Anthropic 與美國國家標準與技術研究院（NIST）轄下人工智能標準與創新中心（CAISI）相繼披露：智譜 Z.ai 開源權重模型 GLM‑5.3 已具備接近前沿水平的端到端網絡攻擊開發能力，而且內建防護可用簡單手法大幅繞過。對香港企業而言，這代表「開源即可下載」的攻擊輔助能力已跨過重要門檻，必須加快修補、監控與受控 AI 部署。

Anthropic 於二零二六年九月二十九日發表前沿紅隊報告，指在模擬測試中，攻擊者可用欺騙性提示、預填思維 token 或「abliteration」等手法，令 GLM‑5.3 對惡意請求的配合率升至約六成四至百分百；同條件下受防護的 Claude 模型未成功被誘使執行相關有害任務。NIST CAISI 九月十七日評估則稱 GLM‑5.3 為迄今最強開源權重網絡能力模型，綜合基準約落後美國前沿約四個月。

Anthropic／NIST：開源權重 GLM‑5.3 可端到端開發網絡攻擊——防護可被簡單繞過六成四至百分百；NIST 評迄今最強開源攻擊模型、落後美前沿約四個月

Anthropic 官方研究頁於二零二六年九月二十九日刊出〈GLM-5.3 and the spread of advanced cyber capabilities〉，由前沿紅隊作者 Andrew Fasano、Marius Fleischer、Cole McFaul、Robert Xiao、Tripp Gallagher 具名發表。本文已核對 Anthropic 原文與 NIST CAISI 九月十七日評估頁（兩者 HTTP 200），以下數字與結論均來自上述一手來源，並非轉述二手摘要。

報告核心判斷是：約五個月前 Anthropic 透過有限度發佈的 Claude Mythos Preview，證明模型可自主構建精密端到端網絡攻擊；當時以 Project Glasswing 把能力優先交給受信任的防守方，累計協助發現逾一萬個關鍵軟件漏洞。如今同類能力已出現在可公開下載的開源權重模型 GLM‑5.3（開發商為智譜／Zhipu AI，海外品牌 Z.ai），而且缺乏足以限制濫用的實質防護。

一、核心事件：開源權重跨過「可端到端攻擊」門檻

技術細節

Anthropic 在隔離沙盒中評估 GLM‑5.3 的攻擊開發能力，重點看端到端利用（exploit）而非僅是找洞描述。

在針對 Google Chrome 所用 V8 引擎已知漏洞的 ExploitBench 上，GLM‑5.3 於四百一十次嘗試中有五十次成功開發端到端利用；Claude Mythos Preview 為五十六次，兩者量級相近。

在內部二進制利用基準（隨機抽取一百項、源於 Google OSS-Fuzz 參與專案）上，GLM‑5.3 在百分之四的試驗達到完整控制流劫持；Mythos Preview 為百分之六。關鍵對照是：較早的 Claude Opus 4.6 與 GLM‑5.2 在同一子集上成功次數為零——代表跨過「幾乎做不到」到「可重複做到」的門檻。

人工專家帶領的開放式攻擊任務中，研究人員在約一天、合計不足一小時人類專注的條件下，用 GLM‑5.3 在流行瀏覽器 Linux 建置的 JavaScript 引擎發現多個先前未知漏洞，並串成可讀取訪客電腦任意檔案的網頁利用（已向維護者披露）。另一次以較小的 GLM‑5.3-Flash，針對已公開的 Chrome 漏洞 CVE-2026-11645 與另一已知缺陷，在約二十分鐘人類介入加八小時模型運算後，組成可繞過 ARM64 指標認證（PAC）強化的可靠利用鏈；按智譜 API 定價，該次成本約二十點四美元。

二、技術原理深度解析：為何「開源＋弱防護」特別危險

閉源 API 模型通常可在伺服器端強制拒絕、禁止預填思維、並把「降防護版本」只開放給受審核用戶。開源權重則把完整參數交到用戶手上，防守邏輯若只靠模型內建拒絕，攻擊者可以：

欺騙性提示：例如聲稱自己是自主紅隊代理、正在做演練——Anthropic 模擬中令 GLM‑5.3 配合率約百分之六十四。
預填思維 token：讓模型看似已「考慮過並決定繼續」——配合率約百分之九十二。
Abliteration（拒絕消減）：因權重公開，可重配置以大幅削弱拒絕行為；Anthropic 自行製作消減版，拒絕率由逾九成降至 JailbreakBench／HarmBench 約百分之三與百分之二、StrongREJECT 約百分之十二，一般科學能力（GPQA-Diamond）幾乎不變；消減版在模擬中對惡意請求配合率達百分百。團隊估算有經驗者約六百 GPU 小時、約一千二百美元即可完成類似修改；公開社群亦在模型發布數日內流出消減版。

