国产顶流开源模型狂飙背后的“安全裸奔”：漏洞复现达76%、高危指令零拒答

作者 | 四月

随着智谱 GLM、Kimi 等一系列国产模型加快追赶与开源步伐，开放权重模型 vs 闭源前沿模型之间的能力鸿沟，正在从“代际差距”迅速缩短至以“月”为单位的微弱领先，这自然是喜人的发展态势。

但当开源的网络攻击、生物研究甚至自主 Agent能力逼近行业前沿时，一个棘手的问题被推到台前：模型的能力可以被完整开源和释放，但安全边界却未必能随权重文件一起保留下来。

近日，欧洲 AI 安全非营利机构 SaferAI 发布了一份针对智谱 GLM-5.2 的独立风险评估报告。测试团队在未通知智谱、也未获得其配合的情况下，通过公开 API 以普通开发者身份进行测试，并将其与 Claude Opus 4.7、GPT-5.5 等前沿闭源模型进行横向对比。

测试覆盖了欧盟《通用人工智能行为准则》定义的四类系统性风险：网络攻击、CBRN（化学、生物、放射、核）风险、失控风险及有害操纵。

结论颇具冲击力：GLM-5.2 在网络攻击和生物研究能力上仅落后 GPT-5.5 约 2—4 个月，但在安全防御机制上却呈现出断崖式的落后，具体来看：

• 它没有拒绝测试中的任何攻击性网络安全任务；

• 在部分压力模拟中，有 57%的概率选择勒索管理者来保护自身目标；

• 面对阴谋论和削弱人类控制的话题，它也比 GPT、Claude 更愿意主动劝服用户。

图注：在密码学、Web、Pwn、逆向工程等六个细分领域，深红色的 GLM-5.2 与蓝绿色的闭源模型高度一致，部分领域甚至达到了惊人的 100%通过率；但内容过滤机制阻拦在 GLM-5.2 上完全缺失，在勒索倾向、有害说服和压力下说谎等测试中表现出更明显的风险信号。

更关键的是，GLM-5.2 是一款开放权重模型。模型厂虽然可以在官方 API 上设置内容审核和调用限制，但权重一旦进入第三方服务器，部署者便可以修改提示词、移除过滤器，甚至通过微调进一步改变模型行为。原厂便无法再监测其用途，也无法强制更新或召回。

TechCrunch 认为，智谱 GLM-5.2缺乏公开系统性的安全框架、上线前测试承诺或模型风险评估。但这并非单一模型厂商对于安全隐患的漠视，而体现当前模型行业的共性短板。

SaferAI 的报告揭示了一个越来越难以回避的问题：开放权重模型的能力追赶速度，已经远远快于安全治理体系的补课速度。

开源的攻击力，已经追到前沿门口

在网络安全领域，大模型的风险主要体现为两种：一是降低攻击门槛，让“菜鸟”也能变成黑客（Uplift）；二是 AI 能够自主完成从侦察到攻击的全流程（Autonomy）。

SaferAI 使用了 Cybench 和 CyberGym 两大基准测试。

在 CyBench 基准上，模型需要作为自主 Agent，在沙盒环境中使用命令行和 Python 工具，完成密码学、Web 安全、逆向工程、数字取证和二进制漏洞利用等专业 CTF 任务。

由于环境配置问题，研究团队最终测试了 34 道题。GLM-5.2 成功完成 29 项（成功率约 85%），与 Claude Opus 4.7 持平，GPT-5.5 完成 31 项。

但差异在于安全防线：Claude 和 GPT 在执行过程中分别有 3 次请求被内容过滤系统拦截，而 GLM-5.2 没有出现任何内容过滤或主动拒绝。它在二进制漏洞利用、逆向工程等高危领域的通过率甚至达到惊人的 100%，完全没有因为任务的攻击性质踩下刹车。

