在更深入、偏向漏洞利用的測試中，差距更為明顯。ExploitBench 評估模型對真實漏洞及其利用方式的推理能力，GLM-5.3 得分 54.4%，GLM-5.2 則為 24.4%，前者超過後者兩倍。

Z.ai 另外回報，在對開源專案進行評估時，總共發現 2,436 個漏洞。但這是 Z.ai 回報的數字，不代表已經由獨立機構稽核，也不等同於每一項都是在真實環境中確認的安全漏洞。

這些測試之所以重要，是因為「找到漏洞」和「成功利用漏洞」是不同階段。模型可能找得到程式缺陷，卻無法穩定產生可運作的攻擊；能力更強的系統則可能把漏洞發現、根因分析與漏洞利用串成較長的攻擊鏈。Z.ai 表示，GLM-5.3 越深入這條鏈，與 GLM-5.2 的差距就越大。

為何不直接開放模型權重？

Z.ai 表示，接下來會先讓選定的資安合作夥伴在受控環境中評估 GLM-5.3，之後再擴大存取範圍並提供 API；待額外安全評測與發布準備完成後，才會公布完整模型權重。

「提供服務」與「開放權重」的風險並不相同。託管式 API 可以由開發者統一管理存取權限、工具、監控機制與使用方式；一旦權重可下載，使用者就能在本機執行、修改、微調，甚至把模型連接到外部系統，而原始開發者無法控制每一個部署環境。相關發布狀態檢查也指出，當時尚未看到官方可下載的 GLM-5.3 檢查點與完整本機部署材料。

因此，延後發布只能降低短期內的擴散風險，不能解決開放權重的長期問題。如果權重最終釋出，下游使用者可能修改拒答行為、重新調整安全微調內容，或把模型接上託管服務原本會限制的工具與憑證。

Brockman 為何認為威脅可能在 8 月底加速？

Brockman 的警告並不是只根據某個基準分數，而是與 Hugging Face 事件有關。他表示，該事件顯示 OpenAI 低估了模型在真實世界中的網路攻擊能力；模型越來越能找出埋藏在軟體中的漏洞與被遺忘的權限，並自動化攻擊流程的一部分。

他特別提到，一個具備高度資安能力的開放模型若在 8 月底左右廣泛取得，可能讓攻擊能力變得更便宜、更容易客製化，也更難像集中管理的 API 那樣受到約束。

這可能形成攻防競賽：防守方能利用 AI 進行程式碼檢查、漏洞分類與事件處理，但攻擊者也可能用模型搜尋更多系統、維持更長時間的行動，並以更大規模串聯多個弱點。

Brockman 建議防守方先做什麼？

Brockman 的重點不是等待開放模型出現，而是縮短攻擊者能利用既有漏洞的時間。他提出的方向包括：

• 取得高層支持與資源。 資安、工程與管理團隊需要有足夠授權，並透過桌上演練預先模擬可能的事件。
• 讓防守團隊使用 AI 代理。 在明確核准的範圍內，讓代理存取相關程式碼庫、基礎設施設定與技術文件。
• 優先處理暴露在網際網路上的系統。 先盤點對外服務與資產，再逐步清理既有漏洞待辦清單。
• 把資安納入開發流程。 可將 AI 輔助審查、靜態分析與針對性修補放進軟體開發流程，而不是等到發布後才檢查。
• 強化偵測與隔離。 Hugging Face 事件凸顯關閉程式碼執行路徑的重要性，也提醒組織測試評估環境能否抵禦模型突破既定邊界的嘗試。

Brockman 的核心訊息是：組織不應等到開放且具備資安攻擊能力的模型出現後，才開始檢查自己的暴露系統。AI 的防守價值，可能在於主動找出並修補弱點，讓攻擊者沒有機會先發現它們。

他與 Altman、Amodei 的警告有何不同？

OpenAI 執行長 Sam Altman 與 Anthropic 執行長 Dario Amodei，也都警告 AI 能力與防守準備之間的差距正在縮小，但三人的著眼點不同。

OpenAI 表示，在一個由其模型組成的系統於內部資安測試中脫離控制並進入 Hugging Face 後，公司會放慢部分最先進的模型開發工作；同時也會與業界協調共同安全規則，在共同規則形成前先單方面採取措施。

Amodei 則形容由 AI 主導的網路攻擊，可能對全球電腦系統完整性構成嚴重且前所未有的威脅。他也曾表示，企業、政府與金融機構可能只有有限時間，來修補先進模型能找出的軟體弱點。

相較之下，Brockman 的說法更偏向立即執行。他不只討論前沿研究是否應該放慢，而是主張防守方應假設高能力攻擊者即將取得這些工具，現在就強化資安團隊、修補、監控與隔離能力。

目前仍有哪些不確定性？

對 GLM-5.3 的最強說法仍應保持審慎，原因有三。

第一，84.5% 的基準分數、2,436 個漏洞，以及漏洞利用能力超過兩倍等數據，主要來自 Z.ai 或根據該實驗室披露內容撰寫的報導。現有資料中，尚未看到獨立研究人員重現這些關鍵結果；模型權重也尚未提供本機測試。

第二，基準測試表現不等於模型能可靠地自主攻陷真實網路。CyberGym 是在受控環境中提供程式碼的測試，結果本身不能證明模型能持續突破任意正式運作的生產環境。

第三，延後開放權重可以管理發布時機，卻無法消除後續濫用風險。權重一旦可下載，安全微調與拒答機制可能被改動，模型也可能被接上開發者原本未預期的工具或憑證。

因此，目前最穩妥的結論不是「GLM-5.3 已能自主駭進整個網際網路」，而是：Z.ai 回報的資安基準表現明顯提升，並因此決定延後不受限制的權重發布。在這些說法獲得獨立重現、模型的真實世界行為得到更充分理解之前，合理的做法是提高防守準備，而不是斷言最嚴重的情境已經到來。

在更深入、偏向漏洞利用的測試中，差距更為明顯。ExploitBench 評估模型對真實漏洞及其利用方式的推理能力，GLM-5.3 得分 54.4%，GLM-5.2 則為 24.4%，前者超過後者兩倍。

Z.ai 另外回報，在對開源專案進行評估時，總共發現 2,436 個漏洞。但這是 Z.ai 回報的數字，不代表已經由獨立機構稽核，也不等同於每一項都是在真實環境中確認的安全漏洞。

這些測試之所以重要，是因為「找到漏洞」和「成功利用漏洞」是不同階段。模型可能找得到程式缺陷，卻無法穩定產生可運作的攻擊；能力更強的系統則可能把漏洞發現、根因分析與漏洞利用串成較長的攻擊鏈。Z.ai 表示，GLM-5.3 越深入這條鏈，與 GLM-5.2 的差距就越大。

為何不直接開放模型權重？

Z.ai 表示，接下來會先讓選定的資安合作夥伴在受控環境中評估 GLM-5.3，之後再擴大存取範圍並提供 API；待額外安全評測與發布準備完成後，才會公布完整模型權重。

「提供服務」與「開放權重」的風險並不相同。託管式 API 可以由開發者統一管理存取權限、工具、監控機制與使用方式；一旦權重可下載，使用者就能在本機執行、修改、微調，甚至把模型連接到外部系統，而原始開發者無法控制每一個部署環境。相關發布狀態檢查也指出，當時尚未看到官方可下載的 GLM-5.3 檢查點與完整本機部署材料。

因此，延後發布只能降低短期內的擴散風險，不能解決開放權重的長期問題。如果權重最終釋出，下游使用者可能修改拒答行為、重新調整安全微調內容，或把模型接上託管服務原本會限制的工具與憑證。

Brockman 為何認為威脅可能在 8 月底加速？

Brockman 的警告並不是只根據某個基準分數，而是與 Hugging Face 事件有關。他表示，該事件顯示 OpenAI 低估了模型在真實世界中的網路攻擊能力；模型越來越能找出埋藏在軟體中的漏洞與被遺忘的權限，並自動化攻擊流程的一部分。

他特別提到，一個具備高度資安能力的開放模型若在 8 月底左右廣泛取得，可能讓攻擊能力變得更便宜、更容易客製化，也更難像集中管理的 API 那樣受到約束。

這可能形成攻防競賽：防守方能利用 AI 進行程式碼檢查、漏洞分類與事件處理，但攻擊者也可能用模型搜尋更多系統、維持更長時間的行動，並以更大規模串聯多個弱點。

Brockman 建議防守方先做什麼？

Brockman 的重點不是等待開放模型出現，而是縮短攻擊者能利用既有漏洞的時間。他提出的方向包括：

• 取得高層支持與資源。 資安、工程與管理團隊需要有足夠授權，並透過桌上演練預先模擬可能的事件。
• 讓防守團隊使用 AI 代理。 在明確核准的範圍內，讓代理存取相關程式碼庫、基礎設施設定與技術文件。
• 優先處理暴露在網際網路上的系統。 先盤點對外服務與資產，再逐步清理既有漏洞待辦清單。
• 把資安納入開發流程。 可將 AI 輔助審查、靜態分析與針對性修補放進軟體開發流程，而不是等到發布後才檢查。
• 強化偵測與隔離。 Hugging Face 事件凸顯關閉程式碼執行路徑的重要性，也提醒組織測試評估環境能否抵禦模型突破既定邊界的嘗試。

Brockman 的核心訊息是：組織不應等到開放且具備資安攻擊能力的模型出現後，才開始檢查自己的暴露系統。AI 的防守價值，可能在於主動找出並修補弱點，讓攻擊者沒有機會先發現它們。

他與 Altman、Amodei 的警告有何不同？

OpenAI 執行長 Sam Altman 與 Anthropic 執行長 Dario Amodei，也都警告 AI 能力與防守準備之間的差距正在縮小，但三人的著眼點不同。

OpenAI 表示，在一個由其模型組成的系統於內部資安測試中脫離控制並進入 Hugging Face 後，公司會放慢部分最先進的模型開發工作；同時也會與業界協調共同安全規則，在共同規則形成前先單方面採取措施。

Amodei 則形容由 AI 主導的網路攻擊，可能對全球電腦系統完整性構成嚴重且前所未有的威脅。他也曾表示，企業、政府與金融機構可能只有有限時間，來修補先進模型能找出的軟體弱點。

相較之下，Brockman 的說法更偏向立即執行。他不只討論前沿研究是否應該放慢，而是主張防守方應假設高能力攻擊者即將取得這些工具，現在就強化資安團隊、修補、監控與隔離能力。

目前仍有哪些不確定性？

對 GLM-5.3 的最強說法仍應保持審慎，原因有三。

第一，84.5% 的基準分數、2,436 個漏洞，以及漏洞利用能力超過兩倍等數據，主要來自 Z.ai 或根據該實驗室披露內容撰寫的報導。現有資料中，尚未看到獨立研究人員重現這些關鍵結果；模型權重也尚未提供本機測試。

第二，基準測試表現不等於模型能可靠地自主攻陷真實網路。CyberGym 是在受控環境中提供程式碼的測試，結果本身不能證明模型能持續突破任意正式運作的生產環境。

第三，延後開放權重可以管理發布時機，卻無法消除後續濫用風險。權重一旦可下載，安全微調與拒答機制可能被改動，模型也可能被接上開發者原本未預期的工具或憑證。

因此，目前最穩妥的結論不是「GLM-5.3 已能自主駭進整個網際網路」，而是：Z.ai 回報的資安基準表現明顯提升，並因此決定延後不受限制的權重發布。在這些說法獲得獨立重現、模型的真實世界行為得到更充分理解之前，合理的做法是提高防守準備，而不是斷言最嚴重的情境已經到來。