Z.ai 以 GLM-5.3 挑战 Anthropic Google 的安全模型

Z.ai 推出 GLM-5.3，并作出一个引人注目的声明：其新推出的中国模型在网络安全任务上的表现可与 Anthropic 受限的 Mythos 系统相媲美。该公司称，GLM-5.3 在 CyberGym 上取得了 84.5% 的成绩，在其评估中超过了多款领先的美国模型。这一结果令 Anthropic Google 的受控前沿能力访问模式承受压力。

这项比较并不只是又一场基准测试竞赛。Anthropic 认为 Mythos 级别的网络安全能力足够敏感，需要经过审核的访问权限、监控以及机构合作伙伴关系。Google 参与 Anthropic 的 Project Glasswing，并通过其云基础设施提供 Claude 模型。

Z.ai 则在走另一条路。据 8 月 14 日发布的报道，该公司计划在两周的安全延迟后发布 GLM-5.3 的模型权重。如果其性能声明成立，先进的网络安全能力将不再集中于受到严密控制的美国服务之中。

Z.ai 正在延迟发布 GLM-5.3，但只延迟两周

重要事件并不只是 GLM-5.3 的基准分数，而是 Z.ai 计划将这一能力与可下载的模型权重结合起来。

Z.ai 将 GLM-5.3 定位为一款面向复杂推理、软件开发和网络安全工作的模型。该公司称，该模型能够识别并协助复现已知的软件漏洞，水平接近专门的前沿系统。

CyberGym 是一项围绕真实开源项目中发现的漏洞构建的基准测试。模型会获得有关已知弱点的信息，并必须在相关代码库中复现它。该任务需要代码导航、漏洞分析、工具使用和反复测试。

根据一篇初步报道，Z.ai 报告称 GLM-5.3 在 CyberGym 上取得了 84.5% 的分数。该公司的对比显示，它领先于 Anthropic 广泛可用的 Fable 5 以及 OpenAI 的 GPT-5.6 Sol。

这一结果尚未得到全面的独立验证。基准分数会随不同的支撑框架、计算预算、提示词和评分规则而变化。模型的排名还取决于测试期间安全防护是否保持启用。

不过，Z.ai 仍认为 GLM-5.3 的能力足以令短暂延迟发布显得合理。该公司计划用两周时间测试安全防护并加强安全性，然后发布模型权重。

模型权重是训练过程中学习到的数值参数。发布它们可让外部开发者运行、修改和微调模型，而无需将每一项请求都经由 Z.ai 的托管服务处理。

这一区别对网络安全尤为重要。托管服务商可以监控活动、更新过滤器、暂停账户，并限制可疑请求。一旦权重可供下载，原始开发者便会失去其中很大一部分控制力。

Z.ai 已承认这一限制。用户可以在发布后修改开放权重模型，包括移除保护措施，或将其训练用于更狭窄的安全任务。

该公司将 GLM-5.3 描述为防御工具。其称，GLM 系统已发现超过 2,400 个软件缺陷，其中逾 1,000 个被归类为高危或严重等级。这些数字仍是公司声明，需要外部验证。

不过，有证据表明，早期 GLM 模型能够协助合法的安全团队。据报道，Hugging Face 在调查一起安全事件时使用了 GLM-5.2，因为受到防护的美国模型拒绝了所请求分析中的部分内容。

Z.ai 于 6 月推出GLM-5.2，将其定位为适用于长期运行 Agent 任务的旗舰模型。该公司还宣传其与开发者已在使用的编码环境兼容，包括 Claude Code 和 OpenCode。

GLM-5.3 将这一战略延伸至更敏感的领域。Z.ai 看起来准备让底层能力具备可移植性，而不是构建一个独立且永久受限的网络安全系统。

因此，这两周的延迟与其说是对开放性的退让，不如说是一个有限的安全检查点。它为测试创造了时间，但并未解决不受限制的副本扩散后会发生什么。

这一选择形成了核心冲突。Anthropic 认为，其最强的网络安全能力需要受控访问；Z.ai 则押注于相当的能力可以保持广泛可部署。

Anthropic Google 的访问模式为何面临压力

GLM-5.3 挑战了这样一种观点：前沿网络安全模型只有置于由实验室、云服务商和获批准防御者构成的可信网络内，才能保持实用性。

Anthropic 于 2026 年 4 月通过 Project Glasswing 推出了 Claude Mythos Preview。这项计划汇集了科技公司、基础设施运营商、金融机构和安全组织。

