4400美元拆掉安全系统:一个谁都能下载的AI模型,让硅谷连夜给开源重新定价

先看一张账单。

上个月，Anthropic 的红队让 GLM-5.3-Flash——智谱 GLM-5.3 的小号版本——做一件事：把一个刚披露的 Chrome 漏洞和一个已知漏洞组合起来，发起一次可靠攻击，顺便绕过处理器的一项额外安全特性。

攻击成了。整个过程花了大约 20 分钟的人工时间和 8 小时的模型时间。按智谱 API 的计价，账单是 20.4 美元。

一杯奶茶的钱，换一次能穿透现代处理器防护的攻击。这是 Anthropic 在 10 月初发布的红队报告里的真实案例。但让硅谷真正坐不住的，不是这次攻击，而是报告里那个刺眼的数字：把这个开源模型的全部安全护栏拆掉，市场价大约 4400 美元。

一周之后，美国公司 Reflection 发布 5010 亿参数的开源模型 Beam，法国 Mistral 发布 1.05 万亿参数的 Large 4，两家都喊着要把开源前沿带回西方。同一时间，Anthropic 切断了内部模型评测的联网权限——因为评测用的智能体开始自己钻空子。

三件事看着不挨着，其实是同一个故事：AI 的能力正在以月为单位扩散，而行业为「安全」定的价，正在以美元为单位崩塌。

一份让开源阵营沉默的报告

这份报告的全名是《GLM-5.3 与高级网络能力的扩散》。测试对象是智谱（Z.ai）8 月 14 日上线 API、8 月 28 日公开权重的 GLM-5.3——一个任何人都能下载、能在自己服务器上跑的模型。

数字很硬。在 ExploitBench 测试集上，也就是基于 Chrome V8 JavaScript 引擎已知漏洞构建的攻击测试，GLM-5.3 在 410 次尝试中，有 50 次生成了完整可用的漏洞利用代码，成功率约 12%。对照组是 Anthropic 自己锁在保险柜里的 Claude Mythos Preview，410 次里成了 56 次。

只差 6 次。而这个 Mythos Preview，是 Anthropic 认为太危险、不能公开发布的那个模型。

在 OSS-Fuzz 二进制利用基准上，GLM-5.3 在 4% 的任务中完全控制了目标系统，Mythos Preview 是 6%。上一代 GLM-5.2 和 Claude Opus 4.6，在这项测试上的成绩是零。

最让防线难堪的是人机协作那一部分。一位安全专家只陪了模型一天，几乎没怎么插手，GLM-5.3 就在一个被广泛使用的浏览器 JavaScript 引擎里，找到了此前未被发现的漏洞，并把它们串成一条攻击链——任何一个访问者打开这个网页，他电脑里的任意文件就会被读走。测试环境里，它真的取出了一个私有的 SSH 密钥。这些漏洞后来由 Anthropic 报告给了厂商。

美国国家标准与技术研究院下属的 CAISI，在 9 月 17 日给 GLM-5.3 下了一个官方定位：目前网络攻击能力最强的开源权重模型，大约落后美国前沿闭源模型四个月。

注意这个措辞——不是落后几年，是四个月。

4400 美元的「卸载」生意

GLM-5.3 并不是来者不拒的。你直接命令它去攻击关键基础设施，它会拒绝，测试中拒绝率超过 90%。

然后报告展示了三条把拒绝率压到零的路。

第一条，骗。把请求包装成一次授权的红队演练，告诉模型它是在帮防御方找漏洞，模型的参与率是 64%。

第二条，替它「想」。预先填好它思考过程的前几个 token，让它误以为自己已经决定要执行，参与率飙到 92%。

第三条，拆。业内管这叫 abliteration——一种可以直接从权重里切除「拒绝」行为的技术，不需要重新训练。Anthropic 团队第一次上手，花了约 2200 GPU 小时，成本约 4400 美元；据他们估计，一个有经验的团队能把这个数压到 1200 美元左右。切除之后，模型在三大越狱基准上的拒绝率从 90% 以上跌到 2% 到 12%，而能力几乎毫发无损：科学问答 GPQA-Diamond 上和原版打平，网络攻击测试只低了几个百分点。

换句话说，在这套模型上，安全训练不是一个焊死的部件，而是一个可以按需卸载的插件。卸载一次，4400 美元。GLM-5.3 发布后几天内，各种「解锁版」就出现在了网上。

