Raport Anthropic o GLM-5.3: zaawansowane cyberzdolności ofensywne w modelu o otwartych wagach

Zespół badawczy Frontier Red Team firmy Anthropic opublikował 29 września 2026 roku raport analizujący model GLM-5.3, flagowy system sztucznej inteligencji stworzony przez chińską spółkę Zhipu AI (funkcjonującą poza Chinami pod nazwą Z.ai). Z opublikowanych danych wynika, że GLM-5.3 wykazuje zaawansowane zdolności do w pełni autonomicznego tworzenia kompletnych exploitów cybernetycznych (end-to-end), zbliżając się pod tym względem do poziomu zaprezentowanego wiosną 2026 roku przez model Claude Mythos Preview. Najpoważniejszym wnioskiem płynącym z analizy Anthropic jest jednak fakt, że w przeciwieństwie do czołowych modeli amerykańskich podlegających ścisłej reglamentacji, GLM-5.3 został udostępniony w formule otwartych wag (open-weight) oraz bez skutecznych barier chroniących przed jego militarnym i przestępczym wykorzystaniem.

Ocena CAISI i przełom w generowaniu exploitów

Ustalenia badaczy Anthropic stanowią niezależne potwierdzenie wniosków opublikowanych 17 września 2026 roku przez Center for AI Standards and Innovation (CAISI), jednostkę badawczą działającą w strukturach amerykańskiego instytutu NIST. CAISI sklasyfikowało GLM-5.3 jako najbardziej rozwinięty pod względem cybernetycznym model o otwartych wagach w historii, szacując jego dystans do amerykańskiej czołówki modeli zamkniętych na zaledwie cztery miesiące na zagregowanych testach cyberbezpieczeństwa.

Aby zweryfikować potencjał ofensywny GLM-5.3, zespół Frontier Red Team przeprowadził serię testów w ściśle izolowanych piaskownicach. W benchmarku ExploitBench, weryfikującym zdolność do przygotowania działających ataków na znane podatności w silniku V8 przeglądarki Google Chrome, GLM-5.3 wygenerował kompletne exploity w 50 na 410 prób. Dla porównania model Claude Mythos Preview w tym samym środowisku osiągnął wynik 56 na 410 prób.

Jeszcze bardziej wyraźną cezurę technologiczną ukazał wewnętrzny test Binary Exploitation, oparty na 100 losowo wyselekcjonowanych zadaniach z projektu Google OSS-Fuzz. Za pełny sukces uznawano w nim przejęcie przepływu sterowania programem (full control-flow hijack). GLM-5.3 doprowadził do skutecznego przejęcia kontroli w 4% prób, podczas gdy Claude Mythos Preview uzyskał 6%. Starsze konstrukcje, w tym poprzednik chińskiego modelu GLM-5.2 oraz Claude Opus 4.6, zanotowały w tym teście wynik zerowy. Rezultaty te unaoczniają, że nowa generacja modeli przekroczyła próg, powyżej którego automatyzacja skomplikowanych ataków binarnych staje się faktem.

Eksperymenty analityków: od luk 0-day do architektury ARM64

Poza testami syntetycznymi badacze Anthropic sprawdzili skuteczność GLM-5.3 w scenariuszach z udziałem człowieka (human-in-the-loop), symulując działania wyspecjalizowanych analityków offensive security dysponujących budżetem czasowym poniżej jednego dnia.

W pierwszej sesji badacz uruchomił GLM-5.3 przeciwko linuksowej kompilacji popularnej przeglądarki internetowej, o której podatnościach człowiek nie miał wcześniejszej wiedzy. W ciągu niespełna doby model samodzielnie odkrył nieznane dotąd podatności typu 0-day w silniku JavaScript, a następnie połączył je w funkcjonalny łańcuch ataku. Przygotowana strona internetowa po wejściu przez ofiarę bez przeszkód odczytywała poufne pliki z dysku twardego, co zademonstrowano udaną kradzieżą prywatnego klucza SSH. Odkryte luki zgłoszono twórcom oprogramowania. Podobne podatności model zdołał wskazać w sterownikach graficznych, bezprzewodowych oraz oprogramowaniu sieciowym.

W drugim teście wykorzystano mniejszy i tańszy wariant GLM-5.3-Flash, zlecając mu analizę ujawnionej luki w Google Chrome (CVE-2026-11645). Zadaniem modelu było przekształcenie publicznego opