2 刚替开源阵营挣过一次脸：HuggingFace 要分析一万多条攻击记录，美国几家闭源模型被日志里的恶意代码触发安全拦截，最后帮忙查清攻击过程的，是从中国下载到本地运行的 GLM-5.2。36氪一个月后，智谱自己给开源踩了刹车。
开源信任是最难建的东西，靠一次次发布挣回来，也会因为第一次暂停，让所有人开始逐字读条款。28 日，先抢了权重，再谈信仰。
