Aikido发布开源安全模型Altar-1：基于GLM-5.3剪枝压缩至328GB

聚焦安全合规场景的模型轻量化实践

Aikido Security近日发布Altar-1——其首款开源权重（open-weight）安全专用大模型。该模型并非从头训练，而是对Z.AI发布的GLM-5.3（7530亿参数混合专家模型）进行深度压缩与适配，核心目标是解决高敏感行业（如银行、工业控制系统运营商）在AI安全分析中面临的‘数据不出域’刚性约束。Altar-1作为Aikido Machine——一款面向本地部署及完全离线（air-gapped）网络的自主渗透测试设备——的核心推理引擎，目前已将完整权重公开于Hugging Face，并支持通过vLLM在单台配备4块NVIDIA H200 GPU的服务器上高效运行。

压缩路径：AWQ量化 + REAP专家剪枝

GLM-5.3为典型MoE架构，每层含256个专家，每token动态路由至其中8个，活跃参数约400亿。为兼顾性能与部署可行性，Aikido采用两阶段无重训练压缩：

第一阶段为权重量化：以社区已有的cyankiwi GLM-5.3-AWQ-INT4检查点为起点，对路由激活的专家权重采用4位整数量化（W4A16），而注意力机制、共享专家、稠密层及输出头仍保留BF16精度，平衡精度损失与内存节省；

第二阶段为专家剪枝：采用Cerebras开发的REAP（Router-weighted Expert Activation Pruning）算法，依据每个专家的路由器权重与输出幅值综合打分，而非仅统计调用频次。最终每层保留168个专家（剔除88个，占比34.4%），路由逻辑保持不变——仍为每token选8个专家，活跃参数量维持约400亿。校准数据来自Aikido自研渗透测试框架的执行轨迹，叠加编程、工具调用、推理及多语言维基文本，明确声明未使用任何客户数据。

体积与性能权衡：328GB下的可用性验证

压缩效果显著：Altar-1权重体积为328.0 GB，相较原始BF16版（1506.7 GB）缩减78.2%，较AWQ INT4版（488.2 GB）再降32.8%。在保真度方面，其KL散度为0.506 nats（对比BF16基准），略优于同结构EXL3版本（0.511 nats）。在内部CVE基准测试中（覆盖30个仓库的32个已知漏洞，每例3次运行），Altar-1平均召回率达60.4%，成功复现其中23个漏洞；相较BF16版（65.6%，25个）和AWQ版（61.5%，23个），召回率下降约1–5个百分点，但覆盖漏洞数保持一致（23/32），即92%的原始CVE覆盖能力得以保留。需注意，该测试聚焦于管道内特定环节的CVE再发现能力，不评估盲测发现、漏洞利用验证或修复建议生成。

部署要求与许可条款

官方推荐硬件为Hopper架构GPU（H100或H200），4×H200共提供约320GB显存，配合328GB模型权重，仍可为生产级批量推理预留128K长度的KV缓存空间。部署命令简洁：`vllm serve AikidoSec/altar-1 --tensor-parallel-size 4 --trust-remote-code --max-model-len 131072`，vLLM自动启用Marlin MoE内核。许可证沿用GLM-5.3协议：允许商用、修改与再分发，但年营收超100亿美元的模型即服务（MaaS）提供商须事先通过Z.AI安全审查。需强调，Altar-1属‘开源权重’（open-weight），非OSI认证的开源软件。

后续演进方向

Aikido计划探索更低比特格式（如EXL3）以容纳更多专家，并针对渗透测试、代码审计等安全工作流开展专项微调。目前，Altar-1已同步支撑其Aikido Attack、AI Code Analysis及Deep Review等产品线。

> 编者观点：Altar-1的实践为中国安全厂商提供了关键启示——在强监管与高敏场景下，‘可控’比‘最大’更重要；通过量化+结构化剪枝的组合策略，在有限算力边界内实现专业模型的本地化落地，是一条兼具技术可行性与商业现实性的路径。