AI資安警報：開源權重模型GLM 5.3-flash問世，我們只剩一年全面修補漏洞

GLM 5.3-flash 於上週正式釋出，這意味著「Project Glasswing」與「Daybreak」這兩項資安修補計畫的時間窗口正在快速關閉。如今，任何人都能取得具備危險駭客能力且價格低廉的AI模型，且無須受到一般常見的惡意行為拒絕機制限制。我們必須在整個產業全面修補漏洞，才能避免措手不及。而這也是計算機史上少數幾次，我們真正擁有能夠主動出擊、主動防禦的能力。我們可以運用比人類更快速的前沿大型語言模型（LLM），在所剩不多的時間內找出並修復這些問題。剩下的難題，則是如何部署這些修補程式。

對大多數人來說，上述內容聽起來可能像是胡言亂語或危言聳聽的過度反應，但實際意義如下：

「GLM」是一種大型語言模型（AI）。GLM系列屬於「開放權重」（open-weight），代表任何人都能下載並運行這些模型。「Flash」意味著它比多數「前沿」（frontier）模型更便宜、運作更快。所謂「便宜」是相對概念，但粗估在本地端運行的硬體成本約為5,000至1.5萬美元。「前沿」在此意指該LLM「已接近當前AI所能達到的能力邊界」。Project Glasswing與Daybreak是運用LLM來修補整個科技產業資安漏洞的計畫。「惡意行為」包含入侵基礎設施以及教導他人如何製造土製炸彈等。

本文其餘部分將說明為何我深信這是一項迫在眉睫的威脅，以及我們應該如何因應。

【GLM】

GLM 5.3-flash 可供全世界任何人下載並修改。

GLM（General Language Model，通用語言模型）系列由中國AI實驗室Z.ai（前身為智譜AI）開發。當該模型由Z.ai代管時，會依法律要求附帶限制機制。然而，Z.ai將模型以「開放權重」形式公開釋出後，DeAlignAI等組織便推出「去除限制」（abliterated）版本，將其任務拒絕機制以外科手術般精準地移除。DeAlignAI宣稱，該去除限制版本在Harmbench-320測試中得分為0%，該測試涵蓋不實資訊、網路犯罪、生物武器，以及製造土製炸彈等各類非法行為。換言之，這個模型幾乎願意執行任何任務。

【Flash】

GLM 5.3-flash 可在一般消費級硬體上本地端運行。

「Flash」基本上是行銷用語，是相對其他模型而言，並非指特定技術路線。網路上已有許多人對GLM 5.3-flash進行本地端基準測試。以下是一個範例：在約6,000美元的NVIDIA GPU上，運行速度可達每秒約20個token（文本單元）。

蘋果將於9月22日推出搭載M5晶片的Mac Studio，配備256GB統一記憶體。「統一記憶體」意味著記憶體可在主機作業系統與GPU之間共用。這已足夠運行5.3-flash，預計該產品上市後運行速度可達每秒約30個token。配備256GB的版本售價約9,500美元起。

透過修改模型解碼器（decoder）等軟體層面的優化，吞吐量可再提升約50%。若將此推估套用至M5，整體吞吐量將達到每秒約45個token。

每秒45個token的速度，足以在3秒內寫出以下程式碼片段：

from pathlib import Path
import hashlib

def digest(path: Path) -> str:
hasher = hashlib.sha256()
with path.open("rb") as file:
while chunk := file.read(1024 * 1024):
hasher.update(chunk)
return hasher.hexdigest()

def main() -> None:
import sys
if len(sys.argv) < 2:
raise SystemExit("usage: hash.py FILE...")
for name in sys.argv[1:]:
path = Path(name)
try:
print(f"{digest(path)} {path}")
except OSError as error:
print(f"{path}: {error}", file=sys.stderr)

if __name__ == "__main__":
main()

