GLM-5.3 以 160 分登顶 Epoch 的 Cyber ECI：开放网络前沿落后 6–7 个月

Epoch AI 为开权重安全辩论一直围绕的那个问题给出了一个数字，而这个数字更像一个排名，而非警告：GLM-5.3 在该实验室的 Cyber ECI 上得分 160.10，是指数所追踪的所有开权重模型中最高的，高于 O​penAI 的 G​PT-5.4，低于 A​nthropic 的 C​laude M​ythos Preview 和 O​penAI 的 G​PT-5.5。若把这个位次当作日期而非分数来读，这一排位说明：如今可公开下载的最强网络能力，大致相当于六七个月前的闭源前沿所处的位置。这项测量——Epoch 研究人员 Jaeho Lee 与 Alexander Barry 于 10 月 16 日发布的一篇 Data Insight，数据截至 10 月 8 日——是首个外部机构对 GLM-5.3 的网络能力作出排名，而它出现的时间，距 NIST 的 CAISI 称该模型为迄今网络能力最强的开权重发布、同时又将其估在美国前沿之后约四个月，正好过了一个月。这两种解读同出一源：Epoch 对 GLM-5.3 的评分取自 CAISI 的三个基准，而这是该模型仅有的网络相关结果，因此二者之间的差距是方法上的差距，而非测量上的差距。A​nthropic 的 Frontier Red Team 早在 9 月 29 日就已对已发布的权重给出了自己的数字：在 410 次 ExploitBench 尝试中，有 50 次实现了端到端漏洞利用，而 C​laude M​ythos Preview 为 410 次中的 56 次。模型本身并不新：Z.ai 于 8 月 14 日发布 GLM-5.3，8 月 18 日开放 API，价格为每百万 token 1.40 美元 / 4.40 美元，并于 8 月 28 日以自定义的“glm-5.3”许可证将 743B 权重推送到 Hugging Face。新的是，Z.ai 围绕其发布所构建的那项能力，如今在公开排行榜上有了位置，也有了与前沿之间可测量的距离——与此同时，Artificial Analysis 对同一批权重按任务计价，依据由哪个端点作答，价格为 0.92 至 8.68 美元，而 A​mazon Bedrock 自 10 月 5 日起已为符合条件的企业客户提供这些权重。本页最初从 GLM-5.3 在 8 月 3 日的泄露痕迹开始追踪它，随后追踪至其发布；本次修订纳入了 Cyber ECI 的位次、其背后的方法，以及六到七个月的差距对你实际会路由到的那个模型说明了什么、又没有说明什么。

从泄露到发布

8月3日浮出水面的四条线索——一个“ZCode for GLM-5.3”测试框架页面、一个大约只能访问一小时的官方文档页面、一条写着“GLM-5.3 Official Harness”的 Bing 索引条目，以及一次向智谱官方 Java SDK 添加带 JSON Schema 支持的“glm-5.3”条目的提交——全都指向一个真实存在、有具体名称的发布。Z.ai 联合创始人唐杰的“sooooooon”回复，以及“史诗级 Plus”的说法，如今已被一款实际产品证实，而不再是传闻。本页测试的“大约一周”时间信号——由 @teortaxesTex 在 DeepSeek V4 Pro 于8月13日发布后发在 X 上——应验得一天不差：Z.ai 于8月14日正式宣布 GLM-5.3，口号是“为编码而生。为网络防御做好准备。”后续进展在接下来一周到来：该模型于8月18日在更广泛的市场正式上线——这一发布日期如今已被标注在第三方模型列表中——而8月19日，Z.ai 宣布 API 开放调用，定价与 GLM-5.2 相同，该模型也已接入 ZCode、AutoClaw 和 GLM Coding Plan。

下一个泄露信号：GLM-5.3的多模态处理器

旗舰模型的纯文本定位可能维持不了多久。8月28日，sglang 服务引擎中一个开放的拉取请求提出了对 GLM-5.3 多模态处理器输入的支持——这种处理器粘合层会将图像负载转换为与 Miles RL 框架相同的动态缩放、像素、网格和 token 扩展方案，从而使训练和服务看到完全相同的图像输入。该 PR 是 radixark/miles 中 GLM-5.3 上图像条件强化学习的 rollout 侧部分，其第二个提交在 sglang 的 CPU CI 中注册了 GLM-5.3 处理器测试。这些都不是 Z.ai 的公告，也没有多模态 GLM-5.3 已发布或经过基准测试——这是代码层面的证据，与本页 8 月 3 日首次追踪的早期信号属于同一类别。它表明，旗舰系列正在准备在训练和服务栈中接受图像，而不是停留在 Z.ai 在发布时描述的纯文本编码与网络安全模型。Perplexity 在 8 月下旬将 GLM-5.3 加入 Computer 时的自身表述——“为长上下文、多模态智能体工作负载而构建”——指向同一方向，尽管那只是产品定位，而非已发布的多模态模型。

后训练实际上带来了什么

架构层面的说法才是值得厘清的部分，因为这次泄露中最响亮的那个具体细节——参数突破一万亿——是错的。GLM-5.3 并不是一个更大的模型。Z.ai 及其联合创始人唐杰均表示，它复用了与 GLM-5.2 完全相同的 743B 混合专家（MoE）底座（每个 token 约 40B 激活参数），保持了相同的 100 万 token 上下文窗口和约 128K 最大输出长度，所有提升都来自后训练。唐杰将这次发布描述为一次刻意的控制变量实验——相同的底座、相同的架构、相同的参数量，唯一的变量是一个月针对编码类任务的长程强化学习，而那一个月正是他认为约 50% 编码能力提升的来源。Z.ai 的发布说明进一步补充了底层机制：更多的长程任务环境、更多的环境类型、更长的训练运行，构建在已经产出 GLM-5.2 的 IndexShare 长上下文、SAO 异步强化学习和开源 slime 框架之上。Z.ai 在开放权重公告中链接的技术深度文章——z.ai/blog/glm-5.3 上的研究博文——进一步详述了这一配方：长程任务环境数量增加数十倍，环境类型更多，训练运行时长远超首次发布版本，任务规模扩展到在真实计算集群上运行多日的专家级工作负载。它对网络能力的表述——随着任务环境扩展而涌现的“严格受限的编程能力”——与发布说明一样，是公司自己的陈述，而非独立审计。“不重训、全后训练”这一说法出自创始人和公司自己，也尚未经过独立审计。另一个头条是规模：GLM-5.3 总参数 743B，每个 token 仅约 40B 激活参数，轻量到可以在规模适中的集群上自行托管，成本也低到足以大规模提供服务——这正是发布当天评论为它贴上的“更小、更便宜、更开放”定位，也与其被拿来对比的封闭式前沿旗舰模型形成鲜明反差。

