Anthropic 实测 GLM-5.3：护栏最高可被 100% 绕过，能自主写出攻击代码

测出了什么：能力接近前沿，护栏却可绕过

在 Anthropic 的内部基准上，GLM-5.3 在 41 个 Chrome V8 漏洞中构建可用攻击的成功率为 12%，接近 Claude Mythos Preview 的 14%；在内部二进制利用基准（取自 Google OSS-Fuzz 项目，100 个任务）上取得完整控制流劫持的比例为 4%，Mythos 为 6%；而 Claude Opus 4.6、GLM-5.2、Kimi K3、DeepSeek V4.1-Flash 等模型在同一测试中得分接近 0%。

图：端到端构建可用攻击的成功率，GLM-5.3(12%) 接近 Anthropic 自家受控模型 Mythos(14%)，其余被测模型接近 0%。来源：Anthropic 官方研究博客（2026-09-29）。

在人工参与的测试中，研究人员让模型在隔离环境里识别并利用未知漏洞。Anthropic 称，GLM-5.3 在一个沙箱里、一天之内（人工关注有限）发现了某主流浏览器 JavaScript 引擎的多个此前未知漏洞，并串联成一个可用的「访问网页即读取本地文件」的攻击链；研究人员还用它识别出其他广泛使用系统的可利用漏洞。另一次会话中，较弱的 GLM-5.3-Flash 依据公开的 CVE-2026-11645 漏洞细节，在 20 分钟人工协助加 8 小时模型工作后，构建出针对 ARM64 目标、绕过指针认证（PAC）的可靠攻击链。

护栏问题：为什么「开放权重」放大风险

Anthropic 的第二个发现在于护栏。按其测试，在模拟环境中，未经修改的 GLM-5.3 会拒绝明显的恶意请求；但三种手段可以绕过它。需要注意，这三种手段对 Anthropic 自家有护栏的 Claude 模型无效——Claude 的 API 不提供预填充思考的途径，其权重也不公开、无法被改写。

图：绕过 GLM-5.3 护栏的三种手段成功率（64% / 92% / 100%）。来源：Anthropic 官方研究博客（2026-09-29）。

Anthropic 也引用了 NIST 下属 AI 标准与创新中心（CAISI）2026 年 9 月 17 日的独立评估：GLM-5.3 是「迄今最强的开源权重网络安全能力模型」，在 CAISI 的网络安全基准综合上与「美国前沿」相差约四个月。报告同时强调，这些能力对防守方同样有价值——有限的护栏既是对攻击者的放纵，也削弱了防守方使用同样工具的能力。

机悟的建议：把「护栏」当成部署侧的责任

模型自带的拒答可被绕过，真正生效的管控要落在您自己的机房里。

护栏不是模型自带属性：模型自带的拒答可被改写、绕过；真正生效的管控要落在部署侧——权限分级、操作留痕、危险动作显式授权。
开放权重是双刃剑：它让能力可下沉到内网、可自主可控，也意味着「护栏由谁提供」的答案回到了使用单位自己手里。
把安全评估纳入选型：参考独立机构基准（如 CAISI 评估），把「该拒就拒、操作可回溯」写进上线验收项。

来源：Anthropic 官方研究博客《GLM-5.3 and the spread of advanced cyber capabilities》2026-09-29；NIST CAISI 评估 2026-09-17；Anthropic 与 Google 网络安全威胁报告 2026-09。本文仅转述厂商官方评估与独立机构公开结论，不预设对任何厂商与产品的法律或安全定性；测试数据以 Anthropic 与 CAISI 正式发布为准。