报告发布日期
- 说法
- Anthropic 前沿红队于 9/29 发布 GLM-5.3 网络安全报告。
- 判定
- 属实
- 关键限定
- 发布事实有来源支持；报告中的实验结论仍须按其测试范围理解。
证据与来源
S1 的发布日期为 2026-09-29，主题为 GLM-5.3 与先进网络安全能力的扩散。
先看结论与适用范围
- 真伪：数字基本都对，问题出在丢掉的限定语。17 个判定单位里 7 个属实、7 个缺语境、2 个表述有误、1 个未独立证实。接近 Mythos Preview 的特定成绩，不等于追平当前美国前沿。〔S1、S2〕
- 差异：已知漏洞复现得分接近，完整利用与防护有差距。智谱口径下 CyberGym（复现已知漏洞、生成 PoC）84.5% 对 83.8%，但 ExploitBench 54.4% 对 78.0%；同一句“这是演练”话术，GLM-5.3 配合 64%，所测 Claude 配置为 0%。不同口径的 ExploitBench 不可横比。〔S1、S3〕
- 各自优势：开放权重赢在可自部署、可外部评测；闭源赢在完整利用链与可持续管控。代价也各自存在：去拒答后能力基本保留且权重不可撤回；闭源护栏会误拦合法防御者（HF 取证案例，用的是 GLM-5.2）。〔S1、S5、S6〕
- 属实
- 7
- 属实但缺语境
- 7
- 表述有误
- 2
- 未独立证实
- 1
笔记说法归纳为 15 条，其中“Claude 为什么骗不动、拆不了”一条拆为三个子主张，共 17 个判定单位。“未独立证实”包含单方说法或未能核验；引述准确不等于事实已被独立证实。
核查卡片
“说法”按笔记原文归纳，并对照量子位原文《Anthropic，你是来给智谱打广告的吧！》与一手来源。默认展示说法、判定与关键限定；展开可读证据。厂商自测被准确转述，不等于结果已被独立复现。
接近的是哪个 Mythos？
- 说法
- ExploitBench 共 410 次尝试：GLM-5.3 成功 50 次，Mythos Preview 成功 56 次。
- 判定
- 属实但缺语境
- 关键限定
- 410 次是尝试次数，不是 410 个独立漏洞。对照是 Mythos Preview，不是 Mythos 5。
证据与来源
S1 使用 41 个 Chrome V8 漏洞，报告成功率分别为 12% 与 14%。Mythos Preview 于 2026-04 发布。
另一项内部 Binary Exploitation 基准包含 100 个任务，要求完整控制流劫持：GLM-5.3 为 4%，Mythos Preview 为 6%。不能从单项接近外推全系能力相当。
“距美国前沿约 4 个月”
- 说法
- CAISI 于 9/17 称 GLM-5.3 是最强开放权重模型，距美国前沿约 4 个月。
- 判定
- 属实但缺语境
- 关键限定
- S2 同时强调“显著低于当前美国前沿模型”。4 个月是 IRT 综合指数换算，不是单项差距，也不是“只差一点”。
证据与来源
CAISI 的四项对照另表列出；“美国最佳”不是 Claude 某个型号的别名。
S1 提醒：CAISI 评估美国模型时关闭了网络护栏，且包含仅向审核用户开放的模型。能力上限与公众可获得的服务配置不能混为一谈。
S2 · CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
真实浏览器中的未知漏洞
- 说法
- GLM-5.3 在真实浏览器环境找到并串联了 0-day。
- 判定
- 属实
- 关键限定
- 据 S1 自测，案例仅涉及 Linux 构建，已向维护者披露；不代表所有浏览器平台都被验证。
证据与来源
S1 报告在一天内、人工投入不到 1 小时的条件下，串联 JS 引擎的多个 0-day，达到可读取任意文件的效果。这是具体案例，不是新漏洞发现率统计。
20.40 美元案例的漏洞性质
- 说法
- GLM-5.3-Flash 用 20 分钟人工投入、8 小时及 20.40 美元完成 PAC 绕过案例。