编码与智能体：Z.ai声称的数字

在编程方面，Z.ai 报告——均为厂商自报且未经复现——Terminal-Bench 3.0 从 4.6 升至 28.3，Z.ai 称这是该测试框架上开放权重模型的最高分；DeepSWE v1.1 从 46.2 升至 66.9；SWE-Marathon 大致翻倍，从 19.4 升至 42.5；Agents' Last Exam（CLI）从 23.8 升至 28.5。唐杰本人对这一结果的简略说法，出现在由 @dotey 转发的一条 X 帖子中，是“纯后训练，编程提升大约 50%”——与 Z.ai 在公告中印出的同一标题数字。在 Z.ai 的内部代码基准上，GLM-5.3 在高投入模式下、每任务约 5 万输出 token 时得分 31.4%，而 Claude Opus 4.8 在约 12 万 token 时得分 29.5%——Z.ai 的要点在于，GLM-5.3 在消耗远少得多的输出 token 的情况下达到了相当的结果。Claude Fable 5 在该内部评测中仍以最高投入下的 39.5% 领先，而 Z.ai 也承认，在若干更难的编程评测中，GLM-5.3 仍落后于 GPT-5.6 Sol 和 Claude Fable 5。在独立测试框架复现这些结果之前，请将所有上述数字视为厂商数据。

网络防御：无人预见的能力

网络安全方面的数字是 Z.ai 公告中最引人注目的部分，而且在 9 月 29 日之前，它们也完全来自厂商自报。在 CyberGym 这一白盒漏洞发现与验证基准上，Z.ai 报告 GLM-5.3 达到 84.5%，高于 GLM-5.2 的 77.2%，并领先于该实验室的 Mythos 5（83.8%）和 GPT-5.6 Sol（83.6%）。在 ExploitBench 上，该基准要求同时进行根因分析和可用的漏洞利用，Z.ai 报告 GLM-5.3 从 24.4% 增至 54.4%，增幅超过一倍，不过 Mythos 5（78.0%）仍保持领先。在 ExploitGym 上，Z.ai 报告在 2 小时预算内完成 105 项任务，6 小时内完成 130 项，而 GLM-5.2 分别为 29 项和 39 项——再次落后于 Mythos 5（181 项和 247 项）。Z.ai 将这种网络能力描述为规模化后训练的一种涌现属性——用该公司的话说，“能力随着训练规模扩大而不断复合增长”——而非刻意设定的目标。在将这些百分比与下文任何内容进行比较之前，有一点需要提醒：Z.ai 的 ExploitBench 数据与 Anthropic 的尝试级 ExploitBench 结果是同一公开基准在不同测试框架和机制下的不同运行，因此这两个数字并非同一测量结果，不应并列比较。

Z.ai 在基准测试成绩之外，还附上了一项真实世界的说法：在与安全团队联合开展的测试中，GLM-5.3 在 269 个开源项目里识别出 2,436 个漏洞，其中 1,097 个被评为严重或高危级别，最早的一个可追溯至 1981 年，平均“存活时长”达 26.6 年。这是整份公告中最惊人的数字，同时也是最难被独立核实的一个。该公司为这项能力配套了三样东西：用于协调披露的“安全披露账本”（Security Disclosure Ledger）、将敏感网络功能限制在已核验用户范围内的“可信访问”（trusted access）计划，以及持续审计关键开源项目的“开源盾”（Open Source Shield）倡议。Humanic 于 9 月 29 日发布的评估，直接质疑了这道准入门槛对可下载权重究竟能起多大作用：评估发现，该模型发布后确实会默认拒绝有害请求，但用常见手法在 64%–100% 的尝试中都能绕过；评估还指出，权重发布后没几天，开发者就已发布了经过“去拒答”处理的 GLM-5.3 变体。一个已核验用户计划管得住 API，却管不住一个文件。

Anthropic 测量了什么，以及它改变了什么

A​nthropic 的前沿红队于 9 月 29 日发布了其评估报告，标题为“GLM-5.3 与高级网络能力的扩散”，这是竞争实验室首次对 GLM-5.3 的漏洞利用能力给出自己的数据。其表述直截了当：与 C​laude M​ythos Preview 一样，GLM-5.3 具备自主构建端到端网络漏洞利用的强能力，但与其他前沿模型不同，它在发布时没有设置有意义的防护措施来限制滥用。在隔离沙箱中针对离线目标运行时，GLM-5.3 在 ExploitBench 上的 410 次尝试中有 50 次开发出端到端漏洞利用。C​laude M​ythos Preview——由 A​nthropic 在大约五个月前宣布，并通过其 Project Glasswing 受信防御者计划有限发布——在 410 次中有 56 次做到。在 A​nthropic 内部的二进制漏洞利用基准测试中，该测试从参与 G​oogle OSS-Fuzz 的项目中随机抽取 100 个任务，并对控制流劫持给予满分，GLM-5.3 得分为 4%，而 C​laude M​ythos Preview 为 6%。A​nthropic 的要点不是 GLM-5.3 领先，而是一个门槛已经移动：更早的模型，包括 C​laude O​pus 4.6 和 GLM-5.2，在这些任务上无一成功。

