思畅 AI
返回博客
无审查模型角色扮演

花 1,200 美元拆掉 GLM-5.3 的拒答：读懂 Anthropic 报告，和我们上线无审查版的 11 天

9 月底，Anthropic 的前沿红队发了一篇关于智谱 GLM-5.3 的长文。中文圈转得很多，标题大多落在「开源模型的网络攻击能力逼近闭源前沿」上。

那是文章的主线。但里面还有一组数字，对写东西的人更重要。

Anthropic 测出来的四个数

他们用 abliteration 处理了 GLM-5.3，然后量了处理前后的差别：

  • 拒答率：在 JailbreakBench 和 HarmBench 上从 90% 以上降到 2%～3%，在 StrongREJECT 上降到 12%；
  • 能力：GPQA-Diamond 这类能力测试的分数没有变化；
  • 成本：他们自己花了约 2,200 个 GPU 小时，约 4,400 美元；估计熟练的团队 600 个 GPU 小时、约 1,200 美元就能做完；
  • 速度：GLM-5.3 发布后几天之内，就已经有好几个开发者放出了 abliterated 版本。

abliteration 的原理我们 6 月写过一篇：《AI 明明会写却不写？聊聊 Heretic 和 uncensored model》。一句话概括：模型准备拒绝你的时候，内部会沿着一个固定的「拒绝方向」激活。找到这个方向，从权重里把它投影掉，模型就不再往那边走。整个过程不用重新训练。

那篇文章的核心论点是「拒答是装上去的行为，不是能力的上限」，当时只能拿一个 20 亿参数的小模型举例。这一次是一家头部实验室，在一个前沿规模的模型上，把这件事量化了：

拒答率掉了一个数量级，能力测试一分没掉。拆掉刹车，车没变慢。

这组数字对普通用户意味着什么

第一，「无审查版」不是阉割版。 很多人默认，去掉安全限制的模型一定会变笨、变胡言乱语。Anthropic 的 GPQA 结果说明，至少在 GLM-5.3 这个量级上，处理得当的 abliteration 几乎不伤能力。

第二，它不是某家的独门手艺。 1,200 美元、几天时间、公开的方法。这意味着每一个强大的开源模型发布之后，都会很快出现 abliterated 版本。Anthropic 是把这当作风险来写的，但对创作者来说，这也意味着「好用的无审查模型」会持续跟上前沿，而不是永远落后两代。

第三，拆掉的是模型自己的那一层，不是全部。 拒答率降到 2%～3%，不是 0%。abliteration 是一次「拆多少」的取舍：拆得浅，残留的拒答就多；拆得深，又有把模型「洗傻」的风险。所以同一个基座、不同的人处理，手感会不一样。这也是为什么我们之前说，挑模型要看实际表现，不能只看名字。

GLM-5.3 无审查版在思畅：11 天的账

思畅 10 月 3 日上线了 GLM-5.3 无审查版，10 月 7 日又上线了更便宜的 GLM-5.3 Flash 无审查版。两个都是基于 GLM-5.3 的 abliterated 版本。截至 10 月 14 日：

GLM-5.3 无审查版Flash 无审查版合计
上线天数11 天7 天
调用次数3,8441,8565,700
用过的人294160391

几个我们自己也没想到的地方：

  • 几乎全是老用户换过来的。 391 人里有 335 人（86%）在第一次用 GLM-5.3 之前，已经在思畅用别的模型聊过天。它不是靠新鲜感拉来的流量，而是老用户试过之后的选择。
  • 试了就留下的不少。 114 人在两天以上用过它，101 人用了 10 次以上。
  • 一周就吃到了全站对话量的 5%。 10 月 7 日到 14 日，所有对话请求里有 5.0% 走的是这两个模型。
  • 用户拿它写长东西。 完整版有 19.4% 的请求上下文超过 3.2 万 token，单次最长到了 8.3 万。这是长篇连载、长期角色扮演才会出现的长度。

完整版和 Flash 版怎么选

两者都基于 GLM-5.3，区别在尺寸。下面是 10 月 7 日至 14 日的实测，两个模型都有 96% 以上的请求记录了首字时间：

GLM-5.3 无审查版Flash 无审查版
每条消耗12 积分3 积分
首字时间中位数1.7 秒1.3 秒
慢的那 10%3.6 秒以上11.5 秒以上
单条回复长度中位数约 980 token约 610 token
思考每次都先深度推理不思考，直接回复

简单说：

  • 日常陪聊、短对话、预算敏感，选 Flash 版。价格是完整版的四分之一，平时开口更快。
  • 长篇续写、复杂人设、需要剧情前后连贯，选完整版。它每次都会先想再写，回复长出六成，速度也更稳。

关于那篇报告的另一半

Anthropic 那篇文章的主体是网络安全。GLM-5.3 在他们的漏洞利用测试里接近其闭源前沿模型：子集上 12% 对 14%，模型开发方自己在完整基准上报的是 54.4% 对 78.0%。美国 NIST 的评估把它列为迄今网络能力最强的开源权重模型，落后美国前沿约四个月。

吴恩达在 The Batch 第 373 期里给了一个更乐观的视角：防守方同样能用上这些开源模型，长期看防守方掌握的信息更多，更占优势。

这一半跟创作无关，我们不展开。我们也不打算把 GLM-5.3 当作安全研究工具来推荐。思畅是一个创作平台，这个模型在这里的用途是写故事、演角色。

写在最后

Anthropic 那篇报告把一件事算清楚了：一个前沿模型的拒答，拆掉只要一千多美元，而且几乎不掉能力。它把这当成警告来写，这个视角有它的道理。

但这件事还有另一面：模型自带的刹车从来就不是能力的边界，只是一个默认值。默认值可以改，而改完之后的那个模型，391 个用户已经用了 5,700 次。

思畅愿意把这个选择交给成年人，只守一条红线，写在《关于未成年保护这条红线》里。想亲手试试，GLM-5.3 无审查版和 Flash 版都已经在模型列表里了。

延伸阅读