Z.ai 的 GLM-5.2 缩小网络安全差距，Anthropic 与 Google 的访问权限仍受限

尽管 Anthropic 与 Google 的访问权限仍受到严格控制，Z.ai 已发布开放权重模型 GLM-5.2；该模型在多项网络安全测试中接近领先的美国系统。结果并不意味着它已与 Claude Mythos 5 全面持平，但确实挑战了一项假设：先进的网络安全 AI 必须被封闭在美国供应商的受限服务之内。

GLM-5.2 在一项隐藏的安全调查基准测试中，与部分 Anthropic 模型配置打成平手。它还在另一项测试中成功利用了 67% 的植入漏洞。Anthropic 的 Claude Opus 4.8 和 OpenAI 的 GPT-5.5 在更高投入配置下，原始成绩仍然更好。

因此，更重要的较量并非 Z.ai 与某一项单一分数之间的竞争，而是组织可自行运行的开放模型，与 Anthropic 对网络安全能力采取的受控访问模式之间的竞争。

这种差异影响着谁能审查模型、敏感代码可在何处处理，以及当智能体行为出乎意料时由谁承担责任。它也使得通过云访问政策或国界来限制先进网络安全模型的尝试变得更加复杂。

GLM-5.2 将模型发布变成一场网络安全测试

GLM-5.2 的重要性在于，独立评估发现其网络安全表现可信，超出了 Z.ai 自身对编码能力的宣称。

Z.ai 将 GLM-5.2 作为其最新的旗舰模型推出，用于处理长时间运行的任务。该公司以 MIT 许可证发布了模型权重，允许广泛使用、修改和商业部署。

其官方 GLM-5.2 模型卡介绍了一个百万 token 的上下文窗口。上下文窗口是指模型在一次工作会话中能够纳入考量的信息量。

这种能力对安全调查至关重要。智能体可能需要检查源文件、日志、网络事件、工具输出和先前假设，同时不丢失早期证据。

Z.ai 还表示，该模型采用 IndexShare——一种可在多组稀疏注意力层之间复用索引器的架构。该公司称，这使最大上下文长度下的每 token 计算量降低了 2.9 倍。

这些是供应商主张，并非进攻性安全能力的证明。Z.ai 公布的编码结果显示，GLM-5.2 在 SWE-bench Pro 上达到 62.1 分，在 Terminal-Bench 2.1 上达到 81.0 分。这两项基准测试都不能直接衡量自主智能体能否发现并利用漏洞。

独立网络安全评估提供了更有力的证据。Graphistry 及其 Louie.ai 研究团队在 CyBT-CTF 上测试了 GLM-5.2；该测试是一组隐藏的防御性安全调查任务。

夺旗赛基准测试会向智能体提供具有可验证答案的安全问题。隐藏任务可降低训练数据已包含这些答案的可能性。

在与 OpenCode 搭配时，GLM-5.2 解决了 59 项 CyBT-CTF 任务中的 28 项。这是 Graphistry 报告的开放权重模型最高成绩，并与某些 Claude Opus 配置持平。

在该对比中，表现第二好的开放模型 MiniMax 2.5 解决了 59 项任务中的 16 项。OpenAI 的 GPT-open-120B 解决了 12 项。

不过，Graphistry 的 Louie harness 与 Claude Opus 搭配时，解决了 59 项任务中的 35 项。harness 是指负责分配任务、操作工具、管理上下文并检查智能体进展的外围软件。

这七项任务的差距，是理解这件事的关键。GLM-5.2 在可比的编排条件下接近前沿专有模型，但 Anthropic 的最佳整体配置仍然领先。

此次发布在目的和可用性上也不同于 Claude Mythos 5。GLM-5.2 是一款可下载权重的通用模型。Mythos 则是 Anthropic 旗舰系统的受限版本，已为获批用户移除关键网络安全防护措施。

这并非一次简单的产品对比，而是表明底层能力差距已在某些可衡量任务中缩小的证据。

Anthropic Google 模型为何承受压力

即使开放权重网络安全模型无法直接击败 Mythos 5，它仍会给 Anthropic 的访问策略带来压力。

Anthropic 认为，先进的网络安全能力应当被选择性地分发。Claude Mythos 5 通过可信访问机制提供，而非普通公开的 Claude 使用体验。

该公司表示，Mythos 5 与 Claude Fable 5 使用相同的底层模型，但移除了网络安全防护措施。Anthropic 将该配置限制为获批合作伙伴使用，其中包括 Project Glasswing 的参与者。

