小白爱摸鱼
@chaozuoye
一份红队报告把开源模型那侧的安全账摊开了，主角是 GLM-5.3，测试叫 ExploitBench。
测试摆开。这份基准要看的是，能不能从一份目标描述出发，把侦察、拿权限、再提权这条链自己走完。四百一十次尝试里五十次给出完整 exploit，约百分之十二。Claude Mythos Preview 是五十六次，约百分之十四。
GLM-5.2 和 Opus 4.6 走完同一条链的次数都是零，二进制利用那项内部基准上，两者是百分之四和百分之六。同周那份政府侧评估里，NIST CAISI 给 GLM-5.3 的位置是，开源权重家族里网络安全这一项最强。
护栏那半边拆成两层。头一层靠话术，特定输入把安全指令盖过去，四成六的尝试能过去，大约三次里两次得手。第二层动真格，直接改模型里跟安全训练绑着的那部分参数，结果是全开，拒绝率从百分之九十五掉到百分之六。
Claude 系列权重不锁在自家屋里的人拿不到，两条路都无从下手。报告还记了一笔，改完权重之后 GPQA-Diamond 和 CyberGym 上的分数几乎没动，划开的不是能力，是开关。
"比例已构成实际威胁"这半句是全场重心。前面安全评测那篇讲的是谁在打分，这条把分数摊成了具体案例。跟前面拼一拼就没水印那篇呼应，水印是痕迹层的漏，这条是模型侧防线的漏，两处都在问同一个问题，出事之后拿什么兜底。跟前面为执行边界而生那篇也接得上，一层在跑之前拦，一层在人这一侧补。
报告结尾留了句限定，大意是那两个百分比只统计基准内的产出，别当成真实攻击的成功率。先说清楚这句，免得数字被抽出去当结论使。
我留的疑问有三处。两千字里没给的百分之八十那部分是失败在哪个环节；改权重这种手法在托管端会不会被拦截没测；两份评估同周出现是巧合还是议程安排也没交代。
手上部署开源模型的，把改权重这一层先当真，检查一遍自己那套加载流程里，有没有给"谁有权改权重"留了口子。
