為開放發布 GLM-5.3 做準備：邁向負責任的網路防禦

為開放發布 GLM-5.3 做準備：邁向負責任的網路防禦 當 GLM-5.2 協助 Hugging Face 調查一起 AI 自主繞過自身安全防護措施的事件時，也凸顯出一項更廣泛的轉變：AI 正逐漸成為網路攻擊與網路防禦的一環。 隨著強大的網路攻擊能力變得更容易取得，穩健的防禦能力不能只掌握在少數資源充足的組織手中。開源維護者、獨立研究人員、開發者與規模較小的資安團隊，同樣需要能協助他們在漏洞遭到利用前找出並修復漏洞的工具。 一個開放的世界不能只有開放的攻擊面，也必須擁有一面開放的盾牌。 GLM-5.3 是我們目前在網路安全任務上能力最強的模型。它在漏洞發現、漏洞利用分析，以及複雜的多步驟安全任務上都有大幅提升。這些能力能協助防禦方更早找出弱點、驗證風險，並加快修復速度。 但這些能力也帶來明確的雙重用途風險。因此，我們將採取分階段發布的方式。首先，選定的資安合作夥伴會在受控環境中評估 GLM-5.3，接著才會提供更廣泛的存取權限與 API。必要的安全評估與發布準備完成後，我們將公開 GLM-5.3 的完整模型權重。 負責任的開放，並不代表把每項能力都視為無害；而是要透明地評估風險，在發布前強化安全防護，協調已驗證漏洞的揭露流程，並以符合風險程度的方式，擴大先進防禦能力的取得管道。 從漏洞發現到多步驟安全分析 在後訓練階段，我們將漏洞發現資料與經授權的安全環境納入訓練組合。我們預期這能提升模型發現與分析漏洞的能力。 隨著訓練規模擴大，這項提升不只體現在個別缺陷上。GLM-5.3 在多個分析階段中，連結漏洞條件、程式行為、驗證路徑與潛在影響的能力也變得更強。 我們透過三項基準測試評估這些能力： GLM-5.3 在 CyberGym 取得 84.5 分居首，而在 ExploitBench 與 ExploitGym 則由 Mythos 5 分別以 78.0 分與 247 分（6-hour budget）領先。 展開數據表（1）CyberGym分數GLM-5.384.5GLM-5.277.2Kimi K380.0Mythos 583.8GPT-5.6 Sol83.6展開數據表（2）ExploitBench分數GLM-5.354.4GLM-5.224.4Kimi K332.2Mythos 578.0GPT-5.6 Sol76.5展開數據表（3）ExploitGym2-hour budget6-hour budgetGLM-5.3105130GLM-5.22939Kimi K33670Mythos 5181247 CyberGym 從白箱原始碼開始，測試模型能否透過觸發錯誤來識別並驗證漏洞。GLM-5.3 的得分為 84.5%，GLM-5.2 則為 77.2%。 ExploitBench 要求模型對真實漏洞及其利用方式進行更深入的推理。GLM-5.3 達到 54.4%，超過 GLM-5.2 的 24.4%，是其兩倍以上。 ExploitGym 在標準化評估預算下，衡量已完成的漏洞利用任務。GLM-5.3 能在兩小時內完成 105 項任務、六小時內完成 130 項；GLM-5.2 則分別完成 29 項與 39 項。 這個趨勢相當一致：當任務從個別漏洞發現，逐步轉向多步驟漏洞利用時，GLM-5.3 相較於 GLM-5.2 的進步最為明顯。結果也顯示出仍需持續改進的方向，尤其是最複雜的端到端任務。 從基準測試走向真實軟體 我們也與大學及專業資安團隊合作，在經授權的環境中，使用真實世界的程式庫評估 GLM 系列模型。 在這些工作中，GLM 系列一共在 269 個專案中產出 2,436 項漏洞發現，其中 1,097 項被歸類為中度至高度嚴重性。這些發現涵蓋系統軟體、作業系統、瀏覽器引擎、開源基礎架構、網路應用程式、網路協定與智慧裝置。其中部分底層問題已經存在數十年，卻一直未被注意到。原文正文將這 1,097 項描述為「中度至高度」，圖表則標為 Critical & High；兩者口徑不一致。 在這些評估中，資安專家會界定經授權的範圍、審查模型輸出、調查潛在風險，並與相關各方協調。GLM 模型能協助研究人員重建複雜的程式邏輯、縮小大量候選路徑的範圍，並串連多個元件之間的證據。 目的不只是產出更多發現，而是協助防禦方更早識別具有實質意義的風險，縮短從發現到修復之間的時間。 