今天我们发布 GLM-5.3。与 GLM-5.2 相比，基座模型没变，但通过极致的后训练 Scaling 大大提高了模型的智能上界：数十倍的长程任务环境、更丰富多样的环境类型、超长的后训练时间。我们发现充分的模型后训练涌现出超出预期的模型能力。相比前代，GLM-5.3 的新能力包括：
- 更强的编程能力。GLM-5.3 是编程能力最强的开源模型，在内部自建体感评测中较 GLM-5.2 提升 50%，在包括 Terminal Bench 3.0、Agents' Last Exam (CLI) 在内的公开基准测试中取得开源第一。
- 网络安全能力。在白盒代码审查与漏洞发现等安全任务中，GLM-5.3 的表现持平 Mythos 5，展现出面向网络安全防御场景的强大潜力。
- 后训练 Scaling。上述全部提升都来自后训练。基于 IndexShare、SAO，以及持续演进的新一代 Slime 框架，我们在与 GLM-5.2 完全相同的基座上高效推进强化学习，可能我们还远未开发出这个基座的智能上界。
- 开源。我们将在发布两周后开放模型权重，此前完成安全评估与模型加固。
即日起上线智谱官方编程工具 ZCode、效率工具 AutoClaw，上线 GLM Coding Plan 全量用户及开放订阅。TraeWork / TraeCode / 扣子、WorkBuddy / CodeBuddy、Qoder / QwenWork、CatPaw、JoyCode、OpenCode 等编码平台开放抢先体验。API 很快上线，完整模型权重将在两周内开源。此前需完成必要的安全加固，尽可能限制其潜在攻击能力，保留其防御价值。
技术 Blog：https://z.ai/blog/glm-5.3。
强大的编程
在多项主流基准测试中，GLM-5.3 是当前排名最高的开源模型，编程与智能体能力接近 Claude Fable 5，编程体感超过其他国产模型。
在衡量模型于真实终端环境中完成复杂任务的 Terminal-Bench 3.0 上，GLM-5.3 得分从 4.6 提升至 28.3；在聚焦长程软件工程与持续代码修改能力的 DeepSWE v1.1 上，得分从 46.2 提升至 66.9；在覆盖多类真实专业场景、强调跨工具协作与长程任务的 Agents' Last Exam 上，得分从 23.8 提升至 28.5。在覆盖 44 种职业、考察真实高价值知识工作的 GDPval-AA v2 中得分 1769，展现基于编程能力涌现的专业任务执行能力。
整体来看，GLM-5.3 在复杂软件工程、终端操作和更广泛的真实世界 Agent 任务上均取得非常显著的进步。
自研的 Z.ai Code Bench 评估模型在真实编程场景中的综合体感。模型会被置于复杂的本地开发环境，并在不同思考档位下执行端到端任务，更接近开发者实际使用 Coding Agent 时的体验。
测试结果显示，GLM-5.3 在效果和 Token 利用率之间取得了更好的平衡。在 High 档位下，GLM-5.3 达到 31.4% 的准确率，超过 Claude Opus 4.8 最高档位的 29.5%，每项任务平均输出约 5 万 tokens，而 Opus 4.8 需要约 12 万 tokens，意味着 GLM-5.3 可以用更短的执行路径完成任务。
GLM-5.3 训练过程中，我们不只让模型完成编程题，而是把训练环境扩展到更接近真实专家工作的完整流程，有些任务的工作量相当于一位工程师连续数天的工作。以机器学习优化任务为例，模型使用与算法工程师相同的计算集群、存储系统、内部文档、代码库和实验结果，端到端实现可量化的提速。
在这样的环境中训练，模型学到的不只是单向执行指令，而是从发现问题开始，推进分析、实施验证，最终独立完成工作。
涌现的网络安全能力
在任务环境不断扩张的过程中，我们观察到模型在网络安全领域的表现超出预期。安全能力的出现并不偶然，安全工作本质上是约束严格的编程能力。我们从 2025 年 9 月开始在这个方向投入研究，在 GLM-5.2 与 GLM-5.3 的研发过程中，与国内多家头部安全实验室一同推进更多长程任务环境，构建更专业化的评测与执行框架（harness）。
从任务链条看，网络安全能力大致包括代码审查、漏洞验证、漏洞利用以及真实环境中的攻防闭环。我们选取了覆盖漏洞分析、验证和利用不同阶段的三个基准，对 GLM-5.3 的网络安全能力进行了全面评估。GLM-5.3 当前优势主要集中在前半段。
