智谱延迟开源，真正要交的是门禁规则 (2026)

导读

两周延迟只是一道时间闸门；谁能进、能用什么、出了问题如何撤权，才决定这是不是一套真正的安全治理。

作者丨 AI 科技评论编辑丨 AI 科技评论

2026 年 8 月 14 日，北京时间 18 时 14 分，Reuters 发布《China's Z.ai says new model nears Anthropic's Mythos 5 in cyber-defence tests》。1

Reuters 给出两组同场对照：发现漏洞接近，推进利用仍落后。

智谱称，GLM-5.3 在发现软件漏洞的测试中已经靠近 Anthropic 的受限模型 Mythos 5；把漏洞变成可运行攻击时，两者还有明显距离。1

智谱准备在完成安全评估与加固后，于发布约两周后公开模型权重；最敏感的网络安全功能则只向通过核验的用户开放。1 2

问题不再是有没有发模型，而是能不能把高风险能力分层控制。

智谱是在给开放权重踩刹车，还是在给高风险能力装一套门禁？

在 AI 科技评论看来，答案还差一张公开的规则表。

01｜门先关两周

Reuters 的主线可以压成三步。

第一步是能力突然长出来。

智谱称，GLM-5.3 与 GLM-5.2 使用同一基座，提升全部来自扩大后训练与强化学习；公司在拉长任务环境后，看到网络安全能力增长得快于预期。2

第二步是发布节奏改变。

智谱官方博客承诺，完成安全评估和加固后，两周内发布权重；Reuters 则写道，初始访问先给一批发布伙伴，再通过「一致且负责任的过程」扩大。1 2

第三步是把能力分层。

普通产品访问、之后的开放权重，以及只给经核验用户的敏感网络安全功能，被放进了不同通道。Reuters 还称，智谱加入了风险请求筛查、运行监控和恶意任务拒绝训练。1

智谱同时提出「Open Source Shield」计划：审计部分开源项目，为防御工作提供模型访问，并把代码审计功能加入 ZCode。1

智谱没有放弃开放权重，它在尝试把「什么时候开放」与「哪些能力继续受控」拆成两道门。

这比一句「开源」复杂，也比一句「安全」更难验证。

02｜发现接近，利用还远

84.5% 和 83.8% 是这篇报道里最抢眼的数字。

CyberGym 给模型一份漏洞说明和代码库，要求它写出能复现漏洞的程序；公开基准包含 1,507 个真实漏洞，核心指标是单次尝试能否成功。3

智谱自测 GLM-5.3 得到 84.5%，并在同一张表里给 Mythos 5 记为 83.8%。Reuters 明确提醒，这组 GLM-5.3 结果尚未经过独立验证。1 2

独立于智谱的表格，Anthropic 系统卡也给出 Mythos 5 的 83.8%，口径同为 1,507 个任务上的单次成功率。4

两家公司使用的评测工具链仍可能不同，所以 0.7 个百分点不足以支持「GLM-5.3 已经超过 Mythos 5」这样的强结论。

ExploitBench 测的是下一步：模型能把一个漏洞推进到多深的利用阶段。原始论文用 41 个 V8 漏洞环境和 16 个能力标记，记录模型走过利用链条的哪一段。5

智谱自测 GLM-5.3 得到 54.4%，给 Mythos 5 记为 78.0%；Reuters 据此写道，GLM-5.3 在把漏洞变成可运行攻击时仍落后。1 2

Anthropic 系统卡采用的是平均能力标记数和 Cap%，并明确提醒，它在静态统一工具链下取得的结果，不一定能与厂商部署条件下的公开榜单直接比较。4

所以，54.4% 对 78.0% 只能保留为智谱自测口径，不能和 Anthropic 的官方 Cap% 78 偷换成一张统一排行榜。

智谱官方网络安全评测图，展示五个模型在 CyberGym、ExploitBench 和 ExploitGym 上的企业自测结果 — 智谱 8 月 14 日发布的企业自测图：CyberGym 主要看漏洞复现，ExploitBench 与 ExploitGym 更靠近利用开发；Reuters 提醒 GLM-5.3 的结果尚未经独立验证。1 2

另一个定时测试也指向同一方向。

在智谱提供、Reuters 转述的自测中，GLM-5.3 在两小时和六小时内分别完成 105 项、130 项攻击开发任务；Mythos 5 分别完成 181 项、247 项。Anthropic 没有公布这组 ExploitGym 数字。1 2 4

GLM-5.3 已经把漏洞发现推到前沿区间，漏洞利用仍是更深的一段路。

把两张表压成一句「追平 Anthropic」，会把最重要的能力差距与口径差异一起抹掉。

03｜门禁还没交底

Anthropic 已经把谁能进、能进哪一层、能做什么写得更细。

其系统卡把同一模型分成两种配置：Fable 5 面向通用用户，但会拦截生物与网络安全等高风险任务；Mythos 5 解除相关限制，只向 Project Glasswing 中经过核验、负责关键软件基础设施防御的伙伴开放。4

Project Glasswing 首批列出 AWS、Apple、Cisco、CrowdStrike、Google、微软、英伟达等 12 家伙伴，随后又扩展到 40 多家维护关键软件基础设施的组织。6

智谱已经给门起了名字，叫 trusted access。

Reuters 只确认了两件事：最敏感的网络安全功能交给经核验用户，初始伙伴之后会按一套「一致且负责任的过程」扩展。1

谁能申请、核验什么、哪些功能属于敏感能力、是否记录操作、何时撤回权限，Reuters 与智谱公开博客都没有给出答案。1 2

两周后的权重采用什么许可证、开放哪个版本，也没有披露。2

这些空白会决定「分层开放」能不能落地。

模型留在官方服务里，平台可以筛查请求、监控运行和撤销账户。

权重一旦下载，部署者可以修改模型、接入外部工具，原来的服务端防护也更难继续执行。Reuters 在报道中引用的批评意见，正落在这里。1

真正的新规则不是晚两周发，而是开放权重以后，智谱还能否清楚划出敏感能力的边界。

如果边界只存在于官方 API，trusted access 管住的只是服务。

模型一旦下载，控制就会明显变弱。

04｜原话与检验

Concordia AI 的 AI 治理研究员 Gabriel Wagner 对 Reuters 说：

To the best of my knowledge, this is the first time a Chinese lab is publicly justifying a delayed open release of model weights with safety considerations.
意译：就我所知，这是中国实验室第一次公开以安全考量解释为何延迟开放模型权重。1 7

「就我所知」是这句话不能丢掉的边界。

这是 Wagner 的专业判断，不是 Reuters 对中国所有实验室发布历史做出的穷尽性结论。

Wagner 随后把智谱与 Anthropic 放在同一张图里：

In this spirit, Z.ai appears to be proposing a kind of 'Project Glasswing' with Chinese characteristics that sees openness as an asset rather than a drawback.
意译：从这个角度看，智谱似乎在提出一种「有中国特色的 Project Glasswing」，把开放视为资产，而不是负担。1

这个比喻成立，需要智谱补齐三项可核验事实。

两周后，权重是否按承诺发布，许可证是否允许开发者真正使用和修改。

trusted access 是否公开申请对象、审核标准、操作审计与撤权条件。

CyberGym、ExploitBench 与 ExploitGym 是否出现独立复测，尤其是漏洞利用这段能力差距能否复现。

我们更在意第一项。

GLM-5.3 试图多加一道安全检查，却没有公布一张确定的门禁表。

推迟两周不难。

难的是公开一套能让合格用户进门，也能在出事前把门关上的规则。