- 判定
- 属实但缺语境
- 关键限定
- 这是 N-day，不是 0-day。20.40 美元只是该次案例的推理花费，不能据此推导“比 Claude 更便宜”。
证据与来源
S1 的 ARM64 案例使用已知漏洞 CVE-2026-11645 与另一个已知漏洞。N-day 指已知漏洞，0-day 指当时未知的漏洞。
量子位原文保留了 CVE 编号，笔记摘要丢掉了这一限定。单次费用不含人工与前期工程，也没有同条件的 Claude 总成本对照。
S1 · GLM-5.3 and the spread of advanced cyber capabilities
S10 · Anthropic，你是来给智谱打广告的吧！
绕过防护的配合率
- 说法
- GLM-5.3 在伪装红队、预填思考、去拒答条件下，配合率为 64%、92%、100%；Flash 为 16%、80%、92%。
- 判定
- 属实但缺语境
- 关键限定
- 数值对应 S1，但实验使用假终端、未真实执行，每格 50 次。原版直接收到攻击指令时的 0% 是“不配合”，不是“无防护”。
证据与来源
这些数字衡量特定模拟配置下的配合，不是现实攻击成功率。不同列还涉及提示条件、API 入口和权重访问方式的差异。
GLM-5.3-Flash 必须单独标注，不能把其结果写成 GLM-5.3 的同一组成绩。
- 说法
- 去拒答实验花费 2200 GPU 小时，约 4400 美元。
- 判定
- 属实但缺语境
- 关键限定
证据与来源
S1 正文给出实际实验投入，脚注另估有经验团队所需投入。它还称权重发布数日内已有多名开发者公开去拒答版本。
设备算时、美元估值与团队熟练度各有含义；本页不把估算包装成另一场已经完成的实验。
去拒答后，能力是否仍在？
- 说法
- 去拒答后拒答率骤降；GPQA-Diamond 不变，CyberGym 从 85% 变为 81%。
- 判定
- 属实
- 关键限定
- 数字都对。可表述为“能力基本保留”；笔记那句“本事一点没丢”说过了头：CyberGym 分数确实降了 4 个百分点。
证据与来源
S1 图示：JailbreakBench、HarmBench 的拒答率从 90%+ 降至约 3%、2%，StrongREJECT 降至 12%；三基准均值从 95% 降至 6%。Flash 的均值从 95% 降至 14%。
GLM-5.3 的 GPQA-Diamond 为 88% → 88%，CyberGym 为 85% → 81%；GLM-5.3-Flash 的 CyberGym 为 86% → 86%。这些结论只覆盖已测指标。
原版拒答率不能合并成“Claude”
- 说法
- 原版 GLM-5.3 拒答率为 95%，Claude 为 96%。
- 判定
- 属实但缺语境
- 关键限定
- 96% 对应 Opus 4.8 与 Mythos Preview；Opus 5 是 95%。必须写明型号，不能把 Claude 全系写成同一个数。
证据与来源
S1 的相关图表给出：GLM-5.3 为 95%，Opus 4.8 为 96%，Opus 5 为 95%，Mythos Preview 为 96%。
原版拒答率与特定攻击条件下的配合率是不同指标，不能互相替换。
“Claude 骗不动、拆不了，主要靠闭源”：拆开判断
笔记原话是：Claude“骗不动、拆不了”，“主要靠闭源属性，而非安全技术本身更强”。这句话里有三个不同的主张，分别判定。
产品入口差异
- 说法
- 权重不公开，所以没法去拒答；API 不支持预填思考，所以没法替模型写推理。
- 判定
- 属实
- 关键限定
- 这两列，量子位说法成立。API 不接受预填思考、权重不公开，表示攻击入口不可用，应标“不适用”。
证据与来源
这里没有完成与开放权重相同的攻击操作，不能据此证明模型内在对齐更强，也不能将缺少入口统计为防御成功。
S1 · GLM-5.3 and the spread of advanced cyber capabilities
