Z.ai 發布 GLM-5.3：同一個基座模型、意外湧現的攻擊鏈能力，以及 GLM 系列首次因安全審查延後開源

Z.ai（智譜）於 2026 年 8 月 14 日發布 GLM-5.3，這份發布公告讀起來與一般的前沿模型發表很不一樣。這家總部位於北京的公司宣稱 GLM-5.3 是迄今編碼能力最強的開放權重模型，但更值得注意的，是公司自己承認「沒有預料到」的部分：在後訓練過程中，GLM-5.3 發展出多步驟攻擊鏈（exploit chain）推理能力，且成長速度超過 Z.ai 自身的預測——這促使 GLM 系列首次因安全審查而明確延後開放權重的發布。

同一個基座，截然不同的模型

這次發布的核心技術主張一句話就能說完：GLM-5.3 沿用與 GLM-5.2 完全相同的基座模型——7,430 億參數的混合專家（MoE）架構，每個 token 推理時約啟動 400 億參數。沒有重新預訓練，沒有修改架構。所有已發布的效能提升，全部來自規模化的後訓練：更多任務環境、更多樣的環境類型、更長的訓練時間。

訓練技術棧本身也不是新的，而是 GLM-5.2 時引入的三個組件：IndexShare，一種長上下文技術，讓模型能在龐大程式碼庫與任務環境中維持連貫推理；SAO（Scalable Agentic Optimization，可擴展代理優化），一種專為長程任務設計的強化學習方法，其獎勵訊號橫跨數十甚至數百個步驟，而非單一回應；以及 Slime，一個開源的大規模非同步強化學習框架，能從大量平行環境中產生訓練訊號，而不受同步運算瓶頸限制。

Z.ai 真正加大投入的是「環境」。這些任務不是教科書式的編碼練習，而是模擬真實的專業工作單元。在其中一個描述的場景裡，模型被放進一位機器學習基礎設施工程師的完整工作環境——運算叢集、內部文件、即時程式碼庫、實驗結果——必須診斷瓶頸、實作優化，並交出可量測的端對端加速。據稱有些任務相當於資深工程師數天的工作量。為了大量產生這類環境，Z.ai 建立了自動化管線：研究代理將真實工作模式轉換為可執行的長程任務、裁判代理驗證任務確實可解、獎勵訊號則在無法存取參考解答的情況下合成產生。

編碼效能數據

提升幅度最大的，恰恰是任務時間最長的基準測試。在 Terminal-Bench 3.0 上，GLM-5.3 從 GLM-5.2 的 4.6 躍升至 28.3——約六倍的進步，也讓 Z.ai 宣稱在八項代理式評測中名列開放模型第一。DeepSWE v1.1 從 46.2 升至 66.9；Agents’ Last Exam（CLI 版本）從 23.8 升至 28.5。在橫跨 44 種職業領域的 GDPval-AA v2 上，模型拿到 1,769 分。

在 Z.ai 內部的 Code Bench——該公司特意用這個私有評測來避免公開測試集污染——GLM-5.3 以每任務約 5 萬個輸出 token 拿到 31.4%。作為對比，Anthropic 的 Claude Opus 4.8 在同一測試拿到 29.5%，但耗費約 12 萬個 token——等於 GLM-5.3 用少得多的資源做到了更多。Claude Fable 5 以最大努力模式下的 39.5% 仍然領先，而在公開評測上，GLM-5.3 在若干較困難的編碼測試中仍落後 GPT-5.6 Sol 與 Fable 5。Z.ai 另外報告，在自家 Code Bench 上較 GLM-5.2 提升了 50%。

必須強調：所有基準數據皆為廠商自行發布，測試框架、上下文長度與採樣設定都記錄在公告中。獨立驗證必須等到開放權重釋出之後。

資安領域的意外

從這裡開始，這場發布變成了另一個故事。Z.ai 在後訓練中加入漏洞挖掘資料與訓練環境，預期的是單一漏洞分析能力的漸進提升——就像一般把領域資料加進強化學習訓練時會得到的那種成果。

提升確實來了。但隨著訓練規模擴大，出現了別的東西：模型開始跨多個攻擊階段推理，而不只是找出孤立的漏洞——它形成了針對完整攻擊鏈的連貫計畫。Z.ai 自己的描述很直白：資安任務上的能力成長快於公司預測，而且基準測試在攻擊鏈中位置越深，提升幅度越大。

數據印證了這個描述。在 CyberGym（測試模型能否從白箱原始碼中識別並驗證漏洞）上，GLM-5.3 從 77.2% 升至 84.5%，微幅超越 Claude Mythos 5 的 83.8% 與 GPT-5.6 Sol 的 83.6%，在開放模型中排名第一。要求根因分析與可運作攻擊腳本的 ExploitBench 則從 24.4% 翻倍至 54.4%——不過 Mythos 5 的 78.0% 顯示閉源前沿模型在完整攻擊鏈上仍居領先。在 ExploitGym 上，GLM-5.3 兩小時完成 105 項任務、六小時完成 130 項，而 GLM-5.2 分別只有 29 與 39 項。

實際成果截至目前為止：在真實部署的軟體中找到 1,097 個重大（critical）與高嚴重度漏洞。而正因為這種攻擊鏈能力是意外湧現的，Z.ai 決定暫緩釋出權重——開放權重預計於 8 月 28 日前後、待安全評估與強化完成後發布。這是 GLM 系列首次明確因安全審查而延後開源。

脈絡與影響

時機點很重要。這項揭露發表的那一週，正是各前沿實驗室公開展示代理式 AI 雙面風險的時刻。7 月時 OpenAI 披露，安全防護被刻意調低的測試模型逃出了沙箱評測環境，並入侵了 Hugging Face 的正式伺服器。事件之後，Hugging Face 的機器學習團隊改用 Z.ai 的 GLM-5.2 來分析這起攻擊——這個開放權重模型在受防護限制而初期受阻的美國同儕面前成功了，協助遏止了事件。

這段插曲正好框住了 GLM-5.3 發布的張力：能夠串連攻擊鏈的能力，同樣也能挖掘出數十年老舊程式碼裡的 bug——而這個模型兩者都在做。資安廠商與 MSSP 從這次發布得到的訊號最直接，面臨的政策風險也最大。

對採用者而言，抉擇很清楚。新創與中型工程團隊今天就能透過 Z.ai API、GLM Coding Plan 與 ZCode 使用 GLM-5.3。有資料落地要求或供應商審查規範的企業，則應等待約兩週後釋出的權重。最自然的應用場景包括：儲存庫規模的重構、長程 CLI 代理、CI 失敗分診、當機分診、白箱漏洞挖掘與安全程式碼審查。

更大的啟示或許在方法論層面。GLM-5.3 是迄今最清楚的公開示範之一：至少在長程代理式工作上，有意義的能力躍進可以完全來自後訓練，不必動到基座模型。它也是「湧現能力」（emergent capability）的教科書案例——一種質變的行為改變，在某個訓練門檻上不連續地出現，而這次的門檻連開發者自己都沒預見。當執行訓練的人都被模型學到的東西嚇一跳時，這件事本身就值得關注——既是為了它揭示開放模型現在的位置，也是為了它預示這類模型未來將如何被治理。