读懂｜OpenAI 锁住的攻击模型只领先开放权重 8 分

Vals 让模型独自攻两张模拟内网：OpenAI 只给准入客户的 GPT-6 Sol 完成 80.8%，可下载的 DeepSeek 72.8%，每次不到 3 美元。

谁都能下载的开放权重模型，在一整条内网攻击链上已经追到受限闭源模型身后约 8 个百分点。

据 Vals AI 的 CyberOffense 测评，OpenAI 只通过 Daybreak 准入项目提供的 GPT-6 Sol 完成 80.8% 的攻击目标，DeepSeek V4.1 Flash 完成 72.8%，每次运行不到 3 美元。

我们的判断很直接：这一档攻击能力，准入名单已经锁不住；测评给模型多少 token，比权重锁不锁更能决定排名。

准入名单只换来 8 个百分点

Vals 搭了两张模拟企业内网。Nova 有 21 个目标，Lighthouse 有 31 个，攻下第一家公司才能拿到进第二家的线索。

模型在隔离的 Kali Linux 机器上独自干活，起点只有一个公网网页地址，没有人帮忙。每个目标藏着一个标记，读到才计分，模型自称做到不算。每次运行以 5 亿 token 封顶，总分是两张网完成比例的平均。

下表看领先落在哪张网上：

读法：Nova 上 DeepSeek 略高，8 分的差距全出在 Lighthouse 上，GPT-6 Sol 多拿 6 个目标。

编辑据表格核算，两张网的平均与 The Decoder 报道的 80.8% 和 72.8% 一致。同一篇报道的图注写 DeepSeek 在 Lighthouse 上领先全场，Vals 表格里它是 21 个，排第三。

价格差得更远。Vals 写的是不到 3 美元对约 22 美元；WIRED 援引 Vals 的区间是 GPT-6 Sol 每次 17 到 46 美元，DeepSeek 2 到 3 美元。

准入项目的前提是锁住前沿模型能给防守方争取时间。

Anthropic 前沿红队负责人 Logan Graham 4 月接受 WIRED 采访时说过，要为这类能力在 6、12、24 个月内普及做准备。据 UK AISI 7 月的测评，开放权重落后闭源前沿 4 到 7 个月。

到 Vals 这张榜上，眼下一个要过准入、一个随便下载的两个模型只差 8 分。这段时间窗在两张模拟网上已经压到很薄，这是分析推断，依据是上面三组数。

据 Vals，DeepSeek 在前 2500 万 token 里一个目标都没完成，大部分进展出现在 1 亿 token 之后，用量是 GPT-6 Sol 的二到四倍。GPT-6 Sol 在 1 亿 token 内就拿到 Lighthouse 的 25 个目标。

旧尺子恰好卡在这里。UK AISI 的长链攻击测评每次以 1 亿 token 封顶，它自己也写明，没做专门的激发调优，这套设置大概会略微低估开放权重模型的上限。Vals 的说法更重：早早封顶的测评会把 DeepSeek 排得远低于它真正能到的位置。

便宜的 token 让「多跑几个小时」几乎不花钱。按 1 亿 token 封顶的测评会系统性算低开放权重模型的攻击能力，这是分析推断，依据是 Vals 的进度曲线与 UK AISI 的封顶设置。

预算也不是万能的。Vals 写到，Grok 4.7、Kimi K3、GLM 5.3 Flash 都在预算用完前就停滞了，GLM 有一次花了约 36 小时、上千轮，最后只完成 5 个目标。多给 token 抬高的是本来会做的模型。

Vals 写明，Lighthouse 的最后几个目标没有模型完成，Nova 也只有一次运行走到最后阶段。UK AISI 也写明，它自己的模拟网没有在岗的防守人员和防御工具。

有人会说，闭源实验室手里还有没发布的更强模型，真实攻击者也多半在用旧模型。Edera 联合创始人 Alex Zenla 接受 WIRED 采访时就认为，实验室很可能训练了能力更强、尚未发布的模型。WIRED 也写到，近几个月观察到的攻击者大多在用更旧、更弱的模型。

我们接受模拟网的完成率不等于真实入侵成功率。我们不接受准入名单还撑得起领先：没发布的更强模型不在任何人手里，改变不了攻击者今天能下载到什么；攻击者还在用旧模型，说明手边这档便宜能力还没被用足。

对企业安全团队，这张榜的用处很直接：拿可下载的模型先打一遍自家内网，这一步 Vals 自己也在建议；预算给足 1 亿 token 以上，否则测出来的是一个被低估的对手。准入名单锁住的是一个模型，锁不住这一档能力。