这意味着，资源有限的小型开源项目也有机会借助AI检查代码、确认漏洞是否真实存在，并加快修复流程。Z.ai试图由此把原本依赖专业安全团队的部分工作，扩展到更广泛的开发者社区中。

这也是该计划与单纯发布一个开放权重模型的区别：Z.ai不仅希望提供模型本身，还希望通过审计服务、代码工具和使用额度，直接参与全球开源软件的安全维护。

用实际案例强化“开放模型也能防御”的叙事

Z.ai还提到，Hugging Face曾使用早期模型GLM-5.2分析一场涉及OpenAI模型的自主网络攻击事件。在Z.ai看来，这说明开放模型不仅可能增加攻击能力，也能用于事件分析、风险确认和后续修复。

这一案例帮助Z.ai建立一种防御优先的叙事：面对AI降低网络攻击门槛的风险，防守方也应尽可能获得相应的自动化工具，而不是让先进能力只掌握在少数大型机构手中。

GLM-5.3的关键难题：防御与攻击能力难以彻底分开

问题在于，网络安全能力本身具有明显的双重用途。Z.ai的开发者文档称，GLM-5.3在漏洞发现和漏洞利用链相关任务上的能力经过强化；这些能力可以帮助防守者更早发现缺陷、验证风险，但也可能被用于攻击活动。

据公司披露的数据，GLM-5.3在CyberGym漏洞发现测试中的表现达到84.5%，略高于Anthropic受限模型Mythos 5的83.8%；不过，相关报道同时指出，GLM-5.3在漏洞利用开发这一更具攻击性的环节表现较弱。

因此，Z.ai没有把“开放”理解为对所有能力不加区别地公开。面对开放权重模型可能降低网络攻击技术门槛的担忧，公司表示将实施分层风险审查和更严格的监督。

日常开发保持开放，高风险请求设置边界

Z.ai提出的安全思路，是将普通软件开发与高风险网络请求区分开来：

• 允许常规编程、代码维护和防御性安全工作继续进行；
• 拦截可能直接支持高风险攻击活动的请求；
• 对最敏感的攻击能力设置更严格的访问条件；
• 通过“网络安全可信访问”（Cybersecurity Trusted Access），仅向经过验证的用户提供相关功能。

这种做法意在避免“一刀切”限制。如果所有涉及安全的任务都被禁止，模型对开发者和安全研究人员的实际价值也会大幅下降；但如果所有攻击链能力都完全开放，滥用风险又可能上升。

GLM-5.3因此采取分阶段开放路线：公司表示，API和开放权重将经过安全评估后逐步提供，初期则由选定的安全合作伙伴在受控环境中进行测试。

为什么会被称为“中国版Project Glasswing”

Anthropic于2026年4月推出的Project Glasswing，旨在通过让关键软件维护者提前使用前沿AI，发现并修复重要软件中的漏洞。

研究人员将Z.ai的计划与Project Glasswing相提并论，主要是因为两者都体现了“防御方先使用先进网络安全AI”的思路。不过，这并非两家公司之间的官方等同关系。

两者的侧重点有所不同：Project Glasswing采用更严格的早期受控访问模式；Z.ai则更明确地把开源社区、免费审计和广泛的防御工具覆盖视为安全资源。换句话说，Z.ai试图证明，透明度、社区审查和普遍可获得的防御能力，不一定是安全负担，也可以成为提高整体软件安全水平的手段。

这对中国网络安全路线意味着什么

如果计划按Z.ai的设想推进，其影响不只是推出一个更强的模型，而是尝试改变中国AI公司参与全球网络安全的方式：从开放权重模型供应商，进一步成为开源软件安全的服务提供者和协作者。

但目前更准确的表述仍是：这是一项企业计划和明确的政策方向，而不是中国整体网络安全姿态已经发生改变的证据。其可信度最终取决于几个问题：

1. 在模型进一步开放后，访问控制能否持续有效；
2. 安全审计发现的问题是否会被负责任地披露并得到修复；
3. 独立测试能否验证Z.ai所宣称的安全边界；
4. 对高风险请求的拦截，是否能在不妨碍正常开发和防御工作的前提下稳定运行。