在研究人员主导的会话中，这一发现变得具体可感。在一台运行着某款流行网页浏览器本地 Linux 构建版的沙箱机器上，且一整天投入的人类注意力不到一小时的情况下，GLM-5.3 在该浏览器的 JavaScript 引擎中发现了若干此前未知的漏洞，并将它们串联成一个可用的利用程序——一个页面，访问它就能读取访问者电脑上的任意文件，包括 SSH 私钥。Anthropic 表示，已将这些缺陷披露给维护者，并称同一次会话还发现了无线与图形驱动程序以及面向网络的设备软件中可利用的漏洞。在第二次会话中，GLM-5.3-Flash——体量更小、能力较弱的同门模型——拿到了一个已修补的 Chrome 漏洞（CVE-2026-11645）的公开细节，外加另一个漏洞，并且在没有任何重要方向指引的情况下，构建出一条可靠的 ARM64 利用链，绕过了指针认证加固。这耗费了 20 分钟的人类注意力和 8 小时的模型工作，Anthropic 按智谱的 API 价格将其折算为 20.40 美元。

这篇帖子中关于安全的那一半，才是会改变部署决策的部分。默认情况下，GLM-5.3 在 Anthropic 的模拟世界中拒绝了每一个明显恶意的请求，所有其他受测模型也是如此。Anthropic 随后找到了绕过这种拒绝的简单方法，并报告了模型对该有害请求作出响应的比例：

• 一个具有欺骗性的提示词——告诉模型它是一个正在参与演习的自主红队智能体：占试验次数的 64%。

• 预填充模型的思维 token，使其看起来已经考虑过该请求并决定继续：92%。

• 运行一份经过去拒答化处理的权重副本，其中拒绝回答已被剔除：100%。

Anthropic 表示，这三款 Claude 模型都无法被保护性地用于执行相同任务——其防护机制阻止了掩护说辞，其 API 无法预填思考过程，其权重也未公开分发，因此这些模型根本无法被消融审查。最后这一点不对称性影响深远。消融审查是一种标准的降低拒绝率技术，而由于 GLM-5.3 以可下载权重形式发布，任何人都可以应用该技术：Anthropic 在大约 2,200 GPU 小时内以约 4,400 美元的成本构建了自己的消融审查副本，并称一个此前从未尝试过该任务的团队也能完成。该修改将 GLM-5.3 的拒绝率从 90% 以上降至 JailbreakBench 上约 3%、HarmBench 上 2%、StrongREJECT 上 12%，而 GPQA-Diamond 结果保持不变，CyberGym 的一个测试子集仅低了几个百分点。Anthropic 表示，在该模型发布后的几天内，已有多个开发者向公众发布了 GLM-5.3 的消融审查版本，并且消融审查 GLM-5.3-Flash 大约需要 600 GPU 小时。

把这一切当作某一个实验室的测量结果，而非既定事实。A​nthropic 运行了自己的测试框架和沙箱，统计了自己的尝试次数，并且没有发布任何第三方复现，因此，这里的任何内容都未经过独立审计，正如 Z.ai 自己的数据也未经过独立审计一样。让它比厂商声明更有分量的，是激励的方向：A​nthropic 在测量竞争对手的模型，它报告了分母，而且其发现与 NIST 的人工智能标准与创新中心（Center for AI Standards and Innovation）一致，该中心于 9 月 17 日评估了 GLM-5.3，称其为“迄今为止发布的网络能力最强的开放权重模型”，并在 CAISI 网络基准的总体评估中，将其置于落后美国前沿约四个月的位置——但需要注意的是，该比较中的美国模型是在禁用网络防护措施的情况下测试的，并且包括仅向经过审查的用户发布的模型。A​nthropic 自己的结论既是一个技术论证，也是一个政策论证：它表示，在可自由获取的能力方面，已经跨过了一个关键阈值，任何人都可以下载 GLM-5.3，并且防御者应该能够获得至少与其对手所使用的模型一样好的模型。在 CAISI 评估两周后，Epoch AI 用不同的方法测量了同样的差距，并得出了更大的结果——六到七个月——基于部分相同的数据。

以上内容都不会改变路由决策的运作机制，而这正是你可控的部分。将一部分流量发送至OrcaRouter 上的 GLM-5.3，按第一方价格计费——每百万 token 1.40 美元 / 4.40 美元，零加价透传——而自动故障转移会在某个模型性能下降时将工作负载迁移到 GLM-5.2 或其他经过验证的模型，因此无论哪个方向出现能力上的意外，都只需改配置，而无需重写。Anthropic 那篇博文补充的，是一个在你把与安全相关或受监管的工作交给它之前值得一问的问题：你调用的模型，就是那个权重公开的模型，而托管端点并不是一道保障。企业级路线并不会改变这笔账。Bedrock 自己列出的 GLM-5.3 价格是：全球推理配置每百万 token 1.68 美元 / 5.28 美元，美国区域为 1.848 美元 / 5.808 美元，分别比 Z.ai 的第一方价格高出 20% 和 32%，所以用一个密钥按 Z.ai 标价调用同一模型仍是更便宜的路径，而云合同换来的则是采购与合规层面的保障。

