开源权重模型逼近前沿能力，但安全防护存在明显缺口

就在政策制定者争辩如何监管 OpenAI 的 GPT-5.6 Sol 和 Anthropic 的 Mythos 等日益强大的 AI 系统之际，一款中国开源权重模型已经缩小了与行业领导者之间的差距。

根据 AI 安全非营利组织 SaferAI 的一份新报告，中国 Z.ai 的开源权重模型 GLM-5.2 在网络能力和生物能力上仅落后 OpenAI 的 GPT-5.5 以及 Anthropic 的 Claude Opus 4.7 几个月。然而，最前沿能力与安全实践之间的鸿沟正在扩大。

根据 SaferAI 通过 Z.ai 公开 API 进行的评估，GLM-5.2 对其收到的所有进攻性网络或双重用途生物学任务均未拒绝。相比之下，Claude Opus 4.7 "拒绝得非常一致，以至于 SaferAI 完全无法在其上完成 CyberGym 测试。"（CyberGym 是一项评估网络安全能力的基准测试。OpenAI 在上月 Hugging Face 遭入侵之前进行的评估中使用了它。）

这是一个鲜明的警示，提醒人们一些批评者多年来一直警告的问题：开源权重模型可能将高度智能的 AI 交到潜在攻击者手中，而一旦他们下载了权重，就无法监管他们如何使用这项技术。随着开源权重模型迅速逼近全球领先 AI 系统的能力，讨论已从"它们能否竞争"转向"一旦发布，社会如何管理风险"。

"能力的最前沿并不等同于风险的最前沿，所以我们确实需要将缓解措施的状态纳入考量，才能正确评估风险，" SaferAI 执行董事 Henry Papadatos 告诉 TechCrunch。

虽然 Z.ai 可以对其托管的 API 应用安全措施，但一旦有人在自己的硬件上运行权重，这些保护就会变得不可执行——他们可以移除或修改任何安全防护、对模型进行微调，或更改系统提示词。

OpenAI 和 Anthropic 等前沿开发者倾向于依靠分类器、拒绝训练和 API 级控制等安全防护来限制危险的网络和生物协助。

这些措施远非万无一失：越狱手段 routinely bypass 部署模型上的保护。AI 安全非营利组织 Far.ai 发现，在 xAI 的 Grok 4.5 和 Google DeepMind 的 Gemini 3.1 Pro 等前沿模型中有数百个通用越狱——定义为可在大多数有害请求上成功的可复用密钥。根据该报告，当攻击者结合多种操纵技术——包括角色扮演、冒充权威、伪造对话历史和后续提示——来放大模型防御的弱点时，越狱就会成功。

但为闭源模型设置的安全防护在开源权重模型上完全不起作用，后者被设计为可以在任何基础设施上运行，可以配合任何安全防护措施——或者根本没有。

"目标应该是明确的：好的能力——安全的那些——应该对任何人开放，然后我们尝试移除那些坏的能力，即使以一种开源的方式，" Papadatos 说。

Papadatos 指出有一种技术可能有帮助，叫做"预训练数据过滤"，即 AI 公司从训练数据中移除攻击性网络安全信息，然后在精选的数据集上训练模型。

一些研究表明，这可以减少危险的生物知识，同时不会损害模型的整体性能。然而，对于网络安全而言，数据过滤的实用性要低得多。

训练一个擅长编码但又不是优秀黑客的通用模型是很困难的。因为编码已经成为 AI 最大的盈利来源，开发者面临压力，要不断提升这些能力，同时寻找限制滥用的方法。

正因为如此，前沿开发者越来越多地依赖其他缓解措施。一种方法是选择性限制模型提供网络安全协助的类型。例如，根据 Anthropic Opus 5 的系统卡，它可以在未编译的源代码中搜索漏洞，但不能在已编译的软件中搜索。其理由是，这让将 Opus 5 用于进攻性目的变得更加困难。

其他缓解措施还包括严格的部署前安全评估、发布风险评估，以及如果认为系统过于危险则扣留模型权重。

就 GLM-5.2 而言，SaferAI 表示 Z.ai 没有为该模型发布安全框架、部署前测试承诺或风险评估。TechCrunch 已向 Z.ai 询问其在发布前是否进行了内部或第三方前沿安全评估，但未收到回复。

中国领导人越来越认识到 advanced AI 的风险。在上月的世界 AI 大会上，中国国家主席习近平强调了开源权重模型的重要性，同时也强调了确保 AI 保持在严格人类控制之下的必要性。

在斯坦福网络政策中心研究中国 AI 政策的 Graham Webster 告诉 TechCrunch，中国对 AI 有严格的监管，但这些规则历来集中在政治敏感内容、错误信息和社会稳定方面，而非灾难性 AI 风险——如进攻性网络能力和生物滥用。

"美国的 AI 思想家总体上比中国社区更关注这种存在性灾难性的 [观念]，" Webster 说，并补充说许多中国政策研究人员认为，如果真的会出现一种新颖的前沿风险，美国公司很可能首先遇到它。

"中国体系有信心他们控制着这些技术在中国境内的使用，" Webster 继续说道。"在中国上网是需要实名归属的，公司可以被追究责任，用户也可以被追究责任。"

Webster 推测，模型提供商用于拒绝参与某些政治话题的相同机制，可能经过调整后可用于确保模型拒绝完成进攻性网络攻击或不会提供有害的生物工程结果。他补充说，由于中国公司倾向于在幕后与监管机构协调，在发布前很难知道他们正在进行什么样的内部测试。

开源 AI 的倡导者认为，发布权重对网络安全很重要，因为它允许公司保卫自己免受攻击——Hugging Face 依靠 GLM-5.2 来防御 OpenAI 的入侵——而且因为如果他们知道即将发生什么，就可以更好地为未来的威胁做准备。

"帮助阻止 AI 驱动的网络攻击的相同系统，现在可以帮助每天防御数百万次网络攻击，同时帮助我们在攻击者利用漏洞之前识别并修复它们，" Hugging Face 首席执行官 Clem Delangue 本周在社交媒体上表示。

Papadatos 表示，这种好处往往被夸大了，并不意味着"我们应该开源危险能力。"

"我脑海中的主要观点是，我们不应该轻易接受危险能力可以被任何人在任何地方轻易获取，" 他说，并强调他认为行业应该努力只让"好的能力"容易获取。默认情况下，攻击者比防御者更快地采用新工具。例如，勒索软件组织可以在一周内改变其方法。而医院不能。"