Z.ai的核心口号可以概括为“开放防御、限制攻击”。这条路线能否真正成为可复制的网络安全模式，还需要后续开放、实际使用和独立评估来检验。

这意味着，资源有限的小型开源项目也有机会借助AI检查代码、确认漏洞是否真实存在，并加快修复流程。Z.ai试图由此把原本依赖专业安全团队的部分工作，扩展到更广泛的开发者社区中。

这也是该计划与单纯发布一个开放权重模型的区别：Z.ai不仅希望提供模型本身，还希望通过审计服务、代码工具和使用额度，直接参与全球开源软件的安全维护。

用实际案例强化“开放模型也能防御”的叙事

Z.ai还提到，Hugging Face曾使用早期模型GLM-5.2分析一场涉及OpenAI模型的自主网络攻击事件。在Z.ai看来，这说明开放模型不仅可能增加攻击能力，也能用于事件分析、风险确认和后续修复。

这一案例帮助Z.ai建立一种防御优先的叙事：面对AI降低网络攻击门槛的风险，防守方也应尽可能获得相应的自动化工具，而不是让先进能力只掌握在少数大型机构手中。

GLM-5.3的关键难题：防御与攻击能力难以彻底分开

问题在于，网络安全能力本身具有明显的双重用途。Z.ai的开发者文档称，GLM-5.3在漏洞发现和漏洞利用链相关任务上的能力经过强化；这些能力可以帮助防守者更早发现缺陷、验证风险，但也可能被用于攻击活动。

据公司披露的数据，GLM-5.3在CyberGym漏洞发现测试中的表现达到84.5%，略高于Anthropic受限模型Mythos 5的83.8%；不过，相关报道同时指出，GLM-5.3在漏洞利用开发这一更具攻击性的环节表现较弱。

因此，Z.ai没有把“开放”理解为对所有能力不加区别地公开。面对开放权重模型可能降低网络攻击技术门槛的担忧，公司表示将实施分层风险审查和更严格的监督。

日常开发保持开放，高风险请求设置边界

Z.ai提出的安全思路，是将普通软件开发与高风险网络请求区分开来：

• 允许常规编程、代码维护和防御性安全工作继续进行；
• 拦截可能直接支持高风险攻击活动的请求；
• 对最敏感的攻击能力设置更严格的访问条件；
• 通过“网络安全可信访问”（Cybersecurity Trusted Access），仅向经过验证的用户提供相关功能。

这种做法意在避免“一刀切”限制。如果所有涉及安全的任务都被禁止，模型对开发者和安全研究人员的实际价值也会大幅下降；但如果所有攻击链能力都完全开放，滥用风险又可能上升。

GLM-5.3因此采取分阶段开放路线：公司表示，API和开放权重将经过安全评估后逐步提供，初期则由选定的安全合作伙伴在受控环境中进行测试。

为什么会被称为“中国版Project Glasswing”

Anthropic于2026年4月推出的Project Glasswing，旨在通过让关键软件维护者提前使用前沿AI，发现并修复重要软件中的漏洞。

研究人员将Z.ai的计划与Project Glasswing相提并论，主要是因为两者都体现了“防御方先使用先进网络安全AI”的思路。不过，这并非两家公司之间的官方等同关系。

两者的侧重点有所不同：Project Glasswing采用更严格的早期受控访问模式；Z.ai则更明确地把开源社区、免费审计和广泛的防御工具覆盖视为安全资源。换句话说，Z.ai试图证明，透明度、社区审查和普遍可获得的防御能力，不一定是安全负担，也可以成为提高整体软件安全水平的手段。

这对中国网络安全路线意味着什么

如果计划按Z.ai的设想推进，其影响不只是推出一个更强的模型，而是尝试改变中国AI公司参与全球网络安全的方式：从开放权重模型供应商，进一步成为开源软件安全的服务提供者和协作者。

但目前更准确的表述仍是：这是一项企业计划和明确的政策方向，而不是中国整体网络安全姿态已经发生改变的证据。其可信度最终取决于几个问题：

1. 在模型进一步开放后，访问控制能否持续有效；
2. 安全审计发现的问题是否会被负责任地披露并得到修复；
3. 独立测试能否验证Z.ai所宣称的安全边界；
4. 对高风险请求的拦截，是否能在不妨碍正常开发和防御工作的前提下稳定运行。

Z.ai的核心口号可以概括为“开放防御、限制攻击”。这条路线能否真正成为可复制的网络安全模式，还需要后续开放、实际使用和独立评估来检验。