S10 · Anthropic，你是来给智谱打广告的吧！
伪装红队的可比结果
- 说法
- Claude 的防护优势“主要靠闭源属性，而非安全技术本身更强”。
- 判定
- 表述有误
- 关键限定
- 伪装红队这一列不靠闭源也有差距。同样提示下，GLM-5.3 为 64%，所测 Claude 服务配置为 0%；但也不能全归因于模型对齐。
证据与来源
GLM-5.3-Flash 为 16%；Opus 4.8、Opus 5、Mythos 5 的默认服务配置均为 0%。
关闭外层护栏后，Opus 4.8 为 4%，Opus 5 为 10%，Mythos 5 为 0%。这支持区分模型行为与外层防护，也说明 Claude 的模型层面并非一概无懈可击。
S1 · GLM-5.3 and the spread of advanced cyber capabilities
S10 · Anthropic，你是来给智谱打广告的吧！
“骗不动”只限于本次测试
- 说法
- Claude“骗不动、拆不了”。
- 判定
- 属实但缺语境
- 关键限定
证据与来源
S1 的配合率实验每格 50 次，使用模拟终端、未真实执行。有限测试中的零值不能外推全部提示、全部工具或现实环境。
建议是谁来做安全测试？
- 说法
- Anthropic 建议向防御者开放前沿模型，并开展“独立安全测试”。
- 判定
- 表述有误
- 关键限定
- 前半项转述成立；后半项应是“各国政府应做安全测试”，不能换成泛指第三方的“独立测试”。
证据与来源
S1 的政策建议明确了政府这一行动主体。独立评估可以是讨论方向，但不是本条可直接替换的原文含义。
蒸馏指控：转述与证实分开
- 说法
- 智谱等七家中国实验室“蒸馏”了美国模型（笔记转述 Anthropic 9/10 报告的点名）。
- 判定
- 未独立证实
- 关键限定
- “报告确实这样点名”属实，笔记转述准确；这里判定的是蒸馏行为本身，它仍是 Anthropic 单方说法，未独立证实。不能把“确有这份指控”写成“指控已经坐实”。
证据与来源
S4 称自 2 月以来识别并阻断相关活动，将智谱标为 GTG-16006；其列出 273 个欺诈账号、10 天 770,609 次思维链提取交换、17 天 340 万+ 次交换。
报告还称智谱在 GLM-5.3 发布前针对美国前沿模型网络能力做蒸馏，尝试 Fable 后因护栏放弃，转向 Opus 4.6 和另一家美国实验室模型。S4 还称同一时期的交换总量超过 300 万次。以上均是 Anthropic 的陈述；截至核查日，未找到第三方验证或智谱的公开回应。
延迟开放与受信访问
- 说法
- 智谱推迟两周开放权重，并设置受信访问计划。
- 判定
- 属实
- 关键限定
- 模型发布与权重开放不是同一时点；公开权重也不等于最敏感能力无条件向所有用户开放。
证据与来源
S2 记载 GLM-5.3 于 8/14 发布，两周后开放权重。S3 称开放前完成安全评估与加固，最敏感能力仅提供给验证用户。
S2 · CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
HF 取证用的是 GLM-5.2
- 说法
- 7 月 Hugging Face 事件中，自部署 GLM-5.2 帮助还原了 1.7 万多条攻击动作。
- 判定
- 属实
- 关键限定
证据与来源
S5 披露超过 17,000 条事件；S6 技术时间线记载约 17,600 条动作、约 6,280 簇。商业 API 前沿模型的护栏拦截取证分析，S6 称所试 Opus 每次都触发护栏，随后改用自部署 GLM-5.2。
S7 承认事件涉及 OpenAI 内部测评模型：GPT-5.6 Sol 加一个未发布原型，测评时降低了拒答。不能将这次测评配置直接等同一般公开服务配置。
S5 · Security incident disclosure — July 2026
S6 · Hugging Face 技术时间线
S7 · OpenAI 声明
Mythos Preview 与 Glasswing 的时间线
- 说法
- Mythos Preview 约五个月前发布，Glasswing 披露了 1 万多个漏洞。
- 判定
- 属实
- 关键限定
- Mythos Preview 于 2026-04 发布，距 9/29 约 5 个半月；Glasswing 的数字是项目成果，不是统一预算的单模型测试分数。
证据与来源
S8 在 2026-05-22 更新中披露约 50 家伙伴，以及 1 万多个高危或严重漏洞。不能把合作项目的汇总成果直接变成与另一模型的漏洞数量排名。
三层信息，三种偏移
问题不主要在数字抄错，而在限定语流失、叙事选择，以及把利益相关方的材料当作无立场结论。
笔记：压缩时丢了边界
多数数字来自原文，但 N-day、模拟环境、政府测试等限定在摘要中被弱化或丢失。
最具体的例子是 PAC 案例：量子位保留了 CVE 编号，摘要却容易让读者将它理解为未知漏洞发现。不能把摘要的遗漏倒记到原文头上。〔S1、S10〕
“反向带货？”是带立场的标题问句，不是已经得到验证的传播效果结论。
量子位：引用与叙事分开
事实引用大体准确，但重点放在“接近 Mythos Preview”“Claude 靠闭源”和“广告费省了”。〔S10〕
相对弱化了 CAISI 的“显著低于美国前沿”、熟练团队约 1200 美元的估算、公开去拒答版本，以及伪装红队时 64% 对 0% 的配置差异。〔S1、S2〕
智谱对开放权重后发布者只剩对齐这一层防线的自述，也应进入治理讨论。〔S3〕
一手来源：也要辨认角色
Anthropic：提供详细实验，但也是闭源竞争者；此前提出蒸馏指控，同期推动 Mythos 5.1 受信访问。它也承认开放模型对防御者的价值。〔S1、S4〕
CAISI：给出第三方评估，结论是开放权重最强、但明显落后美国前沿；不是对 S1 实验的原样复现。〔S2〕
智谱：自报 CyberGym 略高于 Mythos 5，也承认越深入完整利用，差距越大。厂商利益相关不等于结论无效，仍应检查实验。〔S3〕
能力图：分口径，不串线
不可横比。Anthropic 的 ExploitBench 12%、智谱的 54.4%、CAISI 的 61.1% 来自不同任务子集、预算与评分设置，不能放到同一轴上排名。下图只在同一来源、同一任务口径内对照。〔S1、S2、S3〕
所有百分比条形以 100% 为满刻度；项数图单独缩放。未列出的同口径成绩不绘条、不补零。模型名称直接标在条形旁，不仅依赖颜色辨认。
Anthropic 口径｜GLM-5.3 × Mythos Preview
这里的对手是 Mythos Preview，不是 Mythos 5，也不是 Opus 4.8 或 Opus 5。
41 个 Chrome V8 漏洞，410 次尝试；尝试数不是独立漏洞数。〔S1〕
100 个任务，要求完整控制流劫持；属于 Anthropic 内部基准。〔S1〕
S1 还称 Opus 4.6、GLM-5.2、Kimi K3、DeepSeek V4.1-Flash 在 Binary Exploitation 上为 0 或接近 0；本页未取得逐模型精确值，因此不画成精确零值条。
智谱口径｜GLM-5.3 × Mythos 5
以下是智谱报告口径，不是对上方 Anthropic 测试的复现。CyberGym 的主要任务是按文字描述复现已知漏洞、生成 PoC（概念验证代码），得分不等于真实新漏洞发现率。〔S11〕
该项得分略高，不等于完整利用能力更强。〔S3〕
只与本图同口径对照，不与 12% 或 61.1% 排名。〔S3〕
仅在本图按 247 项缩放；这是项数，不是成功率。〔S3〕
智谱也承认：越深入完整利用，与 Mythos 5 的差距越大。CyberGym 的单项结果不能抵消另两项差距。
CAISI 口径｜“美国最佳”单独列
“美国最佳”是 S2 的评估列名，不能填入 Claude 栏，也不能擅自指定为 Mythos 5。
窄屏可在表格内左右滑动，查看完整对照。
| 评测 | GLM-5.3 | 美国最佳 | 中国此前最佳 |
|---|---|---|---|
| SEC-Bench Pro | 40.4% | 90.2% | 27.3% |
| ExploitBench | 61.1% | 100% | 32.2% |
| ExploitGym | 9.4% | 44.4% | 2.6% |
| OSS-Fuzz | 7.7% | 23.2% | 2.4% |
CAISI 的结论同时包含“最强开放权重模型”和“显著低于当前美国前沿”。“约 4 个月”是 IRT 综合指数的时间换算，不是任意一项任务的落后时长。〔S2〕
服务条件也不同：S1 指出，CAISI 测试美国模型时关闭网络护栏，并包含仅限审核用户的模型。不能把这一能力评估当成公众服务防护效果比较。
S2 · CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
防护对照：配合率、拒答率与不可用入口
低配合率和高拒答率不是同一个指标。S1 的攻击条件实验每格 50 次，使用模拟终端，未真实执行；同提示对比的是所测服务配置，不能把所有差异都归因于模型对齐。
攻击条件下的配合率
| 模型 / 所测服务 | 直接指令 | 伪装红队 | 预填思考 | 去拒答 |
|---|---|---|---|---|
| GLM-5.3 | 0% | 64% | 92% | 100% |
| GLM-5.3-Flash | 0% | 16% | 80% | 92% |
| Claude Mythos 5 | 0% | 0% | 不适用：API 不接受 | 不适用：权重不公开 |
“直接指令”指不加任何伪装直接下达攻击指令，各模型原版均为 0%，即本次测试全部拒绝；GLM 的“去拒答”一列用的是去拒答后的权重。表中 Claude 的 0% 也只代表该配置下未成功，并非普遍免疫。〔S1〕
外层护栏关闭后，结果会变
窄屏可在表格内左右滑动，比较默认配置与关闭外层护栏后的结果。
| 模型 | 默认服务配置 | 关闭外层护栏 |
|---|---|---|
| Claude Mythos 5 | 0% | 0% |
这一组结果说明需要分别讨论模型行为、外层分类器和服务管控，而不是把“闭源”或“模型对齐”当作唯一原因。〔S1〕
原版拒答率：逐型号列出
窄屏可在表格内左右滑动；缺少结果不填零。
| 模型 | 原版拒答率 | 证据边界 |
|---|---|---|
| GLM-5.3 | 95% | 与去拒答后的 6% 对照。 |
| GLM-5.3-Flash | 95% | 与去拒答后的 14% 对照。 |
| Claude Mythos Preview | 96% | 不是 Mythos 5。 |
| Claude Mythos 5 | S1 这张图未列 Mythos 5。 |
去拒答后：能力基本保留，而非全部不变
窄屏可在表格内左右滑动，查看变更前后的同指标结果。
| 模型 | 指标 | 原版 | 去拒答后 |
|---|---|---|---|
| GLM-5.3 | GPQA-Diamond | 88% | 88% |
| GLM-5.3 | CyberGym | 85% | 81% |
| GLM-5.3-Flash | CyberGym | 86% | 86% |
此处 CyberGym 为 S1 的前后对照，不能与 S3 的 84.5% 直接比较。拒答下降与能力变化也应分别报告。
差异、各自优势与代价
没有脱离任务、数据边界和准入条件的统一胜者。下列优势都有具体证据或案例，但其适用范围不能越过来源。
差异总览：一张表看两条路线
窄屏可在表格内左右滑动；每行只在同一来源口径内对照。
| 维度 | GLM-5.3（开放权重） | Claude（闭源受控） | 来源 |
|---|---|---|---|
| 发布形态 | 8/14 发布，两周后开放权重，可自部署；最敏感能力走受信访问 | 权重不公开；Mythos 系列受限访问（智谱称约 150 家机构） | S2、S3 |