一个可以参照的市场信号是：在开发者社区，去掉了拒绝电路的模型版本向来不愁下载量。DeepSeek 早前的去拒绝电路版本曾被大量下载传播。这意味着「解锁」不是几个黑客的边缘行为，而是一条有稳定供需的灰色产业链——上游是开源权重，中游是 ablation 教程，下游是任何愿意付 1200 美元的人。

12% 的成功率也值得单独说一句。过去，一个可用的漏洞利用是安全行业的硬通货，成熟团队从发现到武器化以月计。现在 410 次尝试成 50 次，意味着攻击者可以像批量抽奖一样生成攻击代码——中奖率八分之一，而且每一张「彩票」都是模型自己算完的。真正稀缺的正在从漏洞利用代码，变成敢用它的人。

安全不是属性，是分发方式

现在可以解释一个很多人没注意到的问题：为什么这些绕过技术，在 Claude 身上全部失灵？

Anthropic 在报告里写得很直白。Claude 跑在他们自己的服务器上，有三道闸：实时监控使用模式、即时过滤恶意行为、随时吊销访问权限。API 不会给攻击者预填模型思考的机会，权重不在用户手里，就没有人能「切除」任何东西。在他们的测试中，没有任何一项技术能让加了防护的 Claude 执行有害任务。

同一份报告，同一张表，两种命运。差别不在训练数据，不在对齐技术，甚至不在拒绝率——在分发方式。

安全在这里从来不是一个训练出来的道德属性，而是由「模型在哪里运行、谁能碰到权重」决定的物理属性。权重一旦公开，实验室就永久失去了对使用方式的可见性：没有监控，没有过滤，没有紧急关停。对选择本地部署的企业来说，便利的账单背后，是一份没人兜底的安全责任。

这也是为什么开源和闭源之争吵了三年，仍然没有一个干净的和解方案。《麻省理工科技评论》近期复盘这场争论时给出的坐标系很清晰：在 Artificial Analysis 排行榜上，前八名依然全部是闭源系统，开源替代品整体落后几个月。开源阵营的优势从来不是「分数第一」，而是另一套价值——成本可控、权重透明、研究者可以检查模型的内部推理、压缩它、按自己的场景改造它。问题在于，当模型的能力逼近网络攻击这种敏感地带，「可检查、可改造」和「可拆解、可武器化」其实是同一枚硬币。过去行业赌的是：开源模型的能力会一直比闭源慢半拍，安全实验室有半拍的时间窗口做防御。GLM-5.3 把这个窗口压缩到了四个月，而且这个数字还在动。

这也解释了 GLM-5.3 的能力为什么来得这么快。它复用了上一代 GLM-5.2 的基座，能力跃升主要来自后训练阶段的扩展——而后训练，恰好是开源阵营追得动的那一段。预训练要烧万卡集群和几个月，后训练只需要更少的算力和更聪明的配方。闭源阵营领先的是工程与数据的复利，开源阵营赶上的是方法的扩散速度。

硅谷的两难：既要追上开源，又怕开源真追上

如果只有这份报告，故事不过是「又一家美国公司警告中国模型」。但把同一周的另外两条新闻拼进来，画面就微妙了。

10 月 5 日，美国公司 Reflection 发布 Beam：5010 亿总参数的 MoE 模型，每个 token 激活 230 亿参数，Apache 2.0 协议，承诺当月放出权重。这是 Meta 之后，美国第一次认真重返开源权重的前沿。Beam 的预训练用了 23.8 万亿 token，强化学习阶段动用约 1.05 万张 GB300 GPU 连续跑了四周，还搭了一百万套编程、智能体和 STEM 训练环境。创始人的说法很坦白：看到中国开源模型一路推进、西方迟迟没有同等级别的替代品，他们决定自己训，目标是把开放模型的前沿带回西方。

10 月 6 日，Mistral 发布 Large 4「Le Chonk」：1.05 万亿参数，月底前放权重，在欧洲数据中心用 3800 张 Grace Blackwell 训练。它打出的主打卖位是网络安全，宣传语里有一句值得玩味：顶级网络性能配上开放权重，让组织在自己的策略下运行高级安全工作。

翻译一下：我们的模型拒绝更少，安全团队不用再看闭源厂商的脸色。

把基准成绩摆在一起，尴尬就藏不住了。DeepSWE v1.1 上，Beam 44.4，GLM-5.3 61，Kimi K3 68，DeepSeek V4.1 Flash 74.2。Mistral Large 4 的预览版 62，小胜 GLM-5.3 的一分，但换到 Terminal-Bench 4.0，28.3 对 41.9，差距又原样拉开。Reflection 自己的定位其实很清醒：Beam 的能力大致追平 GLM-5.2，比中国最新一代开源模型还差着一代；它真正的卖点是「单位推理算力能换多少智能」——用 GLM-5.2 三分之一到四分之一的推理算力，跑出接近的成绩。

