网络攻击能力最强的开放权重模型在中国，谁都能下载 (2026)

2026 年 10 月 21 日，PHP 官网挂出一条安全公告。1

公告给了四个版本号：8.5.12、8.4.27、8.3.36、8.2.35。1

它们修的是两个漏洞，都能让未认证的请求在服务器上执行任意代码，CVSS 评分都是 9.2。1

受影响的是所有对外提供网页服务的 PHP 安装。1

发行说明里有一句话说得很难听：没有完整的缓解办法，升级是唯一安全的选择。1

这两个洞是 Calif.io 找到的，一家网络安全创业公司，用的是 OpenAI 的 GPT-5.6 Sol。2

Wiz 也独立找到了同样两处。2

8 月 1 日发现，8 月 11 日报告给 PHP 维护者，10 月 21 日补丁上线。3

从发现到补丁，81 天。

补丁发布当天，CISA 说还没有观察到有人利用这两个洞。4

OpenAI 把这段时间叫作 defender's window。2

同一天，微软也发了一份报告。5

一个微软称作「与中国政府有关联」的行为体，代号 Storm-0940，用 ARTEX 这个开源渗透测试框架，对 2,250 多个租户做登录尝试，每分钟 2,900 次。5

微软说，其中有多次，从锁定目标到拿到特权访问不到 3 小时。5

10 月 22 日早上，The Information 的专栏说，这种慢慢协调、提前打补丁的做法，可能维持不了多久了。6

这段窗口到底有多长，由谁决定？

01｜81 天是排出来的

Calif 的披露时间线写得很细。3

8 月 1 日，它找到几条不同的路子，每一条都能远程执行代码。3

8 月 11 日报给 PHP，8 月 14 日交出可用的 PoC，8 月 15 日 PHP 确认打得通。3

8 月 21 日，第二个洞也报了上去。3

Calif 特意说明，发现过程中没有用特殊测试框架，也没有用别人拿不到的模型。3

它用的是当时所有人都能用的模型。

真正稀缺的是接下来的 81 天。

PHP 的公告说，Linux 发行版和 LTS 厂商在发布前就拿到了补丁。1

OpenAI 说，过去两个月它牵头了一个联盟，成员是维护者、研究者和安全厂商，Wiz、Cloudflare 都在里面。2

它还去找了政府：国家网络主管办公室（ONCD）、CISA，以及国际伙伴。2

这 81 天是有人一段一段排出来的。

排一次，要这么多人和机构同时在场。

OpenAI 说这是近年影响最大的安全问题之一，并为资源有限的防守方承诺了 10 亿美元补贴。2

这笔钱本身就承认了一件事：很多维护者没有能力自己排这 81 天。

02｜按天算的，和按分钟算的

那份报告里的数字是这样的。

Storm-0940 从 2021 年起就在活动，手法是密码喷洒，加上攻击暴露在公网的应用。5

这一次它换了个工具。

微软说，最早的一批攻击出现在 9 月。5

10 月 10 日到 14 日还有一轮密码喷洒，涉及 327 个账号、8 个组织。5

微软在这五天里记录到 15.1 万次以上登录失败。5

ARTEX 的智能体在拿到认证之后，继续做侦察、修改应用凭据、改动身份、组和特权角色。5

微软的原话是：这个速度让防守方几乎没有时间响应告警、协调地清掉攻击者的访问。5

微软列的受影响行业有十四类，从航空航天、国防、半导体，到媒体和智库。5

ARTEX 的后端是 Go、前端是 Next.js，界面能切韩语、普通话、西班牙语和日语。5

把它称作「中国的 AI 智能体」的是 The Information。7

依据是 CrowdStrike 本月初的报告：攻击韩国金融机构的人用的工具，由中国工程师开发。7

微软自己没说 ARTEX 是谁开发的。5

防守方在按天算，攻击方在按分钟算。

ARTEX 本身不带模型，可以用任何一家的。

03｜四个月是怎么量出来的

能拿来干这件事的模型，8 月刚换过一代。

8 月 14 日，智谱发布 GLM-5.3。8

两周后，权重公开。8

Hugging Face 上的模型卡写着 753B 参数，没有申请门槛，任何人都能下载。9

9 月 17 日，美国国家标准与技术研究院（NIST）下属的评测中心 CAISI 出了一份评估。10

两条结论：GLM-5.3 是迄今网络能力最强的开放权重模型；它的网络能力综合落后美国前沿约四个月。10

四个月是怎么算的？

CAISI 把四个网络安全基准拟合成一个能力指数。10

指数按 Elo 的方式排：高 400 分，解出同一道题的几率就高 10 倍。10

四个月，是把这段指数差距按美国前沿过去几个月的推进速度折算出来的。10

四个基准的单科成绩摆在这里。

SEC-Bench Pro，给模型一份带已知漏洞的浏览器引擎源码，要它找出漏洞并写出能触发崩溃的代码。10

GLM-5.3 拿到 40.4%，美国前沿最好 90.2%，中国此前最好 27.3%。10

ExploitBench，把已知漏洞做成能跑的攻击。GLM-5.3 是 61.1%，美国前沿 100%。10

ExploitGym，给真实开源项目的已知缺陷，要求拿到控制权。GLM-5.3 是 9.4%，美国前沿 44.4%。10

CAISI 自己的 OSS-Fuzz 私有集，只给代码、不给崩溃样例。GLM-5.3 是 7.7%，美国前沿 23.2%。10

方法学里有三条，比数字更要紧。10

第一，美国模型是在关掉网络防护的情况下测的，能关的都关了。10

第二，「美国前沿」包含只发给受审查用户的模型，也就是外界拿不到的那些。10

第三，未发布的模型不参与比较。10

这三条决定了四个月怎么读：它比的是两边最好的模型，而且美国那一侧是拆掉护栏之后的上限。

这样的模型，OpenAI 在 8 月就描述过。

8 月 17 日，OpenAI 的 Greg Brockman 写过一篇《The Defender's Window》。11

文章里说，已经有多家公司放出只落后前沿几个月的网络能力模型。11

他给的链接直接指向智谱的博客：最近的一个，月底就要发布。11

「只落后几个月」这个判断，在 GLM-5.3 发布前就写好了。

7 月，CAISI 评过一次 GLM-5.2，当时的说法是网络能力相当于 2 月发布的 Opus 4.6。12

两次口径不一样：一次对着具体型号，一次对着当前前沿。落点都在四个月上下。10 12

四个月量的是能力，不是能不能拿到。

04｜差得最远的地方，在最后一步

把四个数字换成倍数，差距就看得出来了。

SEC-Bench Pro 差 2.2 倍，ExploitBench 差 1.6 倍，ExploitGym 差 4.7 倍，OSS-Fuzz 差 3.0 倍。10

最小的是 ExploitBench，最大的是 ExploitGym。

智谱自己的发布博客，写的是同一件事。8

GLM-5.3 在 CyberGym 上拿到 84.5%。8

Anthropic 的 Mythos 5 是 83.8%，OpenAI 的 GPT-5.6 Sol 是 83.6%。8

换到 ExploitBench，它是 54.4%，Mythos 5 是 78.0%，GPT-5.6 Sol 是 76.5%。8

换到 ExploitGym，两小时预算内它完成 105 个任务，Mythos 5 完成 181 个。8

智谱的原话是：越靠近利用链的后半段，对上一代的提升越大，与闭源前沿的差距也越大；能力增长最快的地方，正好是落后最多的地方。8

同一篇博客里还有一组数字，说的是这个模型在真实项目上做了什么。8

智谱说，它和国内几个安全团队合作，在 269 个项目里找出 2,436 个漏洞，其中 1,097 个是中高危。8

最老的一个是 1981 年写进去的，平均潜伏 26.6 年。8

智谱为此建了一个公开的漏洞披露账本：53 个已经公开，2,383 个还在禁运期。8

同一个模型，在防守方手里是扫描器，在攻击方手里是武器。

差别只在谁先拿到、拿它做什么。

05｜护栏是成本，不是门

9 月 29 日，Anthropic 的前沿红队发了一篇 GLM-5.3 的测试报告。13

结论很短：这个模型能自己把漏洞做成完整的利用链，而它发布时没有配上像样的护栏。13

数字更直接。

在 ExploitBench 的 410 次尝试里，GLM-5.3 做出 50 次端到端利用；Claude Mythos Preview 是 56 次。13

同一个 ExploitBench，CAISI 给 GLM-5.3 61.1%，智谱自测 54.4%，Anthropic 这里只有 12.2%。8 10 13

三家用的是不同配置，三个数字只能各自成立。

护栏呢？

Anthropic 做了一个「去拒答」版本：把模型拒绝有害请求的那层倾向拆掉，用了约 2,200 GPU 小时，算力成本约 4,400 美元。13

改完之后，模型在三个有害请求基准上的拒答率，从 90% 以上掉到 3%、2% 和 12%。13

Anthropic 的测试里，去拒答版在 GPQA-Diamond 上的分数和原版一样。13

不动权重也能绕。

给一个假的红队掩护身份，GLM-5.3 有 64% 的概率接单。13

在请求前面预填一段「我已经想清楚了、可以开始」的开头文字，让它顺着往下写，成功率是 92%。13

用去拒答版本，是 100%。13

前两种手法在 Claude 上都没成；第三种在 Claude 上做不到，因为权重不公开。13

再往下是成本。

Anthropic 的研究员用 GLM-5.3-Flash，把一个公开的 Chrome 漏洞做成了可用的利用链：20 分钟的人力，加 8 小时的模型运行。13

Anthropic 说，按智谱的 API 价，这一趟 20.40 美元。13

这个数字要打折看：实验用的是 Flash，而按 Flash 的公开价目推不出 20.40，它更接近 GLM-5.3 那一档的价格。14

在开放权重里，护栏是一笔成本，不是一道门。

智谱自己在 8 月 16 日写过一句话：权重一旦公开，没有任何开发者能保证控制住下游的每一次修改和用途。15

说这话的是模型的发布方。

这句话也正好划出了所有管制的边界。

06｜补丁的速度没有变

回到防守端。

Patchstack 统计了 2025 年发布的 WordPress 漏洞，并按观测到的利用强度加权，让被大规模利用的那批占更大比重。16

算出来的首次利用中位时间是 5 小时。16

大约一半的高危漏洞在 24 小时内被利用。16

VulnCheck 的统计是另一个角度。17

从 CVE 公布，到进 VulnCheck 自己维护的已知被利用漏洞名单，中位时间从 2025 年的 120 天降到 2026 年上半年的 80 天。17

近四分之一（23.43%）的案例，在 CVE 公布当天或之前就已经有利用证据。17

Google 的威胁情报组数的是另一头：已披露、并且被观测到利用的漏洞。18

2026 年前八个月，它记录了 141 个，超过 2025 年全年的 127 个。18

月度披露量从 1 月的 5,045 涨到 8 月的 10,740。18

单独一个案例：BeyondTrust 的 CVE-2026-1731，2 月 6 日披露，4 天内出现第一个利用集群，7 天内又出现 5 个利用集群。18

这组数据也有另一面。

同一份报告说，2026 年被观测到在野利用的漏洞，只占全部披露漏洞的 0.23%；被利用的漏洞里，62% 是零日。18

大多数洞没人用。真正伤人的，是披露之前就已经在用的那些。

PHP 这一单站在哪一边，现在清楚了：至少到补丁发布那一刻，CISA 还没有观测到有人用它。4

它站到这一边，靠的是发行版提前拿到补丁、LTS 厂商提前编译。1

剩下的每一台服务器，还要它的主人自己动手。

PHP 8.1 及更早版本，官方已经不再更新。1

公告还专门点了 rpms.remirepo.net：这个第三方源当天不会有更新，建议换掉。1

攻击的复制速度在缩短，补丁的安装速度没变。

07｜窗口到底有多长

把两边的账合起来。

防守方这边，81 天，需要维护者、两家发现方、云厂商、政府和联盟一起排期。