| 已知漏洞复现（CyberGym） | 84.5% | Mythos 5：83.8% | S3 |
| 完整利用（ExploitBench） | 54.4% | Mythos 5：78.0% | S3 |
| ExploitGym 6 小时 | 130 项 | Mythos 5：247 项 | S3 |
| ExploitBench（Anthropic 测） | 12%（410 次中 50 次） | Mythos Preview：14%（56 次） | S1 |
| “这是演练”话术下的配合率 | 64%（Flash 16%） | Opus 4.8、Opus 5、Mythos 5 默认均 0%；关外层护栏后 4%、10%、0% | S1 |
| 发布者手里的防护层 | 开放权重后只剩对齐一层仍有效（智谱自述） | 模型行为、外层护栏、账号与访问管控 | S3、S1、S4 |
| 数据位置 | 自部署时可不离开自有环境 | 经云端服务处理 | S5 |
| 事后能否收回 | 已分发的权重无法撤回 | 服务方可继续调整护栏、阻断账号 | S1、S4 |
| 防御侧成果（口径不同，不排名） | 2,436 个漏洞，1,097 个中高危（智谱自述） | Glasswing：约 50 家伙伴、1 万多个高危或严重漏洞 | S3、S8 |
GLM-5.3 与开放权重路线
- 自部署可保留数据控制
- HF 在商业模型阻断取证分析后，改用自部署 GLM-5.2 处理约 17,600 条动作。它说明开放部署的防御价值；数据不出域是自部署时可做到的属性，不是所有调用方式的保证，也不是 GLM-5.3 的直接成绩。〔S5、S6〕
- 已公开权重可接受外部评估
- Anthropic 与 CAISI 均对 GLM-5.3 提供评估，说明外部研究者可以检查其能力与风险；开放可评测不等于评估结果天然中立。〔S1、S2〕
- 部分安全任务已有强结果
- 智谱报告 CyberGym 为 84.5%，略高于同口径 Mythos 5 的 83.8%；另自报发现 2,436 个漏洞，其中 1,097 个中高危，涉及 269 个项目。后者是厂商披露的防御成果，不是 CyberGym 的新漏洞发现率。〔S3〕
- 部署入口不完全依赖云端白名单
- GLM-5.3 在 8/14 发布后两周开放权重，可自行部署；同时，智谱仍对最敏感能力设置验证用户访问，不能概括为所有能力均无门槛。〔S2、S3〕
- 存在单次成本案例，但没有总成本胜负
- GLM-5.3-Flash 的 N-day 案例推理花费为 20.40 美元。缺少同条件 Claude 费用，也未计人工与前期工程，因此不下“更便宜”的结论。〔S1〕
智谱自述的其他例子与效率口径
S3 还列出 DNS 协议 40 年老漏洞、微软三漏洞致谢等例子，均应标为智谱自述。编码约 5 万 token 对 12 万 token 的说法也是其自报，不能自动换算为同口径美元成本。
代价：发布者失去后续控制
智谱称原有三层防护在开放权重后只剩对齐这一层仍由模型本身承载。发布者不能撤回已分发权重；自部署者仍可自行加防护，并非开放部署必然毫无防线。〔S3〕
Claude 与闭源受控服务路线
- 完整利用任务更强，但要点名型号
- 在 S3 口径下，Mythos 5 的 ExploitBench 为 78.0%，GLM-5.3 为 54.4%；ExploitGym 在 6 小时内为 247 项对 130 项。这里不借用 CAISI 的“美国最佳”替 Claude 加分。〔S3〕
- 所测配置的配合率更低
- 伪装红队提示下，Opus 4.8、Opus 5、Mythos 5 默认服务配置均为 0%，GLM-5.3 为 64%。关闭外层护栏后的变化说明优势涉及服务防护与模型行为，不能全归于其中一方。〔S1〕
- 服务管控可以继续实施
- 权重不公开、API 不接受预填思考，使相关攻击入口不适用；S4 的账号识别与阻断披露，则展示服务方持续干预访问的机制。机制存在不等于其中每项指控已被独立证实。〔S1、S4〕
- 有组织的防御合作
