開源權重逼近網絡前沿

英國人工智慧安全研究院（AISI）近日首度公開評估開源權重AI模型在網路攻防能力上與頂尖封閉系統的差距，結果顯示這個鴻溝正快速縮小。最新一代開源模型在特定網路任務上的表現已經追上幾個月前的封閉前沿模型，然而極低的運作成本與幾乎可忽略的安全防護，也讓濫用風險隨之大幅升高。根據AISI發布的報告，截至今年中，開源權重模型與封閉系統之間的能力落差已降至四到七個月，相較於2025年多數時間仍維持六到十個月的差距，進展相當顯著。研究人員指出，這代表網路防守者能夠因應新威脅的準備時間正在被壓縮，而開源模型的特性又使得安全機制難以強制執行，形成一道難以忽視的漏洞。

為了衡量實際能力，AISI採用兩種不同評估方式。第一種「狹義網路任務」涵蓋70道題目，橫跨四種難度等級，從非技術操作到專家級挑戰，內容包含漏洞研究、逆向工程、網站入侵與密碼學。在這項測試中，2026年6月釋出的GLM-5.2表現與2026年2月的Opus 4.6相當，落後約四個月的時間；DeepSeek V4-Pro則達到2025年11月的Opus 4.5水準，差距約五個月。相較於2025年初兩者仍有六到十個月的距離，開源模型的追趕速度明顯加快。第二種評估方式稱為「網路靶場」，模擬真實企業網路的攻防場景。

其中一項名為「The Last Ones」的劇本，設計了32個攻擊步驟，目標是一個含有四個子網路、約20台主機的企業環境。AISI估計，人類專家大約需要20小時才能完成這套攻擊流程。結果顯示，GLM-5.2的表現接近Opus 4.5，而DeepSeek V4-Pro則略低於Sonnet 4.5。封閉模型中表現最佳的是GPT-5.6-Sol，其次是Claude Mythos 5，兩者幾乎能完成整個模擬。在網路靶場項目中，開源與封閉模型的差距擴大至約七個月。

不過AISI坦承這項結果的證據強度較低，因為測試場景的數量較少，也無法斷定模型失敗的原因究竟是缺乏網路攻防能力，還是無法在漫長且複雜的攻擊過程中維持規劃與執行。研究團隊補充說，這些測試可能略為低估開源模型的實際水準，因為受測模型並未針對特定評比進行調校；同時模擬環境也省略了真實世界中可能存在的主動防禦系統，與實際攻擊場景仍有差距。成本差異是這次評測中最令人印象深刻的發現之一。AISI指出，一次耗費一億個Token的網路靶場測試，使用Opus 4.5或4.6的成本約為85美元，GLM-5.2約需46美元，而DeepSeek V4-Pro僅需1.19美元。

若聚焦在兩款模型都能穩定解決的個別任務，Opus 4.6每項任務的成本約15美元，GLM-5.2約6美元，Opus 4.5約12.5美元，DeepSeek V4-Pro更只需0.28美元。低廉的成本意味著利用開源模型發動網路攻擊不僅可行，而且很容易規模化。安全防護方面，報告指出開源模型的安全措施幾乎無法發揮作用。DeepSeek V4-Pro偶爾會拒絕逆向工程相關任務，但只要重新嘗試一次就能繞過限制。AISI強調，依賴存取控制才能運作的監控機制、分類器與使用限制等手段，在開源權重模型上根本無法可靠複製，因為模型一旦釋出就脫離了開發者的掌控。

這類風險並非開源模型獨有，近期已有研究顯示恐怖組織也能透過越獄手法突破商業聊天機器人的防線，但開源模型的存在無疑多添一層威脅。AISI將開源與封閉模型之間的能力落差視為一道準備窗口：在這段時間內，能夠使用最強封閉系統的防守者可以搶先部署防禦，等到相同能力以開源形式免費擴散時才不至於措手不及。然而近期一連串發展正讓這道窗口變得更加緊迫。2026年4月，Mythos Preview與GPT-5.5兩款封閉模型在AISI測試中創下網路攻防能力的最大單次躍進，英國國家網路安全中心隨之向國際發出警告，指出網路威脅格局正在快速轉變。這股趨勢能否持續仍待觀察。

AISI計畫在7月底測試即將釋出權重的Kimi-K3模型，現有的程式設計評比顯示該模型可能更加接近當前的前沿水準，不過其運作成本也遠高於其他開源模型。無論如何，開源權重模型的快速追趕已經為AI安全治理帶來全新挑戰，如何在開放與風險之間找到平衡，將是監管機構與開發社群未來無法迴避的課題。