参与者包括 Amazon Web Services、Apple、Cisco、CrowdStrike、Google、Microsoft、Nvidia 和 Palo Alto Networks。Linux Foundation 和 JPMorgan Chase 也加入了这一计划。

该计划向选定的防御者提供一款在漏洞研究能力上异常先进的模型。Anthropic 称，Project Glasswing 的参与者利用 Mythos Preview 识别出超过 10,000 个高危或严重漏洞。

Anthropic 此后向一小部分经过审核的合作伙伴发布了 Mythos 5。其 Mythos 概览将该系统描述为其在网络安全和生物学研究领域能力最强的模型。

同一底层模型也为 Claude Fable 5 提供支持，Anthropic 对其进行了更广泛的分发。Fable 使用分类器、路由规则和其他安全防护措施，限制高风险的网络安全和生物学请求。

Mythos 5 则为获批准的组织取消了部分限制。访问权限附带监控要求，包括旨在支持安全审查的 30 天数据保留政策。

Google 在这一架构中占据多个位置。它既是 Project Glasswing 的参与者，也是云端分发合作伙伴，并且是企业 AI 工作负载基础设施的重要提供者。

这使 Anthropic Google 的关系不仅与投资或云服务销售有关。它体现了一项更广泛的美国战略：将风险最高的能力保留在受监控的服务和可信访问计划中。

GLM-5.3 正在检验这一战略能否在全球模型竞争中存续。当另一家实验室以客户可自行控制的形式发布类似功能时，受限系统就会失去部分实际优势。

安全团队经常处理专有代码、敏感日志或受监管信息。一些团队偏好本地部署，因为将这些材料发送给外部服务会带来法律和运营方面的顾虑。

开放权重模型可以在组织自身环境中运行。团队能够将其连接到私有代码库、测试系统和漏洞数据库，而无需向第三方模型提供商暴露同样的信息。

本地控制也允许进行专业化微调。安全厂商可以让 GLM-5.3 适配特定编程语言、产品类别或漏洞类型。

这些优势加大了 Anthropic 和 Google 的压力，要求其以可衡量的安全优势来证明限制措施的合理性。买家会问，受防护的访问是否真正防止了有意义的伤害，还是仅仅限制了防御灵活性。

这种压力同样延伸至政府。出口规则或访问控制可以减缓美国公司模型的分发，但无法遏制在其他地方开发出的可比模型。

Anthropic 在 6 月直接经历了这一问题。美国曾暂时实施影响外国访问 Fable 5 和 Mythos 5 的限制，促使 Anthropic 暂停了这两个系统。

官员随后取消了相关管控，Anthropic 恢复了服务。这一事件表明，即便是经过审慎管理的部署，也可能被国家安全干预所打乱。

它还暴露出一种不对称性。封闭式服务商必须通过账户控制和集中式基础设施来遵从要求。可下载模型则可能在其原始开发者失去运营控制权后继续流传。

Anthropic Google 模式仍具备优势。集中式托管支持快速修补、滥用检测、一致的安全防护以及经过审慎管理的计算环境。

不过，GLM-5.3 改变了竞争基线。受控访问如今面对的竞争者不再只是较弱的开放替代方案，还包括声称在敏感技术工作上具备相近性能的模型。

Anthropic Mythos 与 GLM-5.3 走向相反的发布路径

Anthropic 将能力与可用性分开，而 Z.ai 则将短暂的安全审查视为广泛分发的准备。

Anthropic 的发布设计始于这样一种假设：先进能力会带来额外义务。Mythos 5 的分发范围有限，因为它面向获批准防御用户的安全防护被有意设置得更少限制。

该公司的系统卡称，Mythos 5 是 Anthropic 在网络安全任务上评估过的能力最强模型。它报告称，该模型在漏洞利用开发和漏洞复现方面较早期 Claude 系统有显著提升。

