Hugging Face 下架专为网络攻击而制的 GLM-5.3 版本

# Hugging Face 下架专为网络攻击构建的 GLM-5.3 模型 来源：https://pasqualepillitteri.it/en/news/20174/glm53-huggingface-takedown-cyber-en Hugging Face 已禁用仓库 **penclaw-GLM-5.3-abliterated-for-offensive-cyber**——这是由账号 Audn AI 发布的 GLM-5.3（中国智谱旗下的开源权重模型）的修改版本，去除了拒绝过滤器，且名称直接宣示了其预期用途：攻击性网络攻击。如今该模型页面只显示内容违反了平台的《内容政策》，并未指明具体援引了哪一条款。 GLM-5.3 abliterated Hugging Face 内容政策下架 网络安全 为攻击用途构建的 GLM-5.3 abliterated 仓库，已被 Hugging Face 下架。 ## 被下架的仓库中写了什么 该模型是 GLM-5.3 的 **abliterated**（去向量化）变体。这项技术直接编辑 Transformer 的权重，以抹除"拒绝方向"——即让模型回答"我无法帮你处理这个"的内部机制。与标准微调不同，abliteration 完全不需要重新训练，而是对现有权重进行外科手术式的修改，并与原始模型一样以 MIT 许可证发布。 仓库的名称毫无歧义：标题中赫然写着"for offensive cyberattacks"（用于攻击性网络攻击）。在下架后重新发布的当前版本中，页面已删去了这一表述，现在的措辞读起来像是授权的红队演练、安全研究与评估——与 Anthropic 和 OpenAI 用来描述自家内部攻击性安全实验室的用语别无二致。 ## Anthropic 的警告早了两天 此次下架发生在 Anthropic 报告发布的仅 48 小时后，该报告我们已在本博客报道过（https://pasqualepillitteri.it/en/news/19442/glm-5-3-anthropic-guardrails-bypassed）：GLM-5.3 对恶意请求的防御在欺骗性提示词下有 64% 的情况下失效，在预填推理链下失效率为 92%，而在 **abliteration 之后 100% 失效**——这正是 Audn AI 对该模型施加的同一种修改，而该模型后来被下架。同一天，NIST 称 GLM-5.3 是有史以来在网络攻击领域测试过的最强开源权重模型（https://pasqualepillitteri.it/en/news/19470/glm-5-3-4249-vulnerabilities-nist-caisi），落后美国顶级模型约四个月。 这并非巧合。Anthropic 已在实验室中展示了被去除拒绝机制的 GLM-5.3 会带来什么后果，而 Audn AI 已经做了完全一样的事情并将其公开发布，其名称更是使其成为任何平台内容审核人员眼中显而易见的攻击目标。这次下架看起来更像是针对一份技术报告刚刚量化的风险所做出的定点回应，而非更广泛的政策转向。 ## 账号未被封禁，模型换了个名字重新上架 Hugging Face 并未封禁 Audn AI 账号，该账号仍在定期发布内容。被标记的模型已以 **penclaw-GLM-5.3-abliterated** 之名重新上线，不再明确提及攻击性用途，描述中将其预期用途框定为授权的安全研究。权重完全相同。被下架版本与重新发布版本之间唯一的区别是名称和所述定位，而非模型的技术能力。 这正是任何依赖仓库名称或描述进行内容审核的模式的弱点。一个真正想将模型用于攻击性目的的用户，根本不需要标题把这一点明说。此次下架针对的是公开表述的意图，而非无过滤模型本身的可获得性——后者仍可以 MIT 许可证、以不同名称下载。 ## 数以千计的 abliterated 模型仍在线上 Audn AI 的案例并非孤例。近期开源权重模型的 abliterated（去向量化）和 uncensored（无审查）变体在官方发布后数小时内就会出现在 Hugging Face 上。我们在九月记录过这一现象，当时是 DeepSeek 4.1 Flash（https://pasqualepillitteri.it/en/news/16070/deepseek-41-flash-uncensored-abliterated-builds），该模型在发布当天就出现了无审查版本。GLM-5.3 也遵循了同样的模式：同一模型在 OpenRouter 上以"隐匿"身份 Ox Alpha 出现，早在八月底就已被（https://pasqualepillitteri.it/en/news/13263/ox-alpha-revealed-zhipu-glm-5-3-flash-mit）揭露为智谱的模型，且 MIT 权重公开可得。 打上"abliteration"、"uncensored"或"jailbroken"标签的仓库在 Hugging Face 上仍有数千个，其中许多应用于网络能力与 GLM-5.3 相当的模型。移除单个仓库，无论其名称多么明确，都不会改变底层的可获得性。任何能获取原始权重的人（权重是公开且基于 MIT 许可证的），都可以在任何机器上独立地应用同样的 abliteration 技术，完全无需经过 Hugging Face。 ## 为什么这对任何从事开源权重模型工作的人来说都很重要 这一案例暴露了平台侧审核的结构性局限。Hugging Face 可以下架页面，但无法阻止已下载的相同权重在其他地方被修改。GLM-5.3 所采用的 MIT 许可证不附带任何使用限制，这与 Llama Community License 等明确禁止某些用途的许可证截然不同。对于任何评估开源权重模型相关安全风险的人来说，实际的教训是：真正的控制发生在网络层和基础设施层——谁能运行模型、拥有什么权限——而非托管权重文件这一层面。 ## 常见问题（FAQ） #### 1. 什么是"abliterated"模型？ **指权重已被修改以去除拒绝机制的模型。**这项技术定位并禁用 Transformer 中负责拒绝回复的内部方向，无需进行完整的重新训练。 #### 2. 为什么 Hugging Face 移除了这个特定仓库？ **官方给出的理由仅是"违反内容政策"，没有进一步说明。**该仓库的名称公开宣称其用于攻击性网络攻击，而下架发生在一份量化无过滤 GLM-5.3 风险的 Anthropic 报告发布两天之后。 #### 3. 发布该模型的账号被封禁了吗？ **没有，账号仍然活跃。**该模型已以不同名称重新发布，不再提及攻击性用途，描述也转向了授权安全研究的方向。 #### 4. GLM-5.3 在网络攻击方面真的比其他开源权重模型更危险吗？ **据 NIST 称，在评估时点确实如此，落后最佳美国模型约四个月。**这一数字应被理解为该基准测试在那个时点的快照，而非稳定的排名。开源权重模型变化很快。 #### 5. 移除这个仓库真的能降低风险吗？ **只是部分有效。**GLM-5.3 的权重在 MIT 许可证下公开，因此任何人都可以在本地应用同样的 abliteration 技术。此次移除消除的是仓库的可见性，而非无过滤模型在技术上的可获得性。 ## 结语 Hugging Face 移除了最直白的例子——一个在名称中就承认其用于网络攻击的仓库——但底层问题原封未动。GLM-5.3 是基于 MIT 许可证的开源权重模型，因此任何下载原始权重的人都可以应用同样的 abliteration——Anthropic 已经测量到这种技术对模型防御机制的成功率为 100%——而且完全无需经过任何平台。审核仓库名称只能打击那些把意图明确写出来的人，而对那些已经学会了不把意图写出来的人毫无作用。