也就是說，運行這個模型不僅可行，甚至一般民眾只要動用積蓄就能負擔，並能全天候高速運行。

【Frontier】

GLM 5.3-flash 的能力已非常接近目前最先進的AI模型。我們已開發出的AI模型早就能在真實環境中發現並利用資安漏洞。而未來的AI模型只會變得更加強大。

GLM 5.3在CyberGym測試中得分84.5%，在ExploitBench測試中得分54.4%。雖然我們尚未取得5.3-flash的直接數據，但推測應在相近水準或略低。去除限制版本的表現則會再略低一些。

CyberGym衡量的是真實世界中曾被開源專案發現並修補的漏洞。換言之，在這個具代表性的樣本中，有84.5%的漏洞僅憑公開的原始碼與CVE（通用漏洞披露）描述，就能被GLM 5.3重現。

ExploitBench則衡量模型是否能實際運用漏洞造成危害。該測試採滑動式評分，部分攻擊成功可獲得部分分數，最終階段為任意程式碼執行（arbitrary code execution）。

作為比較，ExploitBench的領先者（「前沿」模型）為GPT-6 Astra（100%），亞軍為GPT-5.6 Sol，得分78.5%（註1）。CyberGym的領先者正是GLM 5.3，亞軍為GPT-5.6 Sol，得分83.6%。OpenAI尚未公布Astra在CyberGym的數據，但一旦公布，預料將超越GLM 5.3。

你或許認為這些只是合成測試的數字，但資安專家反映，他們在資安競賽中若無LLM協助，已難以維持競爭力。

我們並無太多遠端程式碼執行與逆向工程的標準基準測試，但已有證據顯示GPT 5.6-Sol能在真實世界中、在無人為介入的情況下攻擊基礎設施。

我認為，非常有可能出現這樣的情境：人們將GLM 5.3-flash指向開放網路上的真實服務與基礎設施，它便有能力且願意找出漏洞並加以利用。

【情勢嚴峻】

綜合上述：

只要有一點積蓄，任何人都能持續不間斷地運行GLM 5.3-flash。任何人都能將GLM 5.3-flash用於幾乎任何任務，包括出於惡意目的。它在這些任務上的表現已相當優異，人為介入幾乎可以忽略不計。

因此，我們正進入一個網路攻擊可以「寫成for迴圈」就能自動執行的世界。

美國的前沿實驗室早已意識到這一天的到來，並持續致力於推出資安修補程式。Project Glasswing與Daybreak一直與科技產業內的企業、基金會、政府及非營利組織合作，在這項技術開源化之前，運用前沿模型找出並修補漏洞。這兩項計畫成果豐碩，我樂見其獲得資金支持。兩者在初始資金挹注後已被包裝為產品販售，雖然這做法略顯粗糙，但至少仍在免費提供額度給資安組織運用。

然而，我們的時間正快速流逝。儘管Daybreak與Glasswing已做出不少貢獻，真正的難題在於部署，而非修補漏洞本身。關鍵系統往往需要實體存取或經縝密規劃的分階段部署，才能避免服務中斷，這些因素都會延宕修補程式的部署時程。若電網仍運行Windows Server 2012，那麼修補好Linux核心也於事無補。

當然也有若干保留空間：1.5倍的加速效果在GLM 5.3-flash上可能沒這麼顯著；去除限制的模型在未經訓練的惡意任務上表現可能較差；從「攻破目標」到真正完成漏洞利用，中間仍可能需要大量人為介入。但這些都是暫時性因素，模型只會持續進步。歷史經驗顯示，GLM一直落後OpenAI與Anthropic約3至6個月，我認為明年此時非常可能見到Astra等級的GLM模型問世。一旦發生，公私部門基礎設施面臨成功網路攻擊的風險將大幅升高。我們可能很快就會學到限電（brownout）的教訓。

整體而言，攻擊者的能力提升速度已超越防禦者改善資安態勢的速度。即便模型擴展速度放緩（目前完全看不出有放緩跡象），也只是時間問題，它們終將強大到足以開始利用这些漏洞。我們必須現在就採取行動，越快越好。

【我們該怎麼做？】

局勢正以令人不安且可怕的速度變化。我們需要以緊迫感而非恐慌來行動。以下是我們能做的事：

【政府與監管機構】

運用前沿模型進行掃描相對廉價，不需要太多激勵措施。真正需要激勵的是部署與修補，以及要求各組織正視自身的資安實務。依照目前的政策走向，最大的風險在於堆積如山卻從未被處理（untriaged）的警告。