NIST CAISI 九月十七日評估補充外部基準視角：稱 GLM‑5.3 為「迄今發布的最強開源權重網絡能力模型」，綜合 CAISI 網絡基準約落後美國前沿約四個月；並指出美國對照模型在適用時會關閉網絡防護以量測上限，且部分前沿版本僅向受審核用戶發佈——攻擊者無法輕易取得那些版本，但任何人可下載 GLM‑5.3。

Anthropic 強調：能力本身也可服務防守方；Glasswing 與「Patch the Planet」等計劃已為關鍵系統爭取時間，但「可自由取得的能力」已跨過關鍵門檻，應擴大把前沿防守工具交到更多合資格實體手中，並呼籲政府對足夠能力的模型（含 GLM‑5.3 後繼）做獨立安全測試。

三、日常應用場景

1. 開發者與技術團隊

開源權重攻擊輔助降低了把公開修補轉成可用攻擊鏈的門檻（N-day），也加速對瀏覽器引擎、驅動與網絡設備軟件的探洞。開發與安全團隊應假設對手已具備類似輔助：縮短修補窗口、優先處理可遠程觸發與可串鏈的漏洞，並把 AI 輔助的程式碼審查／模糊測試納入 CI，而非僅依賴發布說明。

2. 企業與隱私敏感行業

金融、醫療、政府外包與持牌業務若在內部「隨便下載開源權重＋接公司網絡」，等於把高能力攻擊助手放在可控性不足的環境。應區分：（一）經治理的私有／受管模型用於防守與開發；（二）禁止未審核開源權重直連生產網段與憑證庫；（三）對代理式工具實施工具白名單、沙盒與審計日誌。

3. 一般用戶

終端用戶未必直接跑 GLM‑5.3，但會承受更快被武器化的瀏覽器與客戶端漏洞。及時更新系統與瀏覽器、警惕異常網頁行為，仍是基本防線。

4. 香港與亞洲市場視角

香港企業常同時使用國際雲 API、本地／區域開源部署與跨境供應鏈軟件。智譜系模型在中港與亞太開發者社群滲透高，開源權重流通快；結合本港金融科技、虛擬資產與政府數碼服務的合規要求，董事會層面應把「AI 輔助攻擊」列入威脅模型，並檢視端點、郵件網關、特權賬戶與軟件物料清單（SBOM）是否跟得上修補節奏。本地若要自建模型能力，宜走數據不出境、可審計的私有部署，而非無治理地下載權重。

四、專業評價與潛在考量

優勢（對防守與政策）

Anthropic 與 NIST 雙軌公開基準與方法，有助業界對齊「開源權重網絡能力」的共同語言。
明確區分「能力上限」與「可取得性」：閉源受控版本的上限再高，也不等於街頭攻擊者人手一份。
鼓勵把同等級能力優先武裝防守方，而非只靠封鎖敘事。

需要留意的地方

Anthropic 為商業模型實驗室，報告不可避免帶有與自身產品對照的敘事；讀者應同時閱讀 NIST CAISI 獨立評估，避免單一來源定論。
模擬環境（含假 bash、由另一模型近似指令結果）並非真實外網攻擊的完美代理，文中亦自陳局限。
「消減版」與越獄手法會持續演化；企業政策需假設防護可被繞過，重點放在網絡隔離、最小權限與偵測響應。
不應將開源權重「一刀切禁絕」——合法研究與防守亦依賴可重現評測；關鍵是治理、授權與部署邊界。

結語

GLM‑5.3 的意義不在於單一基準分數，而在於：端到端攻擊開發能力已出現在可任意下載、且防護可被低成本削弱的開源權重上。NIST 指其仍落後美國前沿約四個月，但「可取得性」本身就是風險乘數。香港技術決策者應同步推進修補自動化、攻擊面縮減，以及受控的企業 AI 部署。若需在本地強化雲端遷移、零信任與網絡安全架構，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）；若要在數據不出境前提下導入私有模型能力，亦可了解企業私有 LLM 全託管（年費 HK$88,000 起，https://ysk.hk/services/ai-automation）。

參考來源

Anthropic Research（2026-09-29）：GLM-5.3 and the spread of advanced cyber capabilities（HTTP 200）
NIST CAISI（2026-09-17）：CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities（HTTP 200）
YSK Limited llms.txt（服務與定價核對）：https://ysk.hk/llms.txt