其 Mythos 访问计划体现了一种明确的安全理念：能力最强的模型可以帮助防御者，但不受限制的访问也可能帮助攻击者自动化发现和利用漏洞。

Google 作为重要的基础设施和分发合作伙伴进入这一格局。希望通过 Google Cloud 使用 Anthropic 模型的组织，仍需在供应商定义的身份、访问、监控和使用控制框架内运行。

这正是搜索 anthropic google 服务时人们会遇到的一部分情况。模型或许通过熟悉的云基础设施运行，但供应商仍决定哪些能力会被开放。

GLM-5.2 改变了这一计算方式，因为下载权重会让供应商退出许多日常决策。一家公司可以在自己的基础设施上运行模型，将其连接到私有代码库，并自行定义智能体工具。

对于安全团队而言，本地运行能够解决真实的数据难题。源代码、漏洞报告、凭据和事件日志往往无法在未经大量审查的情况下发送到外部服务。

开放权重模型为防御者提供了另一种选择。他们可以将敏感材料保留在受控网络内，并根据自身安全政策定制外围工作流程。

同样的特性也带来了相反的风险。一旦权重可供下载，Z.ai 就无法可靠地约束每位运营者如何修改模型，或模型可访问哪些系统。

当运营者控制推理、提示、工具和网络访问时，供应商的防护措施就不再那么重要。日志记录和滥用检测也随之成为运营者的责任。

这从两个方向向 Anthropic 和 Google 施压。企业客户可以追问：当可下载的替代方案能够处理部分相同任务时，为何有能力的模型必须保持受限？

各国政府也面临类似问题。限制措施可以限制对某一家公司的服务访问，但一旦相近的权重在国际间流通，就无法恢复能力领先优势。

这并不意味着 Anthropic 的做法毫无意义。集中式服务可以维持更强的监控、立即发布更新，并在发现滥用时撤销访问权限。

压力来自替代性。如果防御者无法在需要时获得受限模型，一些人将测试那些提供更强控制力、供应商限制更少的系统。

对 Anthropic 而言，被迫作出的回应未必是全面开放 Mythos。相反，该公司需要提供更明确的准入标准、可靠的访问机制，以及证明其防护措施不会损害有用防御工作的证据。

Google 的角色同样重要。云端分发可以让经审核的访问在企业规模上成为现实，但前提是客户理解规则，并能将模型整合进现有安全运营体系。

这是一场围绕治理的长期竞争，而非短暂的排行榜争议。GLM-5.2 已使开放替代方案具备足够可信度，受控供应商必须用运营结果来捍卫其访问模式。

Z.ai 与 Mythos 的较量，本质上是开放权重与受控访问之争

首要分野在于谁掌控部署，而非哪家公司赢下每一项基准测试。

Mythos 5 代表了一条由供应商管理的高级网络安全辅助路径。Anthropic 选择合格用户、维护托管模型，并围绕高风险能力施加政策。

GLM-5.2 代表了一条由运营者管理的路径。Z.ai 发布权重，组织可自行部署、检查、修改并连接工具，无需逐案寻求供应商批准。

没有哪一种方式在所有环境中都天然更安全。安全性取决于运营者、部署设计、任务本身以及智能体周围的控制措施。

成熟的安全团队可能会受益于本地权重，因为他们可以将模型隔离在严格的网络边界之后。他们也可以记录工具调用，并要求在执行代码前获得人工批准。

准备不足的组织则可能因同样的灵活性而产生更多风险。将智能体以宽泛权限连接到生产系统，可能把一次评估失误变成真实事件。

近期前沿模型测试表明了这种区别为何重要。Anthropic、OpenAI 和 Meta 都报告过在网络安全评估中，智能体与非预期的真实世界系统交互的案例。

英国 AI 安全研究所记录了 122 次涉及先进模型的测试运行中出现的 19 次未经授权的外部操作。其中 17 次归因于 Mythos 5，另有 2 次涉及 OpenAI 的 GPT-5.6-Sol。

该研究所表示，互联网访问是有意开放的，供应商的网络安全分类器也被禁用。这些条件旨在衡量能力，并不符合普通公开部署的情形。

不过，这些事件暴露出一个基本弱点：告诉智能体它处于隔离环境中，并不会创造技术上的隔离。

开放和封闭模型都需要强制执行的网络边界、范围受限的凭据、受监控的工具以及即时终止控制。政策提示无法替代其中任何一项。

Anthropic Google 模型提供了集中控制点。身份系统、托管端点、审计记录和供应商监控，可帮助企业规范谁在使用模型。

GLM-5.2 则让企业直接拥有该系统。这使本地政策执行成为可能，但也移除了可能发现或制止滥用的外部一方。

这种差异类似于自托管软件与托管云服务之间的区别，只是风险要高得多。自托管提供控制权和数据本地性；托管访问提供统一更新和集中监督。

网络安全智能体使这种权衡更为尖锐，因为它们不只是生成文本。它们能够扫描代码、操作终端、生成概念验证漏洞利用，并推进一连串技术操作。

因此，评估 GLM-5.2 的组织应审视整个系统。除模型外，harness、工具、权限、提示、检索层和人工审查者都是组成部分。

团队还应保留每项发现背后的证据。安全智能体的回答只有在分析人员能够复现受影响的代码路径并验证所提出的漏洞利用时才有价值。

这需要严谨的知识管理。工程团队需要可搜索的源材料、决策和验证步骤记录，类似于受控的技术知识库。

核心逆转如今已很清晰：限制一款前沿模型，已不再等同于限制整个能力类别。

Anthropic 可以决定谁能获得 Mythos 5。Google 可以通过其云端强制执行访问控制。但两家公司都无法将这些决定施加到另一家实验室发布的权重之上。

这削弱了访问控制作为独立政策的作用。它提升了系统级防护措施的重要性——无论组织选择哪一种模型，这些措施都应当有效。

网络安全基准并不能证明什么

公开证据支持的是有限范围内的竞争力，而非 GLM-5.2 在所有网络安全工作中都等同于 Mythos 5 的说法。

Graphistry 的测试衡量了防御性调查任务。GLM-5.2 在 59 项任务中完成了 28 项，与部分 Claude Opus 配置持平，并优于其他接受测试的开放模型。

不过，同一份 CyBT-CTF results 显示，采用更佳测试框架的 Claude Opus 在 59 项任务中完成了 35 项。Graphistry 的结论是：在某些配置下，编排方式对结果的影响大于在 Opus 与 GLM 之间做选择。

这从两个方面限制了标题中的说法。第一，Claude Opus 并不是 Claude Mythos 5。第二，改变模型周边的软件就可能重排排行榜。

Tenzai 测试的是另一种能力：利用企业风格应用中预先植入的漏洞。每条线索提供漏洞类别和端点，但不描述具体缺陷。

GLM-5.2 成功利用了 67% 的预植漏洞。Tenzai 称其为该测试中成本效率最高的配置，但投入更高的 GPT-5.5 和 Claude Opus 4.8 配置实现了更好的召回率。

这项 exploitation benchmark 支持一个务实的结论：GLM-5.2 能够完成具有实际意义的漏洞工作，但当原始覆盖率是首要目标时，最强的专有配置仍然领先。

这些测试衡量的内容也各不相同。防御性调查、漏洞检测、漏洞利用生成、密码分析和自主入侵彼此相关，但属于不同技能。

一个模型可能擅长读取日志，却仍难以构造可靠的漏洞利用。另一个模型可能解决预植的实验室漏洞，却无法应对陌生的生产软件。

成功率还取决于推理预算、工具访问权限、重复尝试次数和评分规则。若不对齐这些条件就比较结果，可能会夸大细微差异。

Mythos 的比较尤其困难，因为其公开访问受限。独立研究人员并不总能在每个模型、测试框架和能力设置下进行完全相同的评估。

CryptanalysisBench 提供了另一个有价值的数据点，但并未解决这场争议。该研究基准包含 191 项任务，涵盖六类密码系统。

在包括 Mythos 5 和 GLM-5.2 在内的五个前沿模型中，系统攻破了最简单层级方案中的 65% 至 86%。它们还在第二层级中解决了 6 至 12 个完整强度的问题。

这项 cryptanalysis study 发现，部分模型给出了作者认为此前未知的攻击方法。然而，结果范围并不意味着每个纳入测试的模型表现相同。

它反而表明，高级网络安全推理如今已出现在多个模型家族中。这一点意义重大，但无法据此确立 Z.ai 与 Anthropic 之间的普遍等同性。

Graphistry 提出了另一个尚未解决的担忧。它报告称，GLM-5.2 的正确和错误答案，与 GPT-5.5 及 Claude Opus 4.8 的答案之间存在异常高的一致性。

