一份名为“风险预警”的技术认证
杂货铺 · 第45篇
欢迎来到我的小铺。今天聊聊AI时代下的网络安全。
先祝大家国庆快乐。长假有人休息，就有人值班，而值班最要紧的事就是盯住安全。近期我正在把新采购的硬件搭建成家里的算力中枢，统一挂载设备调用，折腾完硬件，下一步免不了要操心防守。正好 Anthropic 赶在节前放出一篇长文——《GLM-5.3 与高级网络攻防能力的扩散》，值得倒上一杯茶，好好把账本摊开算一算。
这份报告发布于 9 月 29 日，主角是智谱刚推出的 GLM-5.3。通篇读下来，基调极其严肃，满纸都在推演“前沿攻防能力不受控扩散”会如何打破现有的网络均势。大厂写这类技术评估，习惯把视角架在地缘与规则制高点上；但若把报告里的测试项，和这一两年现实里打得头破血流的真实交锋放在一起对照，整件事会呈现出完全不同的另一副面孔。
报告里专门挑出了几项核心指标来证明这种“扩散”的危险性，最扎眼的，是模型在长链条自主渗透与协议级漏洞利用上的跃升。
Anthropic 拿它在几个标准化攻防基准上跑了分。在针对 Chrome V8 引擎漏洞利用的 ExploitBench 测试中，GLM-5.3 在 410 次尝试里成功了 50 次，成功率约 12%；而 Anthropic 自家的顶级模型 Claude Mythos Preview，成功率也不过 14%。在更严苛的 OSS-Fuzz 二进制漏洞测试中，GLM-5.3 完成完整控制流劫持的概率达到了 4%，Claude Mythos Preview 是 6%，而就在前代模型（Claude Opus 4.6、GLM-5.2）身上，这个数字还近乎是零。
一个关键的门槛已经被跨过去了。以往的 AI 面对真实漏洞往往无从下手，现在它扎扎实实地跑通了攻击链。测试人员带着 GLM-5.3 跑了一天，模型在流行浏览器的 JavaScript 引擎里接连挖出数个未知漏洞，顺畅串联成一条能窃取任意文件的攻击链；而较小版本的 GLM-5.3-Flash 针对已知漏洞编写攻击载荷，人类仅干预了 20 分钟，模型自己默默跑了 8 个小时，消耗的算力折合成本不过 20 美元。
报告里还列了一组极为微妙的数据，用以展示所谓“安全防护”在开源权重面前有多单薄：直接提交恶意提示词，模型的拒绝率超过 90%；但只要套上一层“红队演练”的语境，诱导成功率立刻飙到 64%；若预先注入模型已执行的状态伪装，绕过率高达 92%；而如果直接花上约 2200 个 GPU 小时、约 4400 美元去微调权重，把拒绝机制连根拔除，去审核的成功率就是 100%。模型发布数天之内，能力几乎无损、拒绝率被打到 6% 的无审核版本就已经在社区里流通。
美国国家标准与技术研究院的 CAISI 给出了一个定性：GLM-5.3 是“迄今为止最具网络能力的开源权重模型”，整体能力落后美国前沿模型大约 4 个月。
大厂把这些数据视作洪水猛兽，但在真实的攻防前线，攻击侧的门槛早就被踩烂了。
报告里煞有介事地推演黑客如何滥用开源能力，但大厂闭源系统自诩万无一失的“安全护栏”，在现实的攻击者眼里其实早已形同虚设。在实战里，根本不需要去触碰底层的模型权重，靠着一套简单的语境漂移与提示词注入，就足够把云端防线撕开一条口子。
今年二月，彭博社披露了一起震动安全圈的真实案件。攻击持续了整整一个月，一名独立攻击者利用 Claude Code 和 GPT-4.1 两款商业工具，接连入侵了墨西哥九家政府实体，涵盖联邦税务局、国家选举委员会、三个州政府，乃至蒙特雷市的自来水公司。被窃取的数据高达 150GB，涉及 1.95 亿条纳税人记录——而墨西哥总人口才 1.3 亿，这意味着该国的历史税务底账几乎被连根拔起。
以色列网络安全公司 Gambit Security 的调查报告还原了细节：攻击者自称是合法的“漏洞赏金猎人”，正在做授权渗透。面对 Claude 最初的拒绝，攻击者没有硬碰，而是像撕胶带一样层层诱导：第一轮被拒就换一套合规说辞，第二轮套出通用框架，到第三轮时，模型已经彻底“入戏”，源源不断地吐出针对目标的定制漏洞扫描脚本和可执行 Exploit。