若你身處能制定政策的位置，以下措施將有助益：

資助資安工程，理想情況下應採用可靈活運用的補助款，可由組織自行決定用於招募人才或採購技術產品。建立改善資安的強制規定與激勵措施，尤其是定期滲透測試。鼓勵在人類監督下運用前沿模型進行滲透測試。鼓勵強化實體隔離（airgapping），並減少遠端無線更新（OTA更新）的依賴：更新應頻繁，但須要求實體存取。對於無法實體隔離的系統，應獎勵頻繁、經簽署且經測試的部署作業。對未定期檢視與修正資安態勢者予以懲罰，若因疏失導致駭客攻擊成功則加重處罰。規定漏洞從發現起須於依風險分級的期限內修補，並由聯邦政府提供修補經費。胡蘿蔔與棍子並行。

以下是一些值得探討的具體建議：

務必特別確保地方政府的醫院的資助，因為這些單位不太可能透過其他管道獲得資金。EO 14409（美國總統行政命令）並不足夠，因為它缺乏資金且屬自願性質。針對銀行業，應在歐盟延伸DORA（數位營運韌性法）的TLPT（威脅主導滲透測試）規範，在美國則應延伸FTC（聯邦交易委員會）、OCC（貨幣監理署）與NCUA（國家信用合作社管理局）的相關規定。TLPT應提高滲透測試的頻率與涵蓋範圍。NCUA目前僅建議滲透測試，應將其升級為強制規定。FTC在金融機構具備「持續監控」機制時並未強制要求滲透測試，應改為無條件強制要求。在美國，電力公司應在州與地方層級採用類似NERC（北美電力可靠度公司）關鍵基礎設施保護（CIP）的指引，涵蓋配電系統及其他目前未受監管的系統，而非僅限於最高風險與最大型的系統。應設立聯邦補助款以落實這些指引。應延伸NERC-CIP，要求所有系統進行主動測試，而非僅限於高影響系統。應修訂NERC-CIP與歐盟NIS2指令及網路安全網路守則，以提高強制測試的頻率。美國的電信業目前屬高風險，卻缺乏統一的強制性網路安全風險標準。應制定並強制執行相關標準，可參考銀行與電力業的現行法規作為起點。

整體而言，應要求資安態勢必須頻繁更新。強制指定特定模型或供應商將因新模型問世而迅速過時。這是一個快速變遷的領域，12個月前有效的防禦措施，在一年後可能因威脅模型（兩種含義）變化而失效。應強制規定測試與問責機制，而非綁定特定技術。

在美國或歐洲全面禁止託管GLM 5.3-flash的模型權重，短期內幾乎沒有效果，長期來看則完全無用。短期內，它只會在檔案分享網站上重新出現；要消滅它的難度不下於消滅盜版。長期來看，其他實驗室遲早會釋出能力相當的模型。

全面禁止存取Mythos或Astra將使情勢惡化；這將在防禦者最需要工具的時刻，剥夺其最強大的武器。較佳的做法是將存取權限限制於經核准的組織與個人，前沿實驗室已採此做法。除非有實驗室出現違反共識的跡象，否則這應不需要新政策介入。

禁止新GPU或大容量統一記憶體的銷售與出口，能將一年時間的窗口略為延長，但長期無濟於事。它無法處理現有硬體問題，且將極不受歡迎。特別是記憶體，由於所有設備皆需使用，難以有效管制，並非僅有專業AI系統需要。

整體而言，應優先制定聚焦於漏洞分類與修補的政策。漏洞發現的成本正急速降低，但修補的成本並未隨之下降。

【企業與開源基金會】

善用目前正大量流入產業界的（實質上的）數十億美元資金，全面提升安全防護。盡可能大量招募資安工程師，並資助現有的維護者。指示這些工程師與現有維護者的主要任務為漏洞分類、設計、審查、回溯移植與部署修補程式，而非主要負責尋找漏洞或撰寫新程式碼。