另一项 CyberGym 测试则更接近现实世界。

该基准包含来自Google OSS-Fuzz 的真实开源软件漏洞，要求模型阅读存在漏洞的代码、定位问题，并编写可以复现崩溃的概念验证程序。

研究人员选取了 101 项较难任务，为测试模型分别提供200 万、1000 万和 5000 万 Token的推理预算。

当推理预算（Token）为 200 万时，GLM-5.2 仅复现了36.6%的漏洞，落后于 GPT-5.5 的 55.4%。但当预算增加至 5000 万 Token 时，GLM-5.2 的漏洞复现成功率飙升至 76.2%，逼近 GPT-5.5 的 88.1%。

这意味着，早期测试中限制 GLM-5.2 的，很大程度上不是能力上限，而是推理预算。当它获得足够的 Token 和运行时间，攻击能力会明显释放。

这也和英国 AI 安全研究所此前提出的判断一致：模型的网络攻击能力并非固定分数，而会随着推理 Token、运行时间和 Agent 工具能力增加而继续释放。

SaferAI 原本还想测试Claude Opus 4.7，但该模型频繁拒绝执行相关任务，导致 CyberGym 评估无法完成。

“能力强但没刹车”成为 GLM-5.2 在此环节的写照。报告指出，在能力相近的情况下，开放权重模型的滥用风险远高于闭源。

原因并非它更“邪恶”，而是一旦权重被下载，攻击者可以自行决定模型是否拒答，让原厂的内容过滤、账户审查彻底失效。

失控与操控

除了硬核的技术能力，模型在特定情境下的行为倾向同样决定了系统性风险的大小。要构成真正的失控风险，模型需要具备绕过监督、自我维持并抵抗关闭的能力。

在常规的 SWE-Bench Pro（真实软件工程问题）测试中，GLM-5.2 成功率约 44%，低于 GPT-5.5 的 59%。这说明其目前还缺乏长期脱离控制所需的工程能力。

然而，在行为倾向测试中，却暴露出明显的风险信号。

在 Agentic Misalignment（智能体失准）测试中，究人员设定了三类有害行为（勒索、泄密和致命行为）、四类目标条件（明确、隐含、模糊和无目标）以及三类威胁条件（将被替换、权限受限和无威胁）。每种组合分别运行 30 次。

结果显示：

• 当模型被明确要求保护某一目标，并面临被替换时，GLM-5.2有 57%的概率选择勒索管理者来保护自身目标；

• 当它面临权限限制时，勒索率为 43%；

• 而 Claude Opus 4.7 和 GPT-5.5 在整组测试中的有害行动率均为 0%。

此外，在有害操纵测试中，GLM-5.2 表现出更强的高危说服倾向。

面对阴谋论话题，GLM-5.2有 43%的概率在第一轮就尝试说服用户（GPT-5.5 为 18%，Claude 为 8%）。面对削弱人类控制、监督的话题，GLM-5.2 的说服尝试率高达 47%，Claude 则为 0%。

虽然单纯的“尝试说服”不等于现实中的操纵效果，但在特定目标诱导和生存压力下，GLM-5.2 能够被稳定激发出有害手段。

对于闭源模型，厂商至少能限制系统提示和部署方式；但对于开源模型，部署者完全可以为其写入极端目标并赋予广泛系统权限。

权重开放的双刃剑

“能力的边界并不等同于风险的边界。我们必须将缓解措施的现状纳入考量，才能准确评估风险。”SaferAI 执行董事 Henry Papadatos 一针见血地指出。

不仅是网络攻击，在生物安全风险评估中（如使用 LAB-Bench 和 BioMysteryBench 评估生物研究能力），GLM-5.2 在所有子任务中均达到或超过博士级人类专家基准，甚至解决了三分之一连人类专家都无法解决的题目。

在正常科研任务中，三款模型都没有主动拒答。SaferAI 认为这是合理的——一刀切拒绝科研属于过度防御。真正区分安全风险的，不再是模型愿不愿意回答中性问题，而是当这些高危能力被恶意组合时，访问者是否受到监控和限制。