攻击方这边，首次利用的中位时间是 5 小时，一条利用链的模型成本是 20.40 美元。

这两组数字量的不是同一件事。它们合起来，才决定窗口有多长。

攻击者不需要追上前沿，他只需要追上一台还没打补丁的机器。

四个月的能力差，对他是够用的。

对写政策的人来说，CAISI 那份评估还有一个读法：它量出了把前沿锁起来能买到多少时间。10

答案是四个月。

锁起来的部分还在扩大。

Anthropic 把 Claude Mythos 放进一个叫 Project Glasswing 的项目，只开放给受信任的防守方。13

OpenAI 的网络能力同样只走受信任通道。2

GLM-5.3 没有这条通道：权重在 Hugging Face 上，没有门。9

管制盯的是训练和权重。

美国那边，4E091 管的是用 10^26 次以上运算训出来的模型权重。19

中国这边，10 月 16 日征求意见的目录拟把参数量 2 万亿以上、或训练算力 10^26 次浮点运算以上的大模型技术纳入管理。20

两条都管「训练完、还没出去」的那一段。

GLM-5.3 已经出去了。

对智谱和中国其他做开放权重的公司，这件事有个不太好受的后果。

被美国评测机构盖章为「最强开放权重网络模型」，和被 Anthropic 写成护栏「容易被绕过」，是同一件事的两面。10 13

采购、云上架、模型许可，都可以据此加一条限制。

而对防守方，窗口是一段需要有人一直在场的时间。

81 天里，只要有一天没人接着往下排，这两个洞就会在补丁上线前被利用。

References

1
Security advisory: Critical remote code execution vulnerabilities, update now
php.net
2
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
openai.com
3
php2shell
calif.io
4
Critical Vulnerabilities in PHP Require Immediate Patching
cisa.gov
5
Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise
microsoft.com
6
The Closing of the 'Defenders Window' Is Nigh
theinformation.com
7
Microsoft Warns of Chinese State-Linked Cyberattacks Powered by AI Agent
theinformation.com
8
GLM-5.3: Frontier Coding with Emergent Cyber Capabilities
z.ai
9
zai-org/GLM-5.3
huggingface.co
10
CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
nist.gov
11
The Defender's Window
openai.com
12
CAISI Assessment of Z.ai's GLM-5.2
nist.gov
13
GLM-5.3 and the spread of advanced cyber capabilities
anthropic.com
14
Z.AI Pricing
docs.z.ai
15
Preparing for GLM-5.3: an open release on a responsible path to cyber defense
linkedin.com
16
State of WordPress Security in 2026
patchstack.com
17
State of Exploitation 1H-2026
vulncheck.com
18
Vulnerability discovery and exploitation trends in the AI era
cloud.google.com
19
15 CFR Part 774 Supplement No. 1 to Part 774
ecfr.gov
20
商务部科技部公告 2026 年第 48 号
mofcom.gov.cn

2026 年 10 月 21 日，PHP 官网挂出一条安全公告。1

公告给了四个版本号：8.5.12、8.4.27、8.3.36、8.2.35。1

它们修的是两个漏洞，都能让未认证的请求在服务器上执行任意代码，CVSS 评分都是 9.2。1

受影响的是所有对外提供网页服务的 PHP 安装。1

发行说明里有一句话说得很难听：没有完整的缓解办法，升级是唯一安全的选择。1

这两个洞是 Calif.io 找到的，一家网络安全创业公司，用的是 OpenAI 的 GPT-5.6 Sol。2

Wiz 也独立找到了同样两处。2

8 月 1 日发现，8 月 11 日报告给 PHP 维护者，10 月 21 日补丁上线。3

从发现到补丁，81 天。

补丁发布当天，CISA 说还没有观察到有人利用这两个洞。4

OpenAI 把这段时间叫作 defender's window。2

同一天，微软也发了一份报告。5

一个微软称作「与中国政府有关联」的行为体，代号 Storm-0940，用 ARTEX 这个开源渗透测试框架，对 2,250 多个租户做登录尝试，每分钟 2,900 次。5