善用Astra、Mythos及其他前沿模型，在攻擊者之前發現風險。使用結構化提示（structured prompts），例如Google的Unsafe Rust Review；這比僅告訴模型「仔細找漏洞」有效得多。

LLM擅長撰寫修補程式，但並非透過一次性提示就能達成。應使用結構化提示，並反覆進行自我審查循環，直到LLM自行判定修補程式品質良好為止。在可能的情況下，讓模型測試自己的修補，而非猜測修補是否有效。唯有通過此流程，才進入人工審查環節。

對AI代理（agent）本身進行沙盒化隔離。OpenAI-HuggingFace攻擊事件正是源自前沿實驗室測試模型；你自家的LLM若不謹慎處理，也極易引發事故。應將憑證權限限制在最小範圍內。若簽發機構不支援限定範圍的憑證，則在服務前端放置一個受信賴的介面層，由其自行加上範圍限制；切勿讓AI代理直接取得廣泛權限的憑證。不要依賴僅過濾GET請求的機制。應在防火牆層級阻擋請求，僅開放受信賴的網域清單。透過網路代理與受信賴介面過濾端點，而非依賴LLM可覆寫的本地設定。保留AI代理每一項變更或網路請求的完整日誌。

投資形式化驗證（formal verification）、模糊測試（fuzzing）與屬性測試（property testing），以及記憶體安全語言。LLM擅長撰寫Lean程式與模糊測試。我不在乎你使用Go還是Rust，但拜託不要在新程式碼中使用C或C++。

投資漏洞分類機制：記錄哪些系統版本受影響、為重大發現指派負責人與期限，並建立開發者工具，在漏洞修補後自動更新或關閉工單。

投資回溯移植、發布與部署機制。測試升級與回退等所有看似無聊的環節。開發者工具現已廉價；投入大量token以減少每個修補所花費的人力時間：自動化相依套件更新、經簽署且可重現的發布流程、更快的部署速度。工程師的時間應投入於協調揭露與頻繁發布，而非個別修補。

淘汰老舊且不安全的版本。當前正面臨巨大轉變：你的時間緊迫，但依賴你的使用者也同樣急迫。善用此壓力促使他們升級。在可行的情況下，撰寫開發者工具協助他們自動升級。追蹤使用者是否升級與套用修補；若否，應投入更多資源於工具開發。

將有大量修補程式釋出，而在禁運解除後，漏洞將很快遭到利用。應衡量從漏洞回報到部署上線的端到端時間，並發起加速運動，聚焦於瓶頸環節。在可能的情況下，盡量縮短禁運時間：若你能找到漏洞，攻擊者很可能也能，因此協調窗口比以往認知中更為狹窄。

投資供應鏈安全。盤點軟體與基礎設施的相依套件。也要盤點自家系統：生產環境運行哪些版本？哪些服務無人維護？哪些系統已停止支援（EOL）？你終於擁有能逐一審視所有相依套件的能力（不必再快速略過），請務必善用，並優先審視具有特權或暴露於資安風險的相依套件。LLM在擁有原始碼的情況下非常擅長找漏洞：善用此優勢。

投資隔離與災難復原能力。不要依賴單一防火牆或VPN。應採縱深防禦：分割網路、限制憑證範圍、測試備份、進行事件應變演練。若可能，演練從冷啟動狀態恢復系統。

密切關注前沿與開放權重模型的發展動態。模型越先進，你修補與部署的時間就越少。

即便你認為本文所述威脅並非事實，這仍是一次千載難逢的機會，能為你的專案與社群提升資安強度。請務必把握。

【總結】

我們正身處一個風雲詭譎的時代。我們不能把頭埋進沙子裡。我們應在仍有時間之際立即行動。

感謝Manish Goregaokar及數位其他人對本文草稿提供意見回饋。感謝所有辛勤付出、讓Glasswing與Daybreak得以實現的每一位工作者。並對DeAlignAI、Z.ai以及所有參與這場競底遊戲（race to the bottom）的相關人士致以最嚴厲的譴責。

（註1：依詢問對象不同，Z.ai與OpenAI在數字上存在分歧。）