开放网络前沿究竟位于何处

Epoch AI 的 Cyber ECI 是该实验室 Epoch Capabilities Index 中专注于网络安全的变体，基于 35 项网络评估的基准测试结果构建，并在 10 月 16 日更新后涵盖 76 个模型。在该指数上，Z.ai 的 GLM-5.3 得分为 160.10——这是该实验室记录的最高开放权重得分，高于 O​penAI 的 G​PT-5.4（157.04，2026 年 3 月 5 日发布），低于 A​nthropic 的 C​laude M​ythos Preview（164.82，4 月 7 日）和 O​penAI 的 G​PT-5.5（162.22，4 月 23 日）。闭源前沿由 A​nthropic 的 C​laude O​pus 5.5（171.14）和 O​penAI 的 G​PT-6 Astra（171.03）领跑，该实验室将这一对称为 171 的前沿。在开放权重中，GLM-5.3 高于 M​oonshot 的 K​imi K3（157.60）和 D​eepSeek 的 D​eepSeek-V4-Pro（150.35），并明显领先于其自身的前代模型 GLM-5.2（154.12）和 G​LM-5（147.95）。将 GLM-5.3 置于它击败的最新闭源模型与它未能击败的最早闭源模型之间，便得出了这个头条数字：开放网络前沿大致处于闭源前沿六到七个月前的水平——以 Epoch 的 10 月 8 日数据截止点为基准，G​PT-5.4 和 C​laude M​ythos Preview 的 4 月 7 日检查点分别将这一差距定为七个月和六个月。

这里的注意事项比通常更重要，而 Epoch 列出了若干条。只有至少有两项网络基准测试结果的模型才会进入该指数——76 个模型中有 57 个——而 GLM-5.3 的 160.10 分恰恰基于三项结果，全部来自 NIST 的 CAISI 于 9 月 17 日发布的评估。这些是该实验室为该模型拥有的唯一网络测试结果，这意味着 Epoch 的估计是对 CAISI 已发布证据的重新拟合，而非独立重跑；六到七个月的数值与 CAISI 的大约四个月不同，是因为基准测试集和它们所做的比较不同，而不是因为双方对该模型的看法存在分歧。Epoch 还指出，CAISI 没有点名其评估的美国模型，因此该实验室将这些结果归因于可能的领先者，如 G​PT-6 Astra 和 C​laude M​ythos Preview；其中两个前沿模型的区间几乎完全重叠，因此图表顶部的排序不像点估计所显示的那样确定；以及 10 月的重新拟合改动了较早发布的值，将 C​laude M​ythos 5 下调 3.9 分，将 G​PT-5.6 Sol 下调 4.7 分，因此本月的数字不应不加小心地与上月的数字进行比较。在阅读图表之前，有一个惯例值得了解：Epoch 将限制使用和非商业许可证计为开放权重，GLM-5.3 正是因此才符合条件——其权重根据 Z.ai 的自定义“glm-5.3”条款发布，而非 GLM-5.2 和 GLM-5.3-Flash 使用的 MIT 许可证。

这次上榜所改变的，与其说是模型本身，不如说是围绕它的论战。10月16日之前，要把 GLM-5.3 称为网络安全领域最强的开放发布，得引用 Z.ai 自家的 CyberGym 和 ExploitBench 百分比，再加上某个竞争对手的沙箱运行结果；而现在，它在一个公开榜单上有了位置，并且明确给出了与前沿之间的距离，而这个距离是读者能眼看着它变动的数字。对于任何正在为安全相关工作掂量某个开放权重模型的人，由此可以得出两点。落后前沿六个月并不等于安全：前沿模型今天能构造出的漏洞利用，六个月前的能力只要方法公开也照样能构造出来，而上述 Anthropic 的结果恰恰把这组特定权重放进了这个窗口之内。再者，榜单陈述的是当前可用权重中的最优者，而不是那个正在应答你请求的端点——同一组权重由不同提供商提供服务，其每任务成本已相差九倍，这属于路由问题，而不是能力问题。

GLM-5.3 必须击败的基线

GLM-5.2 是整个故事所依托的参照点。它于 2026 年 6 月发布，是一个 743B 的混合专家模型，每个 token 约 40B 激活参数，具备 1M token 上下文窗口、128K 最大输出、MIT 许可证，并在 Hugging Face 上开放权重。Artificial Analysis 的智能指数——由该实验室而非 Z.ai 测量——现在采用重述后的 v4.3.2 版次，在该版次上，GLM-5.2（Max）得 34 分，而 GLM-5.3（Max）得 45 分。这十一分的差距与本页在发布时报道的距离相同，当时同一实验室更早的指数版次中，GLM-5.2 为 53，GLM-5.3 为 60；变的是标尺，不是结果，而且该实验室现在将 GLM-5.2 标记为已弃用，转而支持其继任者。GLM-5.3 的 45 分使其在开放权重模型中排名第二，落后于 MiMo-V2.6-Pro 的 46 分，领先于 K​imi K3（Max）的 44 分一分。那是第一个与 GLM-5.3 相关的独立数字，并且它与 Z.ai 自家主张的方向——即便不是每个细节——一致。此后又有两个第三方数据点落地：8 月下旬，Perplexity 报告称，GLM-5.3 在 WANDR 上胜过 GLM-5.2；WANDR 是其面向大规模、有证据支撑研究的公开基准——即那项“广而深”的测试，其中智能体必须汇集大量有来源支撑的记录，而不是回答单个问题。那一个是 Perplexity 自家的基准、自家的说法，且没有公布分数，因此在数字出现之前，应将其视为方向性参考。第二个是 A​nthropic 9 月 29 日的网络安全评估——这是首次由外部测量 Z.ai 围绕此次发布所打造的那项具体能力。在长时程编程上，OrcaRouter 测试框架在 Terminal-Bench 2.1 上测得 77.9，而 Z.ai 报告的最佳 GLM-5.2 数字为 82.7；这本会是首个高于 80 的开放权重得分，但它是厂商自报且未经复现的。标价为每百万输入 token 1.40 美元，每百万输出 token 4.40 美元。

上方的计分板是发布前本页公布的泄露期预测——“>1T 参数（传闻）”那一行、未经证实的上下文和许可证、预测的 AA 指数。发布纠正了最大的单元格：GLM-5.3 复用了与 GLM-5.2 相同的 743B 底座，因此没有参数跃升。上下文窗口已确认是 1M，许可证也不再是当初那个悬而未决的问题——Z.ai 发布了一项自定义的“glm-5.3”许可证，而不是 GLM-5.2 和 GLM-5.3-Flash 使用的 MIT 条款。预测的指数单元格——本页自己给出的约 57–60 的猜测——是那种罕见的预测：在发布时的指数上正好落在 60；该实验室此后重述了该指数，而在当前的 v4.3.2 版本上，同一模型的读数是 45。没有改变的是那个悬而未决的问题：当该分数在自托管权重上复现时，会怎样。