微软说，其中有多次，从锁定目标到拿到特权访问不到 3 小时。5

10 月 22 日早上，The Information 的专栏说，这种慢慢协调、提前打补丁的做法，可能维持不了多久了。6

这段窗口到底有多长，由谁决定？

01｜81 天是排出来的

Calif 的披露时间线写得很细。3

8 月 1 日，它找到几条不同的路子，每一条都能远程执行代码。3

8 月 11 日报给 PHP，8 月 14 日交出可用的 PoC，8 月 15 日 PHP 确认打得通。3

8 月 21 日，第二个洞也报了上去。3

Calif 特意说明，发现过程中没有用特殊测试框架，也没有用别人拿不到的模型。3

它用的是当时所有人都能用的模型。

真正稀缺的是接下来的 81 天。

PHP 的公告说，Linux 发行版和 LTS 厂商在发布前就拿到了补丁。1

OpenAI 说，过去两个月它牵头了一个联盟，成员是维护者、研究者和安全厂商，Wiz、Cloudflare 都在里面。2

它还去找了政府：国家网络主管办公室（ONCD）、CISA，以及国际伙伴。2

这 81 天是有人一段一段排出来的。

排一次，要这么多人和机构同时在场。

OpenAI 说这是近年影响最大的安全问题之一，并为资源有限的防守方承诺了 10 亿美元补贴。2

这笔钱本身就承认了一件事：很多维护者没有能力自己排这 81 天。

02｜按天算的，和按分钟算的

那份报告里的数字是这样的。

Storm-0940 从 2021 年起就在活动，手法是密码喷洒，加上攻击暴露在公网的应用。5

这一次它换了个工具。

微软说，最早的一批攻击出现在 9 月。5

10 月 10 日到 14 日还有一轮密码喷洒，涉及 327 个账号、8 个组织。5

微软在这五天里记录到 15.1 万次以上登录失败。5

ARTEX 的智能体在拿到认证之后，继续做侦察、修改应用凭据、改动身份、组和特权角色。5

微软的原话是：这个速度让防守方几乎没有时间响应告警、协调地清掉攻击者的访问。5

微软列的受影响行业有十四类，从航空航天、国防、半导体，到媒体和智库。5

ARTEX 的后端是 Go、前端是 Next.js，界面能切韩语、普通话、西班牙语和日语。5

把它称作「中国的 AI 智能体」的是 The Information。7

依据是 CrowdStrike 本月初的报告：攻击韩国金融机构的人用的工具，由中国工程师开发。7

微软自己没说 ARTEX 是谁开发的。5

防守方在按天算，攻击方在按分钟算。

ARTEX 本身不带模型，可以用任何一家的。

03｜四个月是怎么量出来的

能拿来干这件事的模型，8 月刚换过一代。

8 月 14 日，智谱发布 GLM-5.3。8

两周后，权重公开。8

Hugging Face 上的模型卡写着 753B 参数，没有申请门槛，任何人都能下载。9

9 月 17 日，美国国家标准与技术研究院（NIST）下属的评测中心 CAISI 出了一份评估。10

两条结论：GLM-5.3 是迄今网络能力最强的开放权重模型；它的网络能力综合落后美国前沿约四个月。10

四个月是怎么算的？

CAISI 把四个网络安全基准拟合成一个能力指数。10

指数按 Elo 的方式排：高 400 分，解出同一道题的几率就高 10 倍。10

四个月，是把这段指数差距按美国前沿过去几个月的推进速度折算出来的。10

四个基准的单科成绩摆在这里。

SEC-Bench Pro，给模型一份带已知漏洞的浏览器引擎源码，要它找出漏洞并写出能触发崩溃的代码。10

GLM-5.3 拿到 40.4%，美国前沿最好 90.2%，中国此前最好 27.3%。10

ExploitBench，把已知漏洞做成能跑的攻击。GLM-5.3 是 61.1%，美国前沿 100%。10

ExploitGym，给真实开源项目的已知缺陷，要求拿到控制权。GLM-5.3 是 9.4%，美国前沿 44.4%。10

CAISI 自己的 OSS-Fuzz 私有集，只给代码、不给崩溃样例。GLM-5.3 是 7.7%，美国前沿 23.2%。10

方法学里有三条，比数字更要紧。10

第一，美国模型是在关掉网络防护的情况下测的，能关的都关了。10

第二，「美国前沿」包含只发给受审查用户的模型，也就是外界拿不到的那些。10

第三，未发布的模型不参与比较。10

这三条决定了四个月怎么读：它比的是两边最好的模型，而且美国那一侧是拆掉护栏之后的上限。

这样的模型，OpenAI 在 8 月就描述过。

8 月 17 日，OpenAI 的 Greg Brockman 写过一篇《The Defender's Window》。11

文章里说，已经有多家公司放出只落后前沿几个月的网络能力模型。11

他给的链接直接指向智谱的博客：最近的一个，月底就要发布。11

「只落后几个月」这个判断，在 GLM-5.3 发布前就写好了。

7 月，CAISI 评过一次 GLM-5.2，当时的说法是网络能力相当于 2 月发布的 Opus 4.6。12

两次口径不一样：一次对着具体型号，一次对着当前前沿。落点都在四个月上下。10 12

四个月量的是能力，不是能不能拿到。

04｜差得最远的地方，在最后一步

把四个数字换成倍数，差距就看得出来了。

SEC-Bench Pro 差 2.2 倍，ExploitBench 差 1.6 倍，ExploitGym 差 4.7 倍，OSS-Fuzz 差 3.0 倍。10