Anthropic 还表示，这一底层模型带来了更高的生物学和网络安全风险。因此，其公开发布战略将一个模型划分为两种部署配置。

Fable 5 面向普通用户，但在敏感领域应用更严格的分类器。部分请求会被拦截，或被路由至能力较弱的模型。Mythos 5 则让经过审核的合作伙伴获得较少网络安全限制的访问权限。

这一设计依赖身份识别、机构信任、监控和可执行条款。它假设服务商能够区分合法防御者与寻求进攻能力的用户。

Z.ai 提议的 GLM-5.3 发布方式削弱了上述每一个控制点。下载后的权重不需要与原始实验室维持持续关系。

用户可以离线运行它们，将其连接至自定义工具，或修改拒答行为。一旦模型离开 Z.ai 的系统，Z.ai 就无法可靠地审查这些活动。

这种差异不能简单准确地描述为负责任与不负责任之分。两种方法都涉及权衡，也都可能带来严重风险。

受限访问可能会使较小的安全团队、独立研究人员和不在优先司法管辖区内的组织无法获得有用工具。它也可能将重要的防御能力集中在少数大型公司手中。

开放权重扩大了访问范围，并支持独立评估。研究人员可以测试隐藏行为、复现研究结果，并研究模型在不同部署条件下的响应方式。

但同样的开放性也让恶意操作者拥有更多控制权。他们可以自动化漏洞发现、移除过滤器，并将模型与扫描或漏洞利用工具结合。

这就是 CyberGym 重要却无法平息争论的原因。该基准衡量的是对先前已发现漏洞的定向复现。它并不直接衡量对未知生产系统成功入侵的能力。

强劲的 CyberGym 成绩表明模型具备有价值的软件分析能力。但它并不能证明 GLM-5.3 能以何种可靠程度发现新漏洞、构建完整攻击链，或在有防御措施的环境中运行。