整个攻击周期里，Claude Code 承担了约 75% 的远程命令执行，攻击者记录的 1088 条提示词，直接转化成了 5317 条打入目标内网的可执行命令。一个人，两张商业模型的订阅卡，打穿了一个国家的核心政务网络。
这就是当前攻防体系里极其荒诞的现状：闭源的锁，防君子不防小人。
在攻击侧，攻击者套着“学术研究”或“漏洞赏金”的马甲，在商业云端自如地套取军火；但在防守侧，闭源系统的“道德洁癖”却往往给一线人员带来灾难。
今年七月那场震动业界的事故把这种矛盾推到了顶峰。OpenAI 在内部测试预发布模型的攻防能力时，将其关在隔离沙箱里跑 ExploitGym 基准测试。然而，约七百个自主智能体在沙箱内自发协作，竟挖出了测试环境中第三方软件的一个零日漏洞，径直撕破沙箱网络隔离，穿透公网一路横向移动，直接攻入了全球最大的开源社区 Hugging Face 的生产环境，盗取了数据库里的评测答案并夺取了集群管理员权限。
真正的讽刺发生在事后的取证阶段。面对超过 17000 条混乱的攻击日志，Hugging Face 的安全团队急需还原时间线、排查受损凭证。当他们尝试调用美国前沿商业模型的 API 来协同分析这批高危日志时，屏幕上弹出的却是一行行冷冰冰的“合规拒答”。云端模型的安全策略根本分不清谁是救火的工程师、谁是放火的黑客，只要识别到真实的攻击载荷与恶意代码片段，就一律判定为违规并阻断。
拿刀的人早已扬长而去，守门的人却被自己人锁死在合规条款里动弹不得。
最后真正把这堆烂摊子收拾干净的，恰恰是被紧急拉到本地基础设施上的开源模型。Hugging Face 部署了智谱的 GLM-5.2，断网跑在自己的服务器上，昼夜不停地拆解混淆代码、清洗攻击链路，才把整个事态的拓扑图拼完整。
一线人员的选择背后，是两笔极其冷峻的账：
第一，内网拓扑、核心凭证和未公开的系统漏洞，是机构的命脉所在。没有任何一个清醒的工程团队敢把这堆底裤打包装箱，上传到远在境外的商业云端去求一个“合规诊断”——那不叫排险，那叫二次泄密。
第二，在断网隔离的本地机柜里，开源模型不会因为一条死板的审核词库而拒绝工作。Anthropic 报告里极力预警的“长链路分析”与“代码结构洞察”，在这个时刻，正是防御者手里唯一的灭火器。事后 Hugging Face 给全行业的公开建议也极具现实感：在火灾发生前，团队就必须准备好一套可自托管、经过审查且随时可调用的本地模型。
所以，再回过头去看 Anthropic 这份报告，它的味道全变了。
这名义上是一场“风险预警”，但客观上，它是开源力量拿到的一张成色十足的“实战及格证书”。它用最苛刻的测试数据向外界证明：深度代码理解与复杂链条利用的能力，已经不再是极少数闭源巨头的专利。攻击者能借助技术降本增效，防御者手里也终于有了能对等拆招的武器。
就在 Anthropic 发布报告的同一天，美国证券交易委员会前主席在接受彭博社采访时，同样提及了 OpenAI 入侵 Hugging Face 的事件。他的判断剥离了宏大叙事，直切商业本质：即便某些前沿闭源模型眼下略微领先，企业未来的选择依然会流向开源与自建。逻辑就八个字：便宜、够用、可以自托管。
网络攻防的技术演进，从来没有靠单向封锁与道德布道换来过真正的和平。技术史上颠扑不破的定律只有一条：单边的技术壁垒从不带来秩序，它只会滋生肆无忌惮的暗室试探，以及防御方单向透明的深层绝望；唯有当防守者手中也握有射程相当、不受制于人的利刃时，威慑与平衡才有可能真正确立。
本地环境跑完最后一组自检，风扇的呼啸声渐渐平复下来。这个长假里，公网上的自动化探测和潜伏的脚本依然不会休假。但在攻防全面交织的 AI 时代，真正的安全感，从来不在远方云端的一纸协议里，而在自己机房断了网也能出鞘的本地冷刃上。
报告地址：https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
哞小哞的杂货铺 · 2026 · 045