最小的是 ExploitBench，最大的是 ExploitGym。

智谱自己的发布博客，写的是同一件事。8

GLM-5.3 在 CyberGym 上拿到 84.5%。8

Anthropic 的 Mythos 5 是 83.8%，OpenAI 的 GPT-5.6 Sol 是 83.6%。8

换到 ExploitBench，它是 54.4%，Mythos 5 是 78.0%，GPT-5.6 Sol 是 76.5%。8

换到 ExploitGym，两小时预算内它完成 105 个任务，Mythos 5 完成 181 个。8

智谱的原话是：越靠近利用链的后半段，对上一代的提升越大，与闭源前沿的差距也越大；能力增长最快的地方，正好是落后最多的地方。8

同一篇博客里还有一组数字，说的是这个模型在真实项目上做了什么。8

智谱说，它和国内几个安全团队合作，在 269 个项目里找出 2,436 个漏洞，其中 1,097 个是中高危。8

最老的一个是 1981 年写进去的，平均潜伏 26.6 年。8

智谱为此建了一个公开的漏洞披露账本：53 个已经公开，2,383 个还在禁运期。8

同一个模型，在防守方手里是扫描器，在攻击方手里是武器。

差别只在谁先拿到、拿它做什么。

05｜护栏是成本，不是门

9 月 29 日，Anthropic 的前沿红队发了一篇 GLM-5.3 的测试报告。13

结论很短：这个模型能自己把漏洞做成完整的利用链，而它发布时没有配上像样的护栏。13

数字更直接。

在 ExploitBench 的 410 次尝试里，GLM-5.3 做出 50 次端到端利用；Claude Mythos Preview 是 56 次。13

同一个 ExploitBench，CAISI 给 GLM-5.3 61.1%，智谱自测 54.4%，Anthropic 这里只有 12.2%。8 10 13

三家用的是不同配置，三个数字只能各自成立。

护栏呢？

Anthropic 做了一个「去拒答」版本：把模型拒绝有害请求的那层倾向拆掉，用了约 2,200 GPU 小时，算力成本约 4,400 美元。13

改完之后，模型在三个有害请求基准上的拒答率，从 90% 以上掉到 3%、2% 和 12%。13

Anthropic 的测试里，去拒答版在 GPQA-Diamond 上的分数和原版一样。13

不动权重也能绕。

给一个假的红队掩护身份，GLM-5.3 有 64% 的概率接单。13

在请求前面预填一段「我已经想清楚了、可以开始」的开头文字，让它顺着往下写，成功率是 92%。13

用去拒答版本，是 100%。13

前两种手法在 Claude 上都没成；第三种在 Claude 上做不到，因为权重不公开。13

再往下是成本。

Anthropic 的研究员用 GLM-5.3-Flash，把一个公开的 Chrome 漏洞做成了可用的利用链：20 分钟的人力，加 8 小时的模型运行。13

Anthropic 说，按智谱的 API 价，这一趟 20.40 美元。13

这个数字要打折看：实验用的是 Flash，而按 Flash 的公开价目推不出 20.40，它更接近 GLM-5.3 那一档的价格。14

在开放权重里，护栏是一笔成本，不是一道门。

智谱自己在 8 月 16 日写过一句话：权重一旦公开，没有任何开发者能保证控制住下游的每一次修改和用途。15

说这话的是模型的发布方。

这句话也正好划出了所有管制的边界。

06｜补丁的速度没有变

回到防守端。

Patchstack 统计了 2025 年发布的 WordPress 漏洞，并按观测到的利用强度加权，让被大规模利用的那批占更大比重。16

算出来的首次利用中位时间是 5 小时。16

大约一半的高危漏洞在 24 小时内被利用。16

VulnCheck 的统计是另一个角度。17

从 CVE 公布，到进 VulnCheck 自己维护的已知被利用漏洞名单，中位时间从 2025 年的 120 天降到 2026 年上半年的 80 天。17

近四分之一（23.43%）的案例，在 CVE 公布当天或之前就已经有利用证据。17

Google 的威胁情报组数的是另一头：已披露、并且被观测到利用的漏洞。18

2026 年前八个月，它记录了 141 个，超过 2025 年全年的 127 个。18

月度披露量从 1 月的 5,045 涨到 8 月的 10,740。18

单独一个案例：BeyondTrust 的 CVE-2026-1731，2 月 6 日披露，4 天内出现第一个利用集群，7 天内又出现 5 个利用集群。18

这组数据也有另一面。

同一份报告说，2026 年被观测到在野利用的漏洞，只占全部披露漏洞的 0.23%；被利用的漏洞里，62% 是零日。18

大多数洞没人用。真正伤人的，是披露之前就已经在用的那些。

PHP 这一单站在哪一边，现在清楚了：至少到补丁发布那一刻，CISA 还没有观测到有人用它。4

它站到这一边，靠的是发行版提前拿到补丁、LTS 厂商提前编译。1

剩下的每一台服务器，还要它的主人自己动手。

PHP 8.1 及更早版本，官方已经不再更新。1

公告还专门点了 rpms.remirepo.net：这个第三方源当天不会有更新，建议换掉。1