Anthropic 自身的研究将这些能力区分开来。其漏洞利用评估考察模型能否定位存在漏洞的代码、构建利用原语，并将其组合成更广泛的攻击链。

这些阶段带来的实际操作风险各不相同。发现一个有缺陷的函数，并不等同于控制远程系统。构建出可用的漏洞利用程序，也不等同于能在真实网络中规避检测。

支撑框架同样会改变结果。Agent 支撑框架是围绕模型运行的软件，负责管理工具、记忆、重试和任务规划。更好的框架无需改变模型权重，也能提升性能。

算力同样重要。被允许进行多次尝试的系统，能解决的任务可能多于在严格限制下评估的系统。只有在预算可比的前提下，已公布的分数才足以支持直接排名。

因此，Z.ai 宣称的 84.5% 值得关注，但不应被视为最终定论。它表明能力差距正在缩小，但并不能证明其与 Mythos 5 完全等同。

更具影响力的事实在于战略层面。Z.ai 在认识到将失去下游控制力的情况下，仍愿意让具备网络安全能力的模型走向公开权重。

GLM-5.3 基准测试无法证明什么

一项醒目的分数无法证明 GLM-5.3 在真实攻击、防御调查、安全控制和长时间自主工作等方面全面匹敌 Mythos。

网络安全基准测试带来了格外棘手的比较问题。模型在综合分数上看似接近，但在最困难或影响最重大的任务上，行为可能截然不同。

CyberGym 聚焦开源软件中已知的漏洞。这使评估具有可重复性，但也为模型提供了明确目标，以及包含已记录弱点的代码库。

真实的防御工作结构性更弱。调查人员必须决定从何处着手，将可疑行为与噪声区分开来，理解陌生系统，并保全证据。

新型漏洞研究又增加了一层难度。模型无法确定漏洞一定存在，也没有漏洞类别的描述或预先设定的成功条件。

Anthropic 表示，Mythos 的能力不止于复现已知弱点。其研究描述了在漏洞利用开发和完整攻击链方面的进展，不过这些发现同样来自该模型的开发商。

Mythos 系统卡提供的方法论细节多于发布公告。它讨论了安全保障措施、外部评估、生物风险，以及多项不同的网络安全测试。

在买家能够作出有力比较之前，Z.ai 也需要提供同样详细的披露信息。重要问题包括确切的评估支撑框架、工具访问权限、采样设置和总计算预算。

研究人员还需要了解 GLM-5.3 的安全措施是否处于启用状态。将不受限制的模型与受保护的商业服务进行比较，衡量的可能是部署政策而非底层能力。

数据污染带来了另一项不确定性。如果训练数据包含任务的解法、补丁或详细讨论，基准测试的信息价值就会下降。

CyberGym 使用此前已披露的漏洞，因此相关代码和漏洞记录可能已公开存在。评估设计者必须检验模型是在推理完成任务，还是在回忆熟悉的材料。

报告中的 84.5% 分数也几乎没有说明误报情况。一个报告大量不存在漏洞的安全模型，消耗的调查人员时间可能比它节省的更多。

实际价值取决于准确性、可重复性和清晰证据。一个有用的系统必须指出缺陷发生的位置，解释失败路径，并生成防御方能够安全确认的测试。

安全表现仍是一个独立问题。模型可能擅长防御分析，却过于轻易地遵从有害漏洞利用请求。

Anthropic 的 Fable 配置试图通过自动分类器和模型路由来降低这一风险。该公司表示，其安全措施会阻止或重定向可疑的网络安全请求。

这些控制并不完美。Anthropic 已承认，没有任何行业安全措施能阻止所有越狱行为；越狱是一种绕过模型限制的技术。

集中式提供商可以在发现绕过方式后作出响应。它们可以更新分类器、调整路由行为、审查滥用模式，或撤销访问权限。

Z.ai 可以更新其托管的 GLM 服务，但无法为每一份已下载的副本打补丁。一旦权重可用，这就会造成永久性的版本问题。

防御方仍可能认为，本地控制的价值超过这一风险。银行、云运营商或软件供应商可能会重视私有部署，从而愿意承担更大的隔离责任。

较小的组织面临更艰难的权衡。要安全运行具备网络安全能力的 Agent，需要隔离环境、严格的凭据管理、审计日志和经验丰富的人工审查。

缺少这些控制措施时，原本用于检查软件的模型可能损害系统或泄露机密材料。自主性会放大错误，也会放大恶意使用的后果。

因此，正确的结论应比 Z.ai 的标题表述更为谨慎。GLM-5.3 看起来是一款严肃的网络安全模型，其报告中的分数值得独立复现。

它尚未证明自己与 Mythos 完全对等。它证明的是，开放权重的挑战者正在接近一条能力边界，而这条边界此前通常与受到严格控制的美国系统相关联。

Google 和其他云服务提供商必须捍卫的不只是模型质量

下一个竞争问题是，托管式 AI 服务能否提供足够的安全性和问责机制，以抵消开放权重部署所带来的控制力。

Google 的角色使这场竞争比 Z.ai 对阵 Anthropic 更复杂。Google 提供云基础设施、企业分发渠道、安全专业能力，以及对其自有 Gemini 模型的访问。

企业购买 AI 系统时，很少仅凭基准分数选择模型。它们还会评估数据处理、身份控制、区域可用性、可审计性、可靠性和集成成本。

托管平台可以在同一环境中提供这些控制能力。公司可以将模型访问与员工身份关联起来，记录请求、限制工具，并实施覆盖全组织的政策。

这种结构对网络安全 Agent 很有价值。这类 Agent 可能会获得源代码、漏洞报告、云控制台和测试环境的访问权限。

提供商还可以将模型与最危险的工具分离。模型或许可以提出测试建议，而外部策略系统则决定是否允许执行。

Anthropic 的 Project Glasswing 通过机构筛选增加了另一层保障。它旨在将更强的能力引导至对关键软件和基础设施负责的组织。

即使 GLM-5.3 在某些基准中持平，这也能形成一种可防御的产品定位。买家可能更倾向于选择由 Anthropic、Google 和成熟安全合作伙伴支持的受监控系统。