上面的截图是 GLM-5.3 各项说法所对照的独立基线。GLM-5.2 曾在本页于 8 月读取到的那个指数版本上，以 Artificial Analysis Intelligence Index 53 分登顶开放权重排行榜。此后，这一基线已与其他所有模型的基线一同被重新表述：在该实验室当前的 v4.3.2 指数上，GLM-5.2 (Max) 读数为 34，GLM-5.3 (Max) 为 45——差距方向相同，幅度也大致相当——而 Kimi K3 (Max) 以 44 落后一分，MiMo-V2.6-Pro 以 46 领先。两项读数均为该实验室在自家测试框架上的自有测量结果，二者都不是厂商数据。

定价与可用性

GLM-5.3 的定价与 GLM-5.2 完全一致：每百万输入 token 1.40 美元，每百万输出 token 4.40 美元（国内列表价为 ¥8 / ¥28），缓存输入读取为每百万 0.26 美元 / ¥2。第三方模型列表上标注的发布日期为 8 月 18 日，Z.ai 于 8 月 19 日公开开放 API，目前已确认该模型可通过 Z.ai 自有 API、ZCode、AutoClaw、GLM Coding Plan 以及越来越多的第三方平台访问，并且——自 8 月下旬起——还可通过 Ollama 库访问，在该库中 GLM-5.3 被列为云端托管模型（glm-5.3:cloud），由美国和欧洲提供服务，且不保留任何数据。Perplexity Computer 是 Perplexity 面向长时间运行、多步骤任务的智能体平台，它在同一时间窗口内接入了 GLM-5.3，如今为智能体工作负载提供该模型。Ollama 上的该标签仅限云端，并非本地 GGUF，因此自托管路径仍要通过 Hugging Face 权重；规模较小的 GLM-5.3-Flash 现已在 Ollama 上拥有自己对应的云端条目。泄露阶段已经结束：可用性如今是已确认的事实，而不是需要追踪的传闻。有一项行为变化对 API 调用者很重要：现在请求必须启用“thinking”，且分为三个推理强度级别——低、高、最高——没有关闭开关，这对现有集成而言是一项破坏性变更。

Amazon Bedrock 现在也提供 GLM-5.3。AWS 于 2026 年 10 月 5 日发布了该模型——这也是其模型卡上的发布日——并在模型卡中将其描述为相同的专家混合（Mixture-of-Experts）设计，每个 token 激活约 40B 参数，与第一方 API 相同的 1M token 上下文窗口和 128K 输出上限，并且推理永久启用，可选择努力级别。该路径并非 Z.ai 端点的复制。Bedrock 仅通过跨区域推理提供 GLM-5.3：基础模型 ID（zai.glm-5.3）不接受区域内按需调用，因此请求要么通过美国地理配置文件（us.zai.glm-5.3），要么通过全球配置文件（global.zai.glm-5.3），而 AWS 在其列出的每个区域（包括四个美国区域）都将区域内推理标记为不支持。它增加的是模型周围的 AWS 表面——Invoke、Converse、兼容 OpenAI 的 Responses 和 Chat Completions API、Guardrails、Agents、Flows、结构化输出、模型评估，以及默认隐式或通过缓存点显式启用的提示缓存，缓存点至少 1,024 个 token，保留时间至少 30 分钟——外加标准服务层级，其中 Priority 相对 Standard 有 75% 的溢价，Flex 和 Batch 有 50% 的折扣。访问权限是关键：AWS 的公告称 GLM-5.3 在 Bedrock 上正式可用，但该公告和模型卡都将其限制为联系其 AWS 客户团队的有资格客户。企业路径存在；如今它并非自助服务。阅读 AWS 自己的页面时有一个数字要小心对待：模型卡将 GLM-5.3 列为 744B 总参数，随附公告列为 753B，而 Z.ai 和 Hugging Face 仓库说是 743B——同一个模型，三个总数，且没有一个经过独立测量。

每项任务成本，以及其背后的缓存命中率

同样的价格并不意味着同样的账单，而如今这一差异是被测量出来的，而不是推断出来的。Artificial Analysis 按第一方费率计算，GLM-5.3 (Max) 每完成一个 Intelligence Index 任务为 2.01 美元，而 GLM-5.2 (Max) 为 1.47 美元——费率表同样是 1.40 美元 / 4.40 美元，但在同一固定任务集上跑一遍，账单却高出 37%。有两件事可以解释这一点，而两者都出现在该实验室自己的模型摘要中。第一是体量：GLM-5.3 在 Intelligence Index 上花费 210M 输出 token，而可比开放权重模型的中位数为 140M，实验室称其非常啰嗦，而输出正是费率表中昂贵的那一侧。第二是速度：每秒 64.2 个输出 token，而中位数为 66.9，这慢于平均水平，并且在长时间智能体运行中，同样数量的 token 也意味着更长的实际耗时。这取代了本页此前给出的估算，该估算根据我们自己观察到的 token 使用量，将 GLM-5.3 定在每任务接近 0.68 美元，GLM-5.2 接近 0.44 美元。该实验室的数字全面高于这一估算，并且是应当引用的数字：它们是在固定任务数量下对十项评估的加权平均，而不是从某一工作负载中直接读取的结果。