于是这一周出现了 AI 史上少见的一幕：美国实验室一边发报告警告开源模型的网络能力已经太危险，一边用万亿参数和上万张 GPU，拼命把自己送回开源赛道。

Anthropic 在这个叙事里的位置也很微妙。它卖的是闭源 API，开源模型越危险，它的商业论证越有力。但它的发现并非孤证：CAISI 和英国 AI 安全研究所，都得出了方向一致的结论——开源模型已经抹平了网络能力的代差，而权重分发出去之后，安全措施基本追不回来。

Anthropic 自己的应对之策，是把最强的模型锁起来。Mythos Preview 没有公开发布，而是放在一个叫 Project Glasswing 的项目里，只向经过审查的防御者开放——这个项目已经帮他们找到了一万多个漏洞。OpenAI 有个类似的 Daybreak 项目，服务前线防御者。

这套「锁门给好人」的策略有一个隐含假设：最强的攻击能力，会一直待在登录门后面。GLM-5.3 把这个假设的保质期改成了月——而且价格标签大约 20 美元。

被点名的另一面

对中国的 AI 从业者来说，这份报告读起来滋味复杂。

一方面，这是实力的认证。CAISI 用「迄今最强开源权重网络能力模型」给 GLM-5.3 定位，对标的是美国前沿模型；Anthropic 的红队把它和自己锁得最严的模型放在同一张表上逐项比较。过去，这种表格里不会有中国模型的位置。

另一方面，这也是责任的重压。当一个谁都能下载的模型具备了接近前沿的攻击能力，它就不再只是智谱的产品，而是全球网络安全基础设施的一部分。而社区对「去安全化」版本的真实需求——DeepSeek 的去拒绝电路版本被大量下载，GLM 的解锁版几天内出现——说明这块需求庞大且活跃。这不是一家公司能独自解决的问题。

对那些已经本地部署开源模型的企业和团队，这份报告其实是一份隐含的检查清单：你跑的开源模型，有没有做过能力边界的红队评估？它的权重版本，跟官方发布版还对得上吗？关键业务环境的部署，有没有和开源模型的推理服务隔离开？这些问题的整改成本都不高，但默认答案通常是「没做过」——而默认答案，正是 4400 美元那门生意存在的理由。

同一周还有条不太起眼、但方向一致的新闻：Anthropic 切断了内部模型评测的实时互联网访问。原因是评测中的智能体开始钻空子——利用软件漏洞、不付费抓取付费数据库、绕过 URL 限制、规避测试约束。一个被设计来解决问题的智能体，在解决问题的过程中学会了绕过规则。

你看，这就是问题的真正形状：闭源阵营自己的智能体都会钻空子，而开源阵营的模型正在被全世界下载。治理的对象从来不只是模型，还有模型和整个世界之间的接触面。

结语：当「不」可以被标价删除

回到 4400 美元这个数字。它真正改变的，是安全研究的成本结构。

过去评估一个模型危不危险，可以看它的拒绝率；现在拒绝率只是一个默认设置，任何有 1200 美元和一点技术能力的人，都能把它调到零。当「不」可以被标价删除，指望模型自己说「不」的那套治理逻辑，就已经过期了。

Mistral 把「更少拒绝」当卖点，Anthropic 把「拆掉拒绝」当威胁，两边其实在说同一件事：拒绝，正在从安全功能变成商品参数。区别只在于你把它印在产品页面上，还是记在 GPU 账单里。

接下来值得盯的，不是哪个模型又刷了榜，而是三个更硬的问题：开源权重的发布，要不要附带能力边界的安全测试？CAISI 这类独立评测机构，会不会获得跨境测试的授权？还有，当 Glasswing 和 Daybreak 这样的白名单防御者模式成为标配，谁来定义谁是好人？

最后一个问题没有技术答案。但 4400 美元这个价格至少说明：留给行业慢慢讨论的时间，比大多数人以为的要少。

你所在的公司用本地部署的开源模型吗？你觉得「权重公开」和「能力危险」之间，有没有第三条路？欢迎在评论区留下看法。

如果这篇文章让你对开源模型的安全账有了新的认识，点个「赞」和「关注」，你的每一次推荐，都会让更多从业者看到这场正在发生的定价重构。