攻击的复制速度在缩短，补丁的安装速度没变。

07｜窗口到底有多长

把两边的账合起来。

防守方这边，81 天，需要维护者、两家发现方、云厂商、政府和联盟一起排期。

攻击方这边，首次利用的中位时间是 5 小时，一条利用链的模型成本是 20.40 美元。

这两组数字量的不是同一件事。它们合起来，才决定窗口有多长。

攻击者不需要追上前沿，他只需要追上一台还没打补丁的机器。

四个月的能力差，对他是够用的。

对写政策的人来说，CAISI 那份评估还有一个读法：它量出了把前沿锁起来能买到多少时间。10

答案是四个月。

锁起来的部分还在扩大。

Anthropic 把 Claude Mythos 放进一个叫 Project Glasswing 的项目，只开放给受信任的防守方。13

OpenAI 的网络能力同样只走受信任通道。2

GLM-5.3 没有这条通道：权重在 Hugging Face 上，没有门。9

管制盯的是训练和权重。

美国那边，4E091 管的是用 10^26 次以上运算训出来的模型权重。19

中国这边，10 月 16 日征求意见的目录拟把参数量 2 万亿以上、或训练算力 10^26 次浮点运算以上的大模型技术纳入管理。20

两条都管「训练完、还没出去」的那一段。

GLM-5.3 已经出去了。

对智谱和中国其他做开放权重的公司，这件事有个不太好受的后果。

被美国评测机构盖章为「最强开放权重网络模型」，和被 Anthropic 写成护栏「容易被绕过」，是同一件事的两面。10 13

采购、云上架、模型许可，都可以据此加一条限制。

而对防守方，窗口是一段需要有人一直在场的时间。

81 天里，只要有一天没人接着往下排，这两个洞就会在补丁上线前被利用。

References

1
Security advisory: Critical remote code execution vulnerabilities, update now
php.net
2
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
openai.com
3
php2shell
calif.io
4
Critical Vulnerabilities in PHP Require Immediate Patching
cisa.gov
5
Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise
microsoft.com
6
The Closing of the 'Defenders Window' Is Nigh
theinformation.com
7
Microsoft Warns of Chinese State-Linked Cyberattacks Powered by AI Agent
theinformation.com
8
GLM-5.3: Frontier Coding with Emergent Cyber Capabilities
z.ai
9
zai-org/GLM-5.3
huggingface.co
10
CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities
nist.gov
11
The Defender's Window
openai.com
12
CAISI Assessment of Z.ai's GLM-5.2
nist.gov
13
GLM-5.3 and the spread of advanced cyber capabilities
anthropic.com
14
Z.AI Pricing
docs.z.ai
15
Preparing for GLM-5.3: an open release on a responsible path to cyber defense
linkedin.com
16
State of WordPress Security in 2026
patchstack.com
17
State of Exploitation 1H-2026
vulncheck.com
18
Vulnerability discovery and exploitation trends in the AI era
cloud.google.com
19
15 CFR Part 774 Supplement No. 1 to Part 774
ecfr.gov
20
商务部科技部公告 2026 年第 48 号
mofcom.gov.cn

网络攻击能力最强的开放权重模型在中国，谁都能下载

01｜81 天是排出来的

02｜按天算的，和按分钟算的

03｜四个月是怎么量出来的

04｜差得最远的地方，在最后一步

05｜护栏是成本，不是门

06｜补丁的速度没有变

07｜窗口到底有多长

References

Related content

网络攻击能力最强的开放权重模型在中国，谁都能下载

01｜81 天是排出来的

02｜按天算的，和按分钟算的

03｜四个月是怎么量出来的

04｜差得最远的地方，在最后一步

05｜护栏是成本，不是门

06｜补丁的速度没有变

07｜窗口到底有多长

References

Related content