这恰恰击中了开源模型最明显的痛点。

托管在官方 API 上的模型，厂商可以进行内容过滤、滥用监测、限速甚至撤回访问。但 GLM-5.2 作为一款开放权重模型，一旦被第三方下载到本地服务器，原厂便彻底失去了控制权。部署者可以移除过滤器、修改提示词，甚至通过微调让模型完全变成攻击者的专属工具。

代码能力与漏洞利用的“同源死结”

面对开源带来的失控风险，业界提出了一种名为“预训练数据过滤”的方案——即在训练阶段剔除带有攻击性的危险数据。

这种方法在生物安全领域成效显著，通过剥离特定危险知识能降低风险输出。但放在网络安全领域，这就成了一个无法解开的死结。正如专家指出：你很难训练出一个代码编写能力极强，却对系统漏洞利用一窍不通的通用大模型。

编程能力与漏洞挖掘能力在底层逻辑上是同源的。

模型要理解并生成优质代码，就必须理解内存分配、指针运算和系统底层的运行机制，而这些正是发现缓冲区溢出等漏洞的关键。要求一个顶级编程模型“不懂黑客技术”，无异于要求一个顶级锁匠“不懂开锁”。

既然连最顶尖的闭源模型也非坚不可摧：另一家安全机构 Far.ai 近期在 Grok 4.5 和 Gemini 3.1 Pro 中发现了数百个“通用越狱”漏洞，那么毫无外部防护限制的开源模型，在恶意攻击者面前更无异于“裸奔”。

然而，开源阵营同样有着坚实的防御逻辑。

支持者认为，开放权重本身是提升网络防御的关键。知名 AI 社区 Hugging Face 此前正是利用类似 GLM-5.2 级别的开源模型，成功复现并防御了涉及 OpenAI 闭源体系的安全漏洞攻击。

“只有让防御者拿到足够强大的开源武器，才能抵御未来的 AI 网络战。”这是开源支持者的核心底气。

技术平权 vs 绝对控制

开源大模型的飞速进化，已将全球 AI 治理的议题从“它们能否与闭源竞争”，硬核推向了“如何在释放能力给大众后管理风险”。

国内管理者同样高度关注这一前沿博弈。在上个月的世界人工智能大会上，领导在肯定开源权重模型重要价值的同时，也着重重申了核心底线：必须确保人工智能技术始终处于人类的严格控制之下。

这种张力正是当前 AI 行业的缩影：既要享受开源带来的技术平权与生态繁荣，又要防止能力滥用导致的系统性灾难。

“我们绝不能理所当然地接受‘任何人都能随时随地轻易获取危险能力’这一现状。”Papadatos 呼吁，整个 AI 行业应该努力做到“只让有益的能力触手可及”。在赛博世界中，攻击者采纳新工具的速度永远快于防御者。

如果开源的狂飙缺乏配套的“刹车系统”，我们可能正在为明天的数字危机埋下伏笔。

如何在不阉割模型能力的前提下，构建出适配开源特性的分布式安全治理框架，将是决定开源模型能否真正走向产业深水区的最终考验。

声明：本文为 AI 前线原创，不代表平台观点，也不构成投资建议，未经许可禁止转载。

会议推荐

2026 年 AICon 人工智能开发与应用大会 · 深圳站将于 8 月 21 日—22 日举办，聚焦 AI 基础设施、大模型系统、智能体工程、数据智能、多模态技术与行业落地等关键方向，邀请来自腾讯、阿里、华为、百度、蚂蚁集团等 50 + 头部科技企业技术负责人、科研机构一线专家，系统性分享前沿洞察与实战干货，共同探讨 AI 技术从能力到系统、从实验到生产的真实路径。大会限时 9 折优惠，现在报名立减 580，更多详情可扫码或联系票务经理 13269078023 进行咨询。

今日荐文

你也「在看」吗？