微软一口气致谢 23 个漏洞：顶级白帽古河用智谱 GLM 挖洞，还有 9.8 分严重漏洞

安全圈有个名字，常年霸榜微软的漏洞致谢名单。而这次，他出现在微软漏洞记录里的署名，多了三个字：用 GLM。10 月 15 日，媒体披露微软最新一轮安全更新中，有 23 个 Windows 漏洞的发现与智谱 GLM 辅助的安全研究有关，其中包含一个 CVSS 评分高达 9.8 的严重漏洞。

一分钟速览

• 微软最新安全更新中，23 个 Windows 漏洞的发现与 GLM 辅助研究有关
• 公开记录中研究者署名为”Yuki Chen using GLM from z.ai”
• 其中包括一个 CVSS 评分 9.8 的严重漏洞
• 知名白帽古河（Yuki Chen）宣布加入智谱
• 这已不是 GLM 首次在漏洞挖掘上立功，此前曾联合安全团队在 269 个项目发现 2436 个漏洞

深度分析

白帽用 AI 挖洞，意味着什么

过去，发现复杂漏洞高度依赖安全专家的经验：要熟悉系统架构、读懂大量代码、寻找异常行为，再通过测试验证漏洞是否真实存在。这是一项门槛极高、极耗时间的工作。古河拥有超过 15 年攻防研究经验，曾在 2019 年、2021 年至 2024 年五次登顶微软 MSRC 最具价值安全研究者年度榜单，还两度拿下有”黑客奥斯卡”之称的 The Pwnie Awards。

这样一位站在传统安全研究顶端的人，选择用 GLM 挖洞并把职业生涯下一站放在智谱，对模型的安全能力本身就是一种背书。AI 在这里承担的角色是辅助：阅读大规模代码库、分析函数调用关系、发现潜在异常，再借助工具完成验证。

GLM 的安全能力，已经不是第一次被检验

据智谱此前披露，今年 6 月 GLM-5.2 发布时，团队曾联合多支安全团队在真实代码库上做漏洞挖掘，在 269 个项目中发现 2436 个漏洞，其中 1097 个为中高危。8 月 GLM-5.3 发布时，团队在训练中引入漏洞发现相关的数据与环境，在白盒漏洞验证基准 CyberGym 上取得 84.5% 的成绩，高于 GLM-5.2 的 77.2%。

第三方评估也给出过参照：NIST 下属 CAISI 的报告曾将 GLM-5.3 评为当时网络安全能力最强的开放权重模型，但同时指出，其在综合网络安全能力上与同期美国最前沿模型仍有差距，按其评估方法估算大致落后约四个月。

数据支撑

• 本次致谢漏洞数：23 个，最高 CVSS 9.8
• GLM-5.2 挖洞成绩：269 个项目、2436 个漏洞，其中 1097 个中高危
• CyberGym 成绩：GLM-5.3 为 84.5%，GLM-5.2 为 77.2%

趋势洞察

网络安全正在成为大模型厂商的新战场。OpenAI 推出了 Codex Security，Anthropic 联合多家公司发起 Project Glasswing 并投入最高 1 亿美元模型额度，微软也在用多模型与 Agent 的组合探索自动化安全。谁能把”发现漏洞”这件事做得又快又准，谁就在企业市场多了一张硬通货。而顶级白帽流入模型公司，说明这场竞争已经开始抢人。

结语

23 个漏洞的致谢名单里，第一次出现了一个模型的名字。这或许是一个信号：挖洞这件老手艺，正在被重新定义。