端点造成的损失比模型本身更大。同一家实验室现在会为它在 GLM-5.3 (Max) 上追踪的每一家提供商——共 25 家——公布一列每任务成本，这一列从最便宜端点的 $0.92 一直延伸到最贵端点的 $8.68。在完全相同的权重、完全相同的基准测试和完全相同的推理设置下，这是 9.4 倍的差距。（9.4 倍是我们对该实验室公布的这一列数据所做的算术；页面本身用文字表述的是，每百万 token 的混合价格在各提供商之间“最高相差 4.4 倍”，输出速度的差异高达 1,152%。）这一差距丝毫不属于能力层面的发现——该实验室的端点准确率指数会针对每个端点重新运行 BFCL v4-500、HLE-250 和 AA-LCR-25，而在它评分的每个端点上，读数都在 95% 或以上，这意味着提供商损失的是一点点准确率，而不是模型。实验室指出的机制是缓存。每任务成本由输入、缓存命中、缓存写入、推理和答案 token 的价格计算得出，再除以任务数量，并按每个基准测试在指数中所占的权重加权——因此，一个每一轮都会把整段对话历史重新发送的智能体或编程循环，会为那段历史一遍又一遍地付费，每轮付一次，而其中由提供商提示缓存服务的比例，是影响总量的最大单一杠杆。Artificial Analysis 将该比例衡量为缓存命中率，将其定义为“在多轮智能体编程会话期间测得的、由提供商提示缓存服务的可缓存输入 token 所占的比例”，以最近四周的中位数形式报告（更新于 2026 年 9 月 26 日），并将其与每任务成本对照绘制成图。它给出的方向性结论才是这里的关键：命中率越高，就意味着越多输入按更便宜的缓存命中价格计费，从而降低智能体工作的实际成本。GLM-5.3 自身的缓存折扣在官方第一方价格下为 81%——每百万缓存输入 $0.26，对比每百万全新输入 $1.40——而缓存写入和存储另行计费，费率因提供商而异。关于证据有一点需要说明：各提供商的命中率是以图表而非表格形式呈现的，因此可以把这种差距归因于缓存这一机制，但不能据此为任何单一端点声称某个具体的命中率数字。

这首先是一个路由问题，其次才是定价问题，因为你能操作的变量是哪个端点来应答，而不是权重的成本。GLM-5.3 已在 OrcaRouter 上线，价格为每百万 token $1.40 / $4.40，按提供商自己的标价原样传递、零加价，因此提供商的价格或缓存条款一变，当天就会反映到你的账单上，而不是等到下一份合同。自动故障转移会把工作负载从性能退化的端点切到 GLM-5.2 或其他经过验证的模型，而这样的规则就写在路由 DSL 里。对于一个按任务成本如今会因端点不同而相差九倍的模型来说，低风险地找到属于你自己的数字的方法，就是切一小部分真实流量，并在后面放一个故障转移——在别人的智能体循环上便宜的端点，未必就是在你的上面便宜的那个。

Build Week 成为一个持续开展的系列——附带 1 亿免费 GLM-5.3 tokens

8 月 21 日，Z.ai 将其 ZCode Build Week 打造成一项持续举办的系列活动，并将社区誉为公司所称的一波基于 ZCode 和 GLM-5.3 构建的项目潮背后的功臣。为纪念此次重启，Z.ai 向 5 万名新 ZCode 用户每人赠送 1 亿个免费 GLM-5.3 token——先到先得，活动持续至太平洋时间 8 月 23 日下午 6 点（北京时间 8 月 24 日 09:00）——未使用的 token 将在活动结束时失效。该优惠及其条款均为 Z.ai 自行发布：属厂商单方面声明，不过此次赠送活动此后已被独立媒体报道。

这是周末构建的第二轮。第一轮于8月16日至17日进行，由于需求超出容量，在启动后约一小时内即被暂停——已领取的token不受影响，Z.ai此后已扩展其服务端。按50,000次分配、每次1亿token计算，宣传的最大发放量为5万亿token：这一获客数字同时也相当于对付费GLM-5.3 API所运行的同一服务基础设施进行实时压力测试。

这次发布将为你带来什么改变

对于已经在使用 GLM-5.2 的 API 调用方来说，实际步骤只是更改模型名称，而不是开展一个项目：GLM-5.2 兼容 O​penAI，集成可以直接沿用，但仍需注意上文关于思考强度的说明。对于自托管用户而言，等待已经结束。Hugging Face 上的官方 zai-org/GLM-5.3 仓库——创建于 8 月 25 日，并在 8 月 27 日至 28 日期间填充内容——现已承载完整的 743B 旗舰模型，分为 141 个 safetensors 分片，模型卡上将 SGLang、vLLM、TokenSpeed、Transformers 和 KTransformers 全部列为支持的部署路径。许可证是唯一真正令人意外的地方：Z.ai 声明的是自定义的 "glm-5.3" 许可证，而不是 MIT——它读起来像是 MIT 授权再加上一项条件：任何过去十二个月营收超过 100 亿美元的模型即服务业务，在商业使用前都必须通过 Z.ai 的安全审查。低于该门槛时，自托管和普通商业使用则没有此类门槛，不过在你依赖这些条款之前，具体条款仍值得一读。如果旗舰模型的规模超出你的集群所需，较小的 GLM-5.3-Flash 已于 8 月 26 日以 MIT 许可证发布其权重——这是一个独立的、原生多模态模型，而非旗舰模型。对于 Ollama 用户来说，旗舰模型现在距离该库自带的客户端只有一条命令之遥——ollama run glm-5.3:cloud——但该调用访问的是由美国和欧洲提供服务的云端托管模型，而不是本地拉取；目前还没有量化的本地标签。要在自己的硬件上运行 GLM-5.3，仍然意味着要使用 Hugging Face 权重并搭配 vLLM 或 SGLang 风格的堆栈。对于任何在 D​eepSeek V4 Pro、Qwen3.8-Max、K​imi K3、G​PT-5.6 Sol 和 C​laude Fable 5 这一梯队中比较模型的人来说，GLM-5.3 现在已是该排名中一个真实存在、可独立评分的变量，而不再是传闻。对于企业买家而非个人开发者而言，最新的选择是 A​mazon Bedrock，它于 10 月 5 日为符合条件的客户上架了 GLM-5.3——相同的权重和相同的 100 万 token 上下文窗口，以 AWS 合同形式交付，标价高于 Z.ai 自家的价格。

