开源权重AI模型追近前沿，安全防护差距却在扩大

根据SaferAI通过Z.ai公开API进行的评估，GLM-5.2在网络与生物能力方面已与全球顶尖AI系统相差无几，仅落后OpenAI GPT-5.5和Anthropic Claude Opus 4.7数月。更值得关注的是，GLM-5.2对测试中所有进攻性网络任务及双重用途生物学任务均未作出任何拒绝，与Claude Opus 4.7形成鲜明对比——后者的拒绝率之高，令SaferAI无法完成网络安全基准测试CyberGym的全部流程。

SaferAI执行董事亨利·帕帕达托斯向TechCrunch表示，能力前沿与风险前沿并不等同，评估风险时必须同时考量安全缓解措施的现状。闭源模型的开发者通常依赖分类器、拒绝训练和API层面的管控来限制危险输出，但这些措施对开源权重模型完全失效——一旦用户将权重下载至本地硬件，便可随意移除或修改任何防护机制、对模型进行微调，或更改系统提示。

即便是闭源前沿模型，现有安全防护也远非无懈可击。AI安全机构Far.ai发现，xAI的Grok 4.5和谷歌DeepMind的Gemini 3.1 Pro等模型中存在数百个通用越狱方法，攻击者通过组合角色扮演、权威身份冒充、伪造对话历史及追加提示等多种手段，可系统性地放大模型防御的薄弱环节。这一发现进一步凸显了当前安全机制的局限性。

在技术层面，帕帕达托斯提出了预训练数据过滤作为潜在解决方案之一，即在训练前从数据集中剔除进攻性网络安全信息。部分研究表明，这一方法可在不损害整体模型性能的前提下降低生物危害知识的含量。然而，对于网络安全领域，数据过滤的实操难度极大——训练一个擅长编程的通用模型，往往也意味着培养出潜在的黑客能力，而编程恰恰是当前AI最重要的商业变现方向。

在政策层面，斯坦福网络政策中心研究员格雷厄姆·韦伯斯特指出，中国已建立较为完善的AI监管体系，但相关规定历来侧重于政治敏感内容、虚假信息及社会稳定，而非进攻性网络能力或生物滥用等灾难性风险。他同时提到，中国企业通常在幕后与监管机构协调，外界难以了解其发布前的内部测试情况。中国国家主席习近平在上月举行的世界人工智能大会上，在强调开源模型重要性的同时，也着重指出确保AI处于严格人类管控之下的必要性。

开源权重模型的支持者认为，公开权重对网络安全防御具有重要价值——Hugging Face此前正是借助GLM-5.2抵御了OpenAI发起的网络入侵。然而，SaferAI的报告揭示了一个根本性矛盾：同样的开放性既赋予了防御者力量，也为潜在攻击者提供了几乎不受限制的工具。随着开源模型能力持续逼近闭源前沿系统，治理框架如何跟上技术演进的步伐，已成为全球AI安全领域最紧迫的挑战之一。

要点

• GLM-5.2在网络与生物能力上已接近OpenAI和Anthropic顶级模型，但对所有危险任务的拒绝率为零，安全防护严重缺失。
• 开源权重模型的核心风险在于，一旦权重被下载，平台层面的任何安全措施均无法强制执行，用户可自由移除或绕过防护。
• 即便是闭源前沿模型，现有安全机制也存在明显漏洞，通用越狱方法在多个主流模型中均被证实有效。
• 预训练数据过滤在生物安全领域具有一定潜力，但对网络安全的适用性有限，因为编程能力与黑客能力难以彻底分离。
• 中国AI监管体系目前更关注内容安全与社会稳定，对进攻性网络能力和生物滥用等灾难性风险的针对性规范尚待完善。