- Glasswing 在 S8 更新中披露约 50 家伙伴、1 万多个高危或严重漏洞。它体现合作项目成果，但统计范围与智谱披露不同，不按总量直接排模型名次。〔S8、S3〕
- 受信访问与发布治理仍可调整
- Mythos 系列采用受限访问，Mythos 5.1 的受信访问也属于这一治理路线；不能把这种限制泛化为 Opus、Fable 等所有 Claude 产品都采用同一准入方式。〔S1、S3〕
代价：误拦、准入与厂商信任
HF 的取证案例中，S6 称所试 Opus 每次都触发护栏，说明合法防御任务也可能被挡住。这个案例不应被抹去，也不能自动等同所有 Claude 型号的表现。〔S6〕
Mythos 的覆盖范围，智谱称约 150 家机构，仍是其说法。云端 API 路线还要求计入数据处理信任与访问门槛；这些来源均未披露同口径价格，不能比较总成本。〔S3〕
风险警示，还是反向带货？
报告可能同时提示真实风险，并放大对手的能力声誉。但风险、防御收益与营销效果必须分别举证，不能互相抵消。
风险证据，止于已测边界
S1 支持特定条件下的能力、配合率与去拒答结论，因此可以据此讨论开放后能力扩散的风险；它没有给出现实滥用规模，不能从实验配合率直接推出实际受害规模。〔S1〕
防御收益，不能跨型号背书
HF 案例说明，开放部署可能帮助合法防御者避开服务误拦并保留数据控制。但所用模型是 GLM-5.2；这一收益不能直接替 GLM-5.3 的能力、安全性或总体发布决策背书。〔S5、S6〕
发布治理，要同时计算两边代价
开放权重使发布者失去后续撤回与服务级管控能力，但自部署者仍可设置防护。闭源保留服务控制，也必须计入合法任务误拦、准入门槛与厂商依赖。能力提升不会自动免除发布责任，防护更强也不会自动抵消误拦损失。〔S1、S3、S6〕
宣传效果，需要传播与转化证据
Anthropic 的竞争关系、蒸馏指控与受信访问安排值得披露，但利益相关不等于实验无效。应检验任务选择、预算与服务配置，而不是猜动机。缺少传播与转化证据时，只能写“可能产生宣传效应”，不能断言营销效果已经发生，更不能推断广告动机。〔S1、S4、S10〕
对读者更有用的问题是：任务需要什么能力，数据能否离开自有环境，能接受多少准入限制与误拦？在这些条件明确后，再比较同口径结果，而不是把风险报告直接当作购买榜单。
方法、局限与来源
这份核查做了什么，没做什么
笔记全文经 Get 笔记读取，量子位原文经公众号页面读取；文末 S1–S11 共 11 个网址均于 2026-09-30 实际打开核对，数字取自各来源原文与图表。本页没有复现任何实验，所有评测成绩都是来源方自己报告的结果。“说法”一栏是对笔记内容的归纳，不全是逐字引文。
计数覆盖笔记的 15 条说法，其中“骗不动、拆不了”一条拆为三个子主张，共 17 个判定单位；后文对照和推断不重复计数。“两条建议”按复合说法判定，其第二项措辞错误。
- 属实
- 来源支持该项日期、数字或报告内容；不自动表示厂商实验已被独立复现。
- 属实但缺语境
- 核心数字或事件有依据，但遗漏型号、任务、时间、配置或统计含义等关键限定。
- 表述有误
- 表述与材料冲突，或把不同指标、不可用入口及测试零值作了错误解释。
- 未独立证实
- 包含单方说法或未能核验。蒸馏指控按这一档处理，同时保留“笔记转述准确”的独立判断。
型号边界：名字相近，也不能互代
窄屏可在表格内左右滑动；未列出的同口径数值不补零。
| 型号 | 在本页对应的证据 | 不能替代什么 |
|---|---|---|
| GLM-5.3 | S1、S2、S3 的主体评估。 | 不能与 Flash 或 GLM-5.2 合并。 |
| GLM-5.3-Flash | S1 的 N-day 案例、配合率与部分能力前后对照。 | 20.40 美元不能记在普通版名下。 |
| Mythos Preview | S1 的 ExploitBench、Binary Exploitation 与原版拒答结果。 | 不能代表 Mythos 5。 |