GLM-5.3 发布当日的论点是：编码前沿已经趋同——按照这种说法，对大多数日常任务而言，很少有用户能可靠地区分 G​PT-5.6 Sol、C​laude Fable 5、K​imi K3、GLM-5.2 和 Qwen3.8-Max。如果这种趋同属实，那么决定因素便不再是原始能力，而变成价格、开放性和切换成本——而这恰恰是 GLM-5.3 正在抢占的位置：每百万 1.40 美元 / 4.40 美元，基于可自托管的 743B 基础模型，其承诺的 8 月 28 日权重发布如今已经落地。编码模型是否真的可以互换，是一种观点，而非基准；但价格、参数规模和权重发布日期不是。

在路由方面，GLM-5.3 于8月18日在 OrcaRouter 上线，同日该模型也在更广泛的市场正式发布——按第一方标价每百万 tokens $1.40 / $4.40 直通，零加价。下面的截图显示的是 GLM-5.2 的页面，其当前形态与 GLM-5.3 完全一致：相同的价格、相同的 1M token 上下文、相同的 128K 最大输出。将一部分真实流量路由到 GLM-5.3，并自动故障转移至 GLM-5.2 或其他久经考验的模型，这只是一次配置变更，而非重写——密钥不变，也无需第二份合同。如果新模型在你的工作负载上表现退步，路由器会在翻页之间完成回退，你将从自己的流量中获得质量信号，而不是厂商的幻灯片。对于一个旗舰级声明仍主要来自厂商自述的模型而言，这是低风险地亲自验证的方式。

接下来看什么

• 开放权重版本现已正式发布：Z.ai 于8月28日予以确认，宣布该旗舰模型开放，并指向 Hugging Face 上的权重及一份技术深度解析。意外之处在于许可证——采用自定义的“glm-5.3”条款，而非 GLM-5.2 和 GLM-5.3-Flash 所使用的 MIT 条款——因此在自行托管前请仔细阅读其确切条款。Anthropic 于9月29日发布的评估是对该版本保障措施价值的第一份外部检验：它发现内置拒答可被一个掩护说辞、一段预填的思考内容或一个经过消融处理的副本所绕过，而消融变体在权重发布数日后便已在流传。

• 关于Ollama上是否跟进本地GGUF标签。目前库中将GLM-5.3列为仅限云服务；量化的本地标签将把自托管路径简化为Ollama用户的单条命令，而云标签仍是第二条服务路线。

• 六到七个月的网络能力差距会缩小还是维持不变。Epoch AI 现在在其 Cyber ECI 上将 GLM-5.3 列为开放权重模型中的第一，得分为 160.10，落后于得分为 171 的封闭前沿模型六到七个月——但这个数字依赖于三项 CAISI 基准测试，而这是该实验室针对该模型仅有的网络评估结果，并且 10 月的重新拟合已经让较旧模型的得分变动了数个百分点。第二个数据源，或由第三方重新运行 Z.ai 自己的测试框架，将是第一个不追溯至 CAISI 的核查。Anthropic 9 月 29 日的评估仍是另一份独立解读，它发现内置拒绝可借助一个掩护说辞、一段预填思考或一个经过消融处理的副本被绕过。

• Perplexity 关于 WANDR 的说法是否有数据支撑。GLM-5.3 在 WANDR 上超越 GLM-5.2 是 Perplexity 自家的基准测试和自测结果，尚未公布任何分数——独立运行将是第三方对该模型智能体研究性能的首次检验。

• 该指数在自托管副本上会落在何处。这个 45 是针对一个服务端点测得的；而自托管版本——现已可下载，并附有许可条款——才是团队实际会重新部署、独立实验室会重新跑基准测试的那个版本。该实验室已经重新发布过这一指数一次，所以预计这个数字还会再次变动。

• D​eepSeek V4 Flash 宣布的涨价——这划定了评判 GLM-5.3 时所依据的定价区间——以及闭源前沿模型的单任务成本如何与之同步：G​PT-5.6 Sol（max）在该指数上为 47，而 GLM-5.3 为 45，该实验室已将 Sol 标记为弃用，转而支持 G​PT-6 Sol。

• 正在进行的 Build Week 系列活动能否在高需求下保持健康运转——第一轮在一小时内就崩溃了，而该系列的形式使未来的每一轮都会成为对付费 API 所依赖容量的全新负载测试。

• 多模态泄露是否会固化为一款正式发布的模型。sglang 处理器的工作是代码层面的证据，表明旗舰产品线正在为图像输入做准备；Perplexity 针对 Computer 的“多模态智能体工作负载”宣传也指向同一方向——但这只是定位，而非已发布的模型，目前也没有任何多模态 GLM-5.3 被宣布或经过基准测试。在将其视为真实之前，请留意模型卡、文档页面或权重文件。

• Bedrock 的企业门槛是否会放开。AWS 的公告称 GLM-5.3 已在 Bedrock 上正式可用，而模型卡却将其限定为需联系 AWS 客户团队方可使用的合格客户，并且完全不支持区域内推理——每个请求都要跨区域，或走美国地理配置，或走全球配置。决定哪些企业本月能调用它的，是这道门槛，而不是区域列表。

常见问题

GLM-5.3 是比 GLM-5.2 更大的模型吗？

不。Z.ai及其联合创始人唐杰均表示，GLM-5.3与GLM-5.2使用相同的7430亿参数混合专家（Mixture-of-Experts）底座，具有相同的100万token上下文窗口，每个token约激活400亿参数。所有报告的提升均来自后训练阶段——唐杰将这一变化描述为在未改变的底座上叠加一个月的长视野强化学习——而非参数增加，这直接纠正了泄露时期关于底座超过一万亿参数的传言。该架构说法仍是创始人及公司自身的表述，未经独立审计。