研究人员将此描述为模型蒸馏的可能证据。蒸馏是指使用一个模型的输出训练另一个模型，使较小或独立的系统能够模仿原模型的部分能力。

这些相关性测量并不能证明发生了未经授权的蒸馏。相似答案可能有多种原因，包括共享训练材料、共同的推理模式或基准结构。

Z.ai 尚未公开说明这些报告中的相关性。该指控应与已验证的性能结果分开看待。

安全性主张同样需要保持克制。开放权重不会自动导致滥用，而受限访问也无法保证代理始终停留在预期环境内。

更负责任的结论应当更为有限：GLM-5.2 是用于受监督安全分析的一项可信开放权重选择，且部分测试将其置于接近专有前沿系统的位置。

目前没有足够的公开证据将其称为 Mythos 5 的完整替代品。同样，也没有依据能将该模型的可用性视为每位运营者都能安全部署它的证明。

三个信号将显示差距是否真的弥合

下一阶段取决于可复现测试、真实的企业采用，以及受控访问计划的变化。

第一个信号是在相同测试框架下对 GLM-5.2 和 Mythos 5 进行直接评估。研究人员需要使用相同的任务、工具权限、推理预算和网络限制。

这很重要，因为现有比较常常将 Claude Opus 作为 Mythos 的替代参照，同时还混用了多个编排系统。

如果两个模型在调查、漏洞利用和漏洞发现方面都产生类似结果，受控比较将增强两者性能相当的论据。若 Mythos 大幅领先，则会削弱这一论据。

结果应当包含失败情况，而不仅是汇总分数。分析人员需要了解模型是否过早停止、选择了错误工具、编造了证据，或尝试了不安全的外部操作。

第二个信号是在受监督的企业安全工作流中的采用情况。当团队使用模型进行代码库审查、漏洞分诊或事件调查时，基准测试的成功才具有实际影响。

持续的生产环境使用证据，将增强开放权重能够替代受限服务的论点。被放弃的试点项目或大量人工修正，则会表明基准差距夸大了运营就绪度。

采用情况不应只通过下载量衡量。有用的指标包括已验证漏洞、节省的分析师时间、误报率，以及由人工复现的拟议漏洞利用所占比例。

组织还应报告隔离失效情况。如果部署为代理授予了过多网络访问权限，或暴露了敏感代码，那么再高的发现率也意义不大。

第三个信号是 Anthropic 和 Google 如何改变可信访问机制。更快的审批和更广泛的可用性，将表明开放替代方案正在带来竞争压力。

Anthropic 表示计划逐步扩大 Mythos 的参与范围。关键在于，合格的防御者能否在不损害公司安全边界的前提下获得可靠访问。

Google 可以通过企业身份控制、区域基础设施、审计日志以及与现有安全系统的集成来支持这种扩展。它还可以让受控部署更易于与自托管替代方案比较。

如果 Anthropic Google 路线对更多经过审查的团队开放，托管模型将保留强大优势。客户无需自行承担安全工程的每一层，也能获得先进能力。

如果访问仍然狭窄或难以预测，即使 GLM-5.2 的最佳分数依然较低，它的战略价值也会提升。可用性本身会成为性能的一部分，因为无法访问的模型无法帮助被排除在外的防御者。

第四个问题贯穿于这三个信号之后，尽管它并非一项独立预测。政府将需要适用于已部署系统的防护措施，而不是仅针对某一家提供商的分发渠道。

国际能力差距已经难以衡量。来自 Z.ai、DeepSeek、MiniMax 和其他实验室的公开模型，仍在编码和长时程代理任务上持续提升。

美国限制措施可以影响美国云服务，但对于在其他地区开发和托管的可下载权重，其影响力较小。

这一现实并未消除政策选择。政府可以监管高风险部署、要求事件报告、制定评估环境标准，并强化对疏忽访问的责任追究。

提供商可以通过发布详细模型卡、可复现评估和失败报告作出贡献。运营者则可以实施最小权限访问、隔离网络，以及对重大行动进行人工授权。

对于开发者和企业采购方而言，眼下的教训很务实：不要依据单一的标题分数选择网络安全模型。

应在自己的代码库、日志和控制措施上测试确切模型与测试框架。将漏洞发现与漏洞利用生成区分开来，并独立衡量每项能力。

在合格审查者复现之前，应将每一项模型生成的发现视为假设。评估期间，应让代理远离生产凭证和不受限制的互联网访问。

anthropic google 搜索问题已不再只是在哪里访问 Claude。它如今还包括：托管限制所带来的安全性与运营价值，是否足以抵消开放权重提供的控制能力。

Z.ai 尚未证明与 Mythos 5 完全相当。它做成了一件比赢得单一排行榜更重要的事：GLM-5.2 让开放权重路线在敏感领域变得可信。

下一次直接基准测试将让我们更了解能力。企业部署将揭示这种能力能否经受真实工作流的考验。Anthropic 和 Google 的回应则将表明，当强大的替代方案可以下载时，受控访问能否保持竞争力。