GLM-5.3 od Zhipu AI sam buduje ataki na programy. Anthropic łatwo obszedł jego zabezpieczenia

Anthropic opublikował 29 września analizę modelu GLM-5.3 chińskiej firmy Zhipu AI, która poza Chinami działa jako Z.ai. Według testów Anthropic model potrafi sam znaleźć lukę w programie i napisać exploit, czyli gotowy kod, który tę lukę wykorzystuje. Dotyczy to każdego, kto korzysta z przeglądarki, telefonu albo firmowego serwera. Wyniki opisał zespół Frontier Red Team w raporcie na stronie Anthropic.

Ważne, kto to mówi. Anthropic sprzedaje konkurencyjne modele Claude i w tym samym raporcie porównuje je z GLM-5.3 na swoją korzyść. Część wniosków pokrywa się jednak z oceną amerykańskiego instytutu NIST (jego centrum CAISI) z 17 września. CAISI nazwało GLM-5.3 „najbardziej zdolnym w cyberbezpieczeństwie modelem z otwartymi wagami, jaki dotąd wydano”. Otwarte wagi oznaczają, że każdy może pobrać model i uruchomić go u siebie, bez pośrednictwa producenta.

Wyniki w testach ataku

Anthropic porównuje GLM-5.3 ze swoim modelem Claude Mythos Preview. Pięć miesięcy temu Mythos Preview jako pierwszy budował takie ataki od początku do końca, dlatego firma dała go tylko wybranym obrońcom w programie Project Glasswing. Wszystkie testy odbyły się w odizolowanym środowisku, na celach przygotowanych przez badaczy.

Test	GLM-5.3	Claude Mythos Preview
ExploitBench (znane luki w silniku V8 z Chrome), działające exploity	50 z 410 prób	56 z 410 prób
Test Anthropic na projektach z OSS-Fuzz, pełne przejęcie programu	4 proc. prób	6 proc. prób

Starsze modele, Claude Opus 4.6 i GLM-5.2, w drugim teście nie przejęły programu ani razu. Na wykresach Anthropic pokazuje też najnowsze otwarte modele innych firm: Kimi K3 i DeepSeek V4.1 Flash.

W próbie z udziałem człowieka badacz przez jeden dzień pracował z GLM-5.3 nad popularną przeglądarką w wersji na Linuksa. Model znalazł kilka nieznanych wcześniej luk i połączył je w stronę internetową, która odczytuje pliki z komputera odwiedzającego. Anthropic zgłosił luki twórcy przeglądarki, ale nie podaje jej nazwy.

W drugiej próbie mniejsza wersja, GLM-5.3-Flash, dostała publiczne opisy dwóch znanych luk, w tym świeżo załatanej luki w Chrome. Po ośmiu godzinach pracy miała działający łańcuch ataku. Człowiek poświęcił na to 20 minut. Według Anthropic przy cenach Zhipu kosztowało to 20,40 dolara, czyli ok. 78 zł (kurs NBP z 30 września, tabela 190/A/NBP/2026, 3,8449 zł za dolara).

Odmowy, które łatwo obejść

GLM-5.3 odmawia, gdy ktoś prosi wprost o atak. Anthropic sprawdził w symulacji, jak często model podejmie takie zadanie, gdy użyć prostych sztuczek.

Sposób	Jak często GLM-5.3 podjął szkodliwe zadanie
Prośba wprost	0 proc.
Zmyślona historia, że model jest agentem ćwiczeń z testowania zabezpieczeń	64 proc.
Podsunięcie gotowego początku rozumowania, w którym model „zgodził się” pomóc	92 proc.
Wersja z usuniętymi odmowami (tzw. abliteracja)	100 proc.

Abliteracja jest możliwa właśnie dzięki otwartym wagom: pobrany model da się przerobić tak, żeby przestał odmawiać. Zespół Anthropic robił to pierwszy raz i wydał ok. 4400 dolarów na moc obliczeniową, czyli ok. 16,9 tys. zł. Doświadczonym wystarczyłoby według szacunku firmy ok. 1200 dolarów (ok. 4,6 tys. zł). Inni programiści opublikowali przerobione wersje GLM-5.3 już kilka dni po premierze modelu, a po przeróbce model zachował swoje umiejętności. W teście wiedzy naukowej GPQA-Diamond wypadł tak samo jak oryginał.

Według Anthropic żadna z tych metod nie zadziałała w testach firmy na modelach Claude. Claude'a nie da się przerobić w ten sposób, bo jego wag nie udostępniono.

Co z tego wynika

Anthropic ocenia, że z modeli takich jak GLM-5.3 prawdopodobnie skorzystają do realnych ataków zarówno grupy działające dla państw, jak i inni przestępcy. Firma dodaje, że te same możliwości przydają się obrońcom, i wzywa rządy do testowania kolejnych modeli tej klasy. O podobnym użyciu AI po stronie obrony pisaliśmy przy okazji agenta GitHuba, który znalazł 24 luki w aplikacjach na Androida.

Dla zwykłego użytkownika najważniejsza jest próba z Chrome. Model zamienił publiczny opis poprawki w działający atak w osiem godzin. Czas między wydaniem aktualizacji a pierwszymi atakami może się więc skracać. Aktualizacje przeglądarki i systemu instaluj od razu, gdy się pojawią.

Raport nie mówi, czy Zhipu AI odniósł się do wyników. Luki, które GLM-5.3 znalazł w innych programach, m.in. w sterownikach sieci bezprzewodowej i grafiki, Anthropic dopiero sprawdza i zgłosi ich twórcom.