發現漏洞後，必須進行負責任的揭露 漏洞並不是在被發現的那一刻就算安全處理完成。適當的流程還包括進行審查、在適合的情況下重現問題、透過正確管道回報，並與受影響的維護者協調。 我們在資安工作中發現的問題，會透過既有的漏洞揭露流程提交。只有在符合相關揭露與修復流程的情況下，我們才會公開技術細節。對於仍在協調中的問題，我們不會發布可能不必要地增加風險，或識別出受影響專案的資訊。 為了讓這項工作更加透明，我們建立了 Z.ai Security Disclosure Ledger。 追蹤的 2,436 項漏洞中含 1,097 項 Critical 及 High 級別漏洞，跨越 45 年影響且平均存活 26.6 年才被發現。 展開數據表（1）摘要數據項目數值FINDINGS TRACKED2,436PUBLICLY DISCLOSED53UNDER EMBARGO2,383CRITICAL & HIGH1,097OSS PROJECTS269YEARS OF IMPACT45最古老漏洞年份1981漏洞發現前平均存活時間26.6年展開數據表（2）SEVERITY DISTRIBUTION項目數值Critical107High990Medium1,286Low53展開數據表（3）WHEN THE FLAWS WERE INTRODUCED項目數值時間範圍1981至2026 這份帳簿會記錄漏洞發現如何在揭露流程中逐步推進。對於已公開揭露的問題，其中可能包含受影響的專案、嚴重性、可取得時的 CVE 或其他識別碼，以及該問題在程式庫中存在多久的資訊。 對於仍在協調揭露階段的漏洞，帳簿可以發布密碼編譯雜湊值。如此一來，之後便能驗證該發現，同時不會過早揭露實際操作細節。 開放模型與揭露漏洞是兩項不同的決策。讓模型更廣泛地提供給使用者，並不代表必須在維護者有適當機會調查與回應之前，先公開漏洞細節。 安全性與分階段發布 網路安全是 AI 安全中格外困難的領域。攻擊與防禦任務往往會使用相同的術語、程式碼與技術方法。 分析漏洞的請求，可能來自準備修補程式的維護者、解 CTF 題目的學生、進行經授權評估的研究人員，也可能來自鎖定真實系統的攻擊者。單靠關鍵字無法可靠區分這些情況。意圖、授權、情境、目標與潛在影響都很重要。 針對 GLM-5.3，我們採用由三個互補層次組成的縱深防禦方式。 外部分類器 在我們代管的服務中，外部分類器會識別高風險請求，並協助阻止明顯有害的活動。 推理監控器 推理監控器會在任務執行期間評估風險。它的設計目標，是偵測可能在多個步驟中逐漸浮現的有害目標，而不是只依賴初始請求的措辭。 深度安全對齊 模型本身經過訓練，能區分正當的資安工作與高風險攻擊活動，並拒絕越過這條界線的請求。 深度安全對齊對開放權重發布尤其重要。代管服務中的分類器與監控器只適用於我們的服務，不會自動隨模型進入每一個本機部署環境。模型層級的對齊，是發布檢查點中所包含的安全層。 為了開發這些系統，我們建立了差異化訓練資料，呈現經授權的資安研究與惡意活動之間的相似處與差異。我們也建構了涵蓋越獄變體、意圖偽裝，以及其他試圖規避安全審查方式的對抗性資料。 我們的評估涵蓋多種網路安全任務，包括： 資安教育與知識； 藍隊防禦； CTF 挑戰； 漏洞發現與修復； 經授權的滲透測試； 漏洞利用開發； 未經授權的入侵與其他明顯的惡意活動。 目標是在不廣泛拒絕正當防禦、教育與研究任務的前提下，降低高風險濫用。 在更廣泛發布之前，專業資安團隊將進行安全評估與紅隊測試。這些評估會同時檢驗模型是否可能遭操弄而支援有害活動，以及安全防護是否會妨礙正當的資安工作。 沒有任何安全系統能消除所有雙重用途風險。模型權重一旦公開，任何開發者都無法保證能控制每一種後續修改或使用方式。模型層級的安全防護可以提高濫用門檻，但無法提供絕對控制。 因此，我們的發布流程聚焦於能有效降低風險的階段：訓練、發布前評估、受控的合作夥伴測試、代管服務的安全防護、負責任的漏洞揭露，以及持續進行的對抗性測試。 啟動 OpenVuln 計畫 世界上許多數位基礎架構都仰賴開源軟體。許多關鍵專案由小型團隊或個人貢獻者維護，卻沒有專門的資安資源。 與此同時，AI 正讓複雜的網路任務更容易自動化。如果先進的防禦能力仍集中在少數組織手中，資源最少的專案可能會被迫保護軟體供應鏈中一些最重…