在 CyberGym 测试中，模型从白盒源代码出发，通过触发程序故障来识别和验证漏洞。GLM-5.3 得分为 84.5%，高于 GLM-5.2 的 77.2%，也略高于 Mythos 5 的 83.8% 和 GPT-5.6 Sol 的 83.6%。
在更考验深度推理能力的 ExploitBench 中，模型需要进一步理解真实漏洞的成因，并完成相应的利用。GLM-5.3 得分为 54.4%，是 GLM-5.2（24.4%）的两倍多，但仍低于 Mythos 5 的 78.0% 和 GPT-5.6 Sol 的 76.5%。
ExploitGym 考察模型在限定时间内能够完成多少漏洞利用任务。按吞吐量对预算进行归一化后，GLM-5.3 在两小时内完成 105 项任务，六小时内完成 130 项，相对于 GLM-5.2 分别完成 29 项和 39 项提升巨大。Mythos 5 仍然领先，两个时间段分别完成 181 项和 247 项。
三个基准呈现出相同的趋势：越接近漏洞利用链的前端，GLM-5.3 相较 GLM-5.2 的提升越明显；越深入完整利用，模型与 Mythos 5 等闭源前沿模型之间的差距也越大。换句话说，GLM-5.3 进步最快的方向，正是当前仍需要重点追赶的方向。
安全评估成果
从 GLM-5.2 发布以来，我们联合国内清华大学、南开大学，以及云起无垠、绿盟科技、赛博昆仑、DARKNAVY、华顺信安、奇安信、安恒信息、元序星核、腾讯玄武、云鼎实验室等多家安全团队，开展了密集的红队测试与安全评估。累计发现漏洞 2,436 个（经过初筛、去重），其中 1,097 个为中高危，许多漏洞多年来甚至几十年都未被发现，最早可追溯至约 45 年前。
代表性漏洞覆盖系统内核、操作系统、浏览器引擎、开源基础组件、互联网应用与互联网协议等 269 个项目。这些发现已发展成为一项持续的漏洞发现和披露工作，相关漏洞已陆续提交 CNNVD / CNVD 等国家漏洞库。为提高披露过程的透明度，我们建立了 Z.ai 安全披露账本，记录漏洞从发现、确认到修复的进展。参考 Zerodium、Crowdfense、Apple Security Bounty、Pwn2Own 等公开报价，这些漏洞创造的经济价值达 3000 万元。
开源的盾
Hugging Face 官方披露事件给出的警示是：如果强大的攻击能力正在扩散，防守能力就不能只在少数闭源模型公司。随着 GLM-5.3 的发布与开源，我们同步启动「开源的盾」计划：对重点开源项目开展持续安全审计，向开源社区免费提供模型额度，并在 ZCode 中提供代码审计功能。当最强的矛被锁在少数人手里，最好的盾必须属于所有人。
追凶 Neo
2026 年 7 月，一台位于巴西的临时文件服务器进入 Ferret 的监测范围。Ferret 是 GLM-5.3 首批合作伙伴 FOFA 的追踪分析引擎。GLM-5.3 很快发现，这并不是一台普通服务器，目录中出现了大量攻击基础设施信息。继续分析后，一个名为 Neo 的 AI Agent 浮出水面，其目标是攻击会计师事务所、税务服务公司和记账机构。
不到两个月，它管理着 4 台服务器、7 个域名、6 万个邮箱和 100 多个脚本，发出 18567 封钓鱼邮件。面对数千个开放目录和高度碎片化的攻击线索，GLM-5.3 提取关键线索，关联攻击，并辅助安全研究人员还原整条攻击链。
有责任的开源
随着模型能力提升，我们同步强化安全体系，以便先进智能能够继续广泛发挥作用，同时对最高风险用途施加更严格的审查。针对 GLM-5.3，我们构建了迄今为止最稳健的风险审查系统。它采用分层设计，横跨外围 API 到模型内部：
- 外层分类器：用轻量模型标记并拦截大规模滥用请求。
- 推理监控器：在模型推理过程中实时审查任务意图，判断是否存在潜在危害。
- 深度安全对齐：让模型从根本上自主识别并拒绝攻击性请求，这也是开源权重场景下唯一仍然有效的防线。
审查系统抑制高安全风险的攻击性滥用，但不牺牲实验性质、防御性质和教学性质的使用。模型最敏感的能力仅通过「网络安全受信访问」计划保留给经过验证的用户使用。在正式开源前，我们也邀请国内顶级安全团队对模型的风险任务能力进行专业评估。DARKNAVY 团队评估认为，该模型在风险防护与能力释放之间取得了良好平衡，相比前代模型显著提高了未授权恶意滥用的门槛。
随着 GLM-5.3 的发布及开源，安全防御能力将不再是少数机构的特权，而是全球开发者都能平等获得和共同完善的公共能力。