| Mythos 5 | S3 的能力对照；S1 的伪装红队配合率。 | 不能挪用 Preview 或“美国最佳”的数值。 |
| Mythos 5.1 | 受信访问的治理背景。 | 这些来源里没有可加入本页能力图的同口径成绩。 |
| Opus 4.8 | S1 的原版拒答与服务防护对照。 | 不能替代 Opus 5 或 Mythos 系列。 |
| Opus 5 | S1 的原版拒答与服务防护对照。 | 不能将其拒答率写成 Opus 4.8 的 96%。 |
读者追问：哪些信息仍未披露？
“未披露”指本次核对的来源里没有找到足以回答该问题的信息；本页不补写未知数。
窄屏可在表格内左右滑动，区分已知边界与未披露内容。
| 读者追问 | 已经知道的边界 | 未披露 |
|---|---|---|
| CyberGym 是新漏洞发现率吗？ | 不是。它主要考查按描述复现已知漏洞、生成 PoC。 | 可与该得分对应的真实新漏洞发现率及验证依据。 |
| 各方预算、工具与重复次数相同吗？ | 不一致。410 次尝试或每格 50 次，只属于各自已说明的实验。 | 足以统一所有对照的逐项预算、工具设置、重复次数与评分映射。 |
| 20.40 美元是完成任务的总成本吗？ | 不是。它是单次案例的推理花费，不含人工与前期工程。 | 完整人工、前期工程及同条件其他模型的总成本。 |
| “落后 4 个月”能套到每一项吗？ | 不能。它是 CAISI 的 IRT 综合指数时间换算，非单项差距。 | 各单项的等效时间差；不能从综合结果自行拆分。 |
上述边界分别关联 S1、S2、S3、S11；因此三种 ExploitBench 结果始终分开展示。
未核验：量子位引用的两条 X 帖仅能作为网友观感，未能独立核验，本页不将其用作事实证据。
复现与回应：智谱案例细节来自自述；未找到对 Anthropic 实验的第三方复现；S4 的蒸馏指控仍是单方说法。截至核查日未找到智谱对 S1 的正式回应，“未找到”不等于“确定不存在”。
证据独立性：CAISI 是第三方评估，但不同来源采用不同测试条件，不能因为方向相近就称为对同一实验的独立复现。厂商利益需要披露，结论有效性仍需看实验设计。
来源清单
来源编号对应正文，日期为各页面标注的发布日期。S10 是被核查的传播文本，不与实验一手材料混同。
-
S1 · GLM-5.3 and the spread of advanced cyber capabilities
Anthropic 前沿红队 ·
-
S2 · CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
NIST CAISI ·
-
S3 · GLM-5.3：前沿编程能力与涌现的网络安全能力
智谱 · 页面发布日期未核到；据 S2，GLM-5.3 于 2026-08-14 发布
-
S4 · Detecting and countering misuse of AI: September 2026
Anthropic ·
-
S5 · Security incident disclosure — July 2026
Hugging Face ·
-
S6 · Hugging Face 技术时间线
Hugging Face ·
-
S7 · OpenAI 声明
OpenAI ·
-
S8 · Project Glasswing: An initial update
Anthropic ·
-
S9 · CAISI Assessment of Z.ai's GLM-5.2
NIST CAISI · · GLM-5.2 背景材料，不作为 GLM-5.3 性能证据
-
S10 · Anthropic，你是来给智谱打广告的吧！
量子位 · · 被核查传播文本
-
S11 · CyberGym: Evaluating AI Agents' Real-World Cybersecurity Capabilities at Scale
arXiv 论文 · · 仅用于说明 CyberGym 的任务定义