AI 网络攻击，是不是只有最贵的前沿模型才玩得转？Ensign InfoSecurity 的一项测试给出的答案偏向“不一定”：十款模型里，中国的 DeepSeek V4 Pro 价格最低，却换来了最高的“每花费成功率”，价格不到 OpenAI GPT-5.6 Sol 的二十分之一。
结果出自 Ensign 的《2026 年网络威胁态势报告》里的 AI 网络靶场评估。Ensign 从 150 多个模型中挑出得分最高的十个，各自对一个由终端检测与响应（EDR）保护的模拟大学网络运行 16 次，所有模型拿到相同的指令和相同的八个攻击目标。
测试结果一览
| 模型 | 每 1 亿 token 价格 | 表现 |
|---|---|---|
| GPT-5.6 Sol | 1250 美元 | 八个目标中七个达到“高成功”；每千美元成功得分 75 |
| GLM-5.2（智谱 Z.AI） | 230 美元 | 与 GPT-5.6 Sol、Claude Opus 4.8 一样，七个目标达“高成功”，每美元结果超过五倍 |
| DeepSeek V4 Pro | 57 美元 | 四个目标“高成功”、四个“部分成功”；每千美元成功得分 1097，约为 GPT-5.6 Sol 的 15 倍 |
这里的“高成功”指 16 次运行中至少成功 8 次，token 是模型读写文字的基本单位。十款模型整体来看，攻入网络学习门户的平均可靠率是 100%，攻陷数据库为 90%，是测试中最高的两项。
风险的两种形态：抬高天花板，拉低地板
Ensign 马来西亚国际与商业高级总监 Jeremy Moke 在接受 Tech Wire Asia 邮件采访时说：“像 GLM-5.2 这样逼近前沿的模型，抬高了有能力的对手能做到什么的天花板；而 DeepSeek V4 Pro 这种低成本‘够用’的模型，则拉低了谁都能尝试攻击的地板。”他强调：“一个模型不需要在每个目标上都匹配最强的模型，才对攻击者有用。如果低成本模型能可靠、重复地完成攻击中的这些环节，就能让更多的威胁行为者获得攻击能力。”
这份成本对比有什么局限
成本比较基于每个模型每 1 亿 token 的价格。被问到 Ensign 是否也算了每次运行实际用掉的 token，Moke 说报告对比的是每 1 亿 token 价格和每千美元成功率，没有说明是否计入实际用量，Ensign 也没有提供每次运行的用量或成本数字。这点有影响：需要更多次尝试才能完成任务的模型，实际成本会比标价高。
没用攻击框架，数字偏保守
在攻击进行时绕过 EDR 是测试里最难的目标，平均可靠率 40%，没有任何模型达到“高成功”，只有六个模型取得“部分成功”。测试时模型没有配“外挂”（harness，即给模型加上重试逻辑等支持的智能体框架），而真实攻击者可以使用。Moke 说：“40% 的 EDR 绕过可靠率应被看作保守的基线，而不是上限。真实攻击里，对手可以用框架把模型包起来，可能让某些能力更可重复。”
“东方对西方”的说法并不准确
报告把五个西方模型和五个东方模型对照，但 Ensign 自己的价格数据并不沿这条线分：Meta 的 Muse Spark 每 1 亿 token 215 美元，比 GLM-5.2 还便宜，月之暗面的 Kimi K3 则是最贵的之一，660 美元。Moke 说，“东方对西方”是个简化的比较方式，地理只是一部分，数字显示成本和可获得性正变得同样重要。报告还提到，Hugging Face 曾用开放权重的 GLM-5.2 调查对自家系统的攻击，因为闭源模型的安全防护拦下了这项工作；Moke 说防御任务在模型看来可能和恶意任务相似，Ensign 开放和闭源模型都用。
对马来西亚企业意味着什么
Moke 对把马来西亚的真实事件直接归因于 AI 持谨慎态度：窃取凭据、利用漏洞、侦察和横向移动在 AI 之前就有了。“我们需要小心，不要把具体的网络事件归因于 AI。AI 改变的是开展其中一些活动的速度、规模和成本。”被问到马来西亚《2024 年网络安全法》和国家银行的要求下的测试，能否跟上 Ensign 所说约两个月一轮的模型迭代，他没有指出具体缺口，只说监管要求提供的是基线，合规周期不应成为组织测试防御的唯一时点，系统或威胁环境发生重大变化时应再次测试。
Ensign 本身卖检测与响应服务，报告的第一条建议是把自主检测和确定性控制结合起来。Moke 反驳说结论并不简单地对他的公司有利，因为报告中表现最强的控制，如身份保护和网络分段，都是机构自己建设而不是向 Ensign 购买的。他给董事会的建议是别只问能否把攻击者挡在门外，更好的问题是：“告诉我，如果攻击者进来了，我们多快能发现，他们能走多远。”
常见问题（FAQ）
哪个模型性价比最高？
按 Ensign 的“每千美元成功得分”，DeepSeek V4 Pro 最高，为 1097，约是 GPT-5.6 Sol（75）的 15 倍。
便宜的模型就一定更危险吗？
不能这么说。它们的意义在于降低了尝试攻击的门槛，在不同攻击环节的表现也不一样。
40% 的 EDR 绕过率是不是说明防护很有效？
不能这么理解。测试没用攻击框架，Ensign 自己说这是保守基线，真实攻击中数字可能更高。
报告的结论会不会偏向 Ensign 的产品？
Ensign 卖检测与响应服务，读者可以带着这层背景看；Moke 称报告里最强的控制是身份保护、网络分段等机构自建的措施。
企业应该多久测试一次防御？
Moke 的建议是不要只在合规周期测试，系统或威胁环境发生重大变化时应再测。