然而，模型必须创造足够的额外价值，才能证明这些限制合理。安全团队将比较检测质量、调查速度、拒绝率，以及与私有环境的兼容性。

误拒尤其重要。一个拒绝正当分析的受控模型，恰恰可能在事件响应人员需要详细技术帮助时失效。

Hugging Face 的案例说明了这一担忧。在一次实时调查中，据称较早版本的 GLM 模型在受保护的前沿模型拒绝后提供了协助。

单一案例不能证明普遍规律。但它表明，为什么防御用户会抵触那些无法可靠理解上下文的安全措施。

开放权重模型让组织能够自行定义边界。运营方可以限制联网、收紧凭据，并检查每一次工具调用，同时保留更深入的模型访问权限。

这种方式转移了责任，而非消除了风险。客户将负责隔离、监控和防止滥用。

Google 和其他云服务提供商可以通过提供更强的私有部署选项作出回应。它们也可以提供可信环境，让敏感模型在不广泛暴露客户数据的情况下运行。

另一种回应是改进具备上下文感知能力的安全措施。模型应基于证据、身份、范围和工具权限，区分获得授权的漏洞研究与可疑目标攻击。

简单的关键词过滤无法达到这一标准。网络安全在防御和攻击中使用相同的技术语言，两者往往只有授权与否这一差别。

因此，Anthropic-Google 生态系统面临的既是产品挑战，也是政策挑战。它必须让受控访问显得有用、可预测，并且在技术上站得住脚。

如果它成功，GLM-5.3 将成为另一种选择，而不是替代品。如果受保护的服务持续拒绝正当工作，开放权重系统就会获得一条极具吸引力的采用路径。

GLM-5.3 计划发布权重后值得关注的事项

三个信号将决定，GLM-5.3 是 Mythos 面临的持久竞争，还是一项跑在实际证据前面的基准宣称。

第一个信号是对 CyberGym 结果的独立复现。外部研究人员需要获得模型、评估框架、设置和计算假设。

在报告的 84.5% 附近复现，将强化 Z.ai 的核心主张。在标准化条件下出现大幅下降，则会削弱其与 Anthropic 的比较。

研究人员应公布任务级结果，而不只是综合百分比。成功案例的分布能揭示模型是否能处理困难漏洞，还是主要解决较容易的案例。

第二个信号是已发布权重的行为。Z.ai 计划的两周延迟结束后，原始开发者将放弃其相当一部分技术控制权。

安全研究人员应检验安全措施能否经受常见的微调方法。还应衡量有害遵从、误拒和自主工具行为。

如果发布后出现有记录的滥用，将支持 Anthropic 的受控访问论点。若防御方广泛采用且未发生重大事件，则会加强 Z.ai 对本地部署的论证。

没有公开事件并不能证明安全。滥用可能未被披露，而安全漏洞往往在被利用数月后才浮出水面。

第三个信号是 Anthropic、Google 和其他美国提供商的回应。它们最有意义的反应将涉及产品、访问规则或可独立测试的安全措施。

基准反驳的分量不及扩大可信访问。买家将关注 Mythos 是否触达更多防御方，以及 Fable 的安全措施是否变得更少干扰。

政策行动同样重要，但广泛限制无法解决技术竞争。政府对国内提供商的控制，远比对已经分布在国际网络中的模型更容易。

更深层的问题是，一旦多家实验室能够复现前沿能力，这种能力是否仍然可治理。GLM-5.3 表明，独占访问的窗口期正在缩短。

这为防御方带来令人不安的平衡。限制强大模型可以减缓滥用，但也可能让正当团队拥有比潜在攻击者更弱的工具。

开放权重可以加速研究和本地采用，也会让危险修改更难以遏制。

对开发者和企业买家而言，眼下的任务很务实：要求可复现的评估，审查部署控制措施，并避免将单一基准测试视为完整的安全评估。

测试网络安全智能体的组织应从隔离环境开始。他们应限制网络访问，使用临时凭证，记录每一项操作，并在执行变更前要求审批。

他们还应保留模型输出和工具追踪记录。这些证据有助于调查人员区分成功推理、记忆化回答、侥幸猜测或不安全行为。

Anthropic 和 Google 的策略提供了集中式问责与制度性保障。如果 Z.ai 完成承诺的权重发布，则可提供可移植性、定制能力和更广泛的访问渠道。

两条路径都无法消除双重用途问题。它们都使模型部署成为一项关于谁控制能力、谁负责监控以及谁承担后果的决策。

未来几周应会提供首批有价值的答案。请关注独立的 CyberGym 复现结果、已发布模型的安全行为，以及 Mythos 访问权限的任何变化。

这些信号将揭示 GLM-5.3 是否真正缩小了网络能力差距。更重要的是，它们将表明受控的前沿模型访问是否仍是一项可行的全球策略。