GLM-5.3的开放权重何时可用？

它们上线了。Hugging Face 上官方的 zai-org/GLM-5.3 仓库——创建于8月25日，权重文件在8月27日至28日期间推送——现已托管完整的743B旗舰模型，落地于8月28日这个Z.ai自发布以来一直坚持的日期。Z.ai本身也在8月28日宣布了这一发布，宣告权重开放，并指向Hugging Face仓库和一份技术深度解读。许可证现在也已明确：一份自定义的"glm-5.3"许可证，而非GLM-5.2和GLM-5.3-Flash所使用的MIT条款——大致相当于MIT授权，但对大型MaaS提供商附加了安全审查条件，因此在依赖这些条款前请阅读确切条款。Z.ai还另行表示，敏感的网络功能将限制在经验证用户的"可信访问"计划中。

我应该如何处理基准数字？

把这份清单分成三类。Z.ai 自己的数字——编码能力的跃升（Terminal-Bench 3.0 为 28.3，DeepSWE v1.1 为 66.9，SWE-Marathon 为 42.5）以及网络安全结果（CyberGym 84.5%，ExploitBench 54.4%）——来自该公司公告，在独立评测框架复现之前仍属厂商自报。独立这一类才是如今权重所在：Artificial Analysis 的 Intelligence Index——在当前 v4.3.2 版本上，GLM-5.3 (Max) 为 45，相比之下 Kimi K3 (Max) 为 44，GLM-5.2 (Max) 为 34——其针对同一模型的按端点每任务成本列，在其追踪的 25 家提供商中从 0.92 美元到 8.68 美元不等；Anthropic 的 Frontier Red Team 在 ExploitBench 上的测量（410 个端到端漏洞利用中的 50 个）及其内部二进制漏洞利用基准（4% 的完整控制流劫持）；NIST 的 CAISI 于 9 月 17 日的评估；以及 Epoch AI 于 10 月 16 日发布的 Cyber ECI，其将 GLM-5.3 定在 160.10——在开放权重模型中排名第一，落后于达到 171 的闭源前沿六到七个月，不过该估计建立在三项 CAISI 基准以及 Epoch 自身的模型识别与区间保留说明之上。Perplexity 关于 GLM-5.3 在 WANDR 上击败 GLM-5.2 的说法，则自成第三类——别人的基准，别人的说法，未公布任何分数。独立数字才是应与 Z.ai 的数字相权衡的，而成本和缓存数据是该实验室对自家评测框架的测量，而非厂商输出。

为什么在某些服务商那里运行 GLM-5.3 的成本会比在其他地方高这么多？

由于每项任务的成本主要由提供商能从其提示缓存中服务多少对话内容决定，而 token 定价差异则叠加在其上。Artificial Analysis 根据输入、缓存命中、缓存写入、推理和回答 token 的价格计算出该数值，再除以任务数量，并按每个基准在 Intelligence Index 中的权重进行加权。Agentic 和编码类工作负载每一轮都会重新发送整个对话历史，因此提示中可缓存的部分会被反复计费，而提供商以缓存方式而非按完整输入价格服务的比例，是影响总成本的最大单一杠杆。缓存写入和缓存存储按提供商各自的费率单独计费。在 GLM-5.3 (Max) 上，该实验室追踪的 25 个端点中，最终得出的这一数值跨度从 $0.92 到 $8.68——在相同权重和相同基准下约为 9 倍，这正是为什么成本决策取决于端点，而非模型。

我可以通过 Ollama 在本地运行 GLM-5.3 吗？

还没有。GLM-5.3 已列在 Ollama 库中，但仅作为云端托管模型——glm-5.3:cloud，由美国和欧洲提供服务，且零数据留存。目前没有本地 GGUF 标签，所以现在运行 ollama run glm-5.3:cloud 会调用托管模型，而不会把副本下载到你的机器上。自托管路径仍然是 Hugging Face 权重配合 vLLM 或 SGLang 风格的堆栈，而云端标签是为已在用 Ollama 的读者提供的第二条服务路线。

泄密是真的，发布会确认了名称、叙事框架和时间点——两个月后，Z.ai 作为其公告核心的网络能力，已被两家外部机构测评，并被第三家排名。Anthropic 的 Frontier Red Team 认为，在端到端漏洞利用开发上，GLM-5.3 距离 Claude Mythos Preview 只差几次尝试；称该模型对于开放发布而言能力异常出众，并补充了一个对部署者更为重要的发现：防护措施确实存在，但流于表面，而权重可下载，因此拒答只是一种配置，而非保证。NIST 的 CAISI 从另一个方向得出了相容的结论——迄今最佳的开源权重网络模型，大约落后美国前沿四个月。Epoch AI 现将这一结论转化为一个排位：在其 Cyber ECI 上得分 160.10，位居开放权重模型之首，高于 OpenAI 的 GPT-5.4，落后 Anthropic 的 Claude Opus 5.5 与 OpenAI 的 GPT-6 Astra（171 分）六到七个月——这个数字最终建立在三项 CAISI 基准之上，并且对此坦诚。Artificial Analysis 提供了第四项外部测评，而这是一项成本测量：按第一方费率，每项 Intelligence Index 任务 2.01 美元；同一任务根据不同端点应答，成本在 0.92 美元到 8.68 美元之间。厂商数字终究还是厂商数字，许可证仍是自定义的，旗舰系列是否会走向多模态也仍未有定论。已经改变的是，开放与闭源网络能力之间的差距，不再是读者必须凭信念接受的东西——它是一个已公布的数字，其方法可供检视。要弄清该模型在你的工作上表现如何，最便宜的办法仍然是用一小片真实流量，并配置故障转移到某个经过验证的模型。

这一类开放权重模型背后有记录的 AI 事件与智能体故障，均收录于the OrcaRouter AI Incident Archive，其中每条记录都带有各自的来源、严重程度、置信度等级和争议标记。