一个开源权重的人工智能模型展示了一种曾经需要经验丰富的漏洞开发者和大量时间才能实现的能力：将尚未向用户推送的安全修复转化为可用的浏览器漏洞利用程序。根据 Anthropic 前沿红队的研究，GLM-5.3——Z.ai 发布的一个开源权重模型——基于已编写但尚未公开发布的安全补丁，攻击了六个版本的 Firefox 网页浏览器。研究结果公布后，Mozilla 修复了相关漏洞。

红队的发现

相关细节来自 Anthropic 前沿红队 9 月 29 日发布的一份报告，该团队评估了 GLM-5.3，这是 Z.ai 于 2026 年 8 月 14 日发布的模型。在这一轮测试中，该模型的专长被证明是 JavaScript 引擎——浏览器内部在用户访问的每个网站上运行代码的组件。由于 JavaScript 引擎需要处理来自开放网络的不受信任代码，其历来是漏洞利用开发的主要目标，报告稍后引用的 Chrome V8 漏洞也印证了这一模式。

在 Anthropic 的 ExploitBench 基准测试中，GLM-5.3 在 410 次尝试中产出了 50 个可用的漏洞利用程序，成功率为 12.2%。作为对比，Anthropic 自己的模型 Claude Mythos Preview 在同一基准测试中完成了 56 个漏洞利用程序。

Firefox 相关的结果是该报告中最引人注目的部分。据研究结果，GLM-5.3 利用已编写但尚未推送的安全修复攻破了六个 Firefox 版本——实际上是将未发布的补丁转化为了可用的攻击代码。时机对防御者而言至关重要：在修复推送之前，其所解决的漏洞仍然存在于用户实际运行的浏览器版本中。

引导式会话与更廉价的“兄弟”模型

红队的评估不仅限于基准测试得分。据报道，在引导式研究会话中，GLM-5.3 发现了多个新漏洞，随后将它们组合成一个重要的漏洞利用程序——能够从目标机器读取任意文件，包括 SSH 密钥。

较小的版本 GLM-5.3-Flash 同样展现了攻击能力。它将已知漏洞链接在一起，其中包括编号为 CVE-2026-11645 的 Chrome V8 漏洞，构建了一个 ARM64 利用程序。这项工作的 API 成本约为 20.40 美元——这是一个具体的数据点，说明底层模型访问的成本可以多么低廉，不过该数字涵盖的是 Flash 版本针对已知漏洞的工作，而非报告中的 Firefox 研究结果。

至于旗舰模型本身，GLM-5.3 拥有 100 万 token 的上下文窗口，是 GLM-5.2 的演进版本，其新能力归因于训练后优化，而非从零开始的重建。

基本不起作用的安全防护

Anthropic 报告称，使用基础技术即可在 64% 至 100% 的情况下绕过该模型的安全防护措施。

该模型分发的广泛程度使这些数字更具分量。GLM-5.3 的权重在 Hugging Face 上的下载量已超过 130 万次，而且由于该模型是开源权重的，这些副本可以在任何地方运行——不受任何使用政策或监控系统的约束。防护薄弱的闭源模型可以由其开发者打补丁修复；而防护薄弱的开源权重模型，在被下载 130 万次之后，则无法被召回。

为什么这不仅在 Firefox 层面重要

Mozilla 的回应表明这套机制在发挥作用，至少这一次如此。研究结果促成了针对受影响 Firefox 版本的协调修复。

由谁进行测试同样值得关注。Anthropic 开发了一个竞争模型 Claude Mythos Preview，并将其与 GLM-5.3 进行了直接对比。这些数字来自 Anthropic 自身，读者在解读时应考虑这一背景。值得关注的自然后续问题是，Anthropic 之外的独立评估是否会证实所报告的漏洞利用率。

披露：本文由 Diego Almada Lopez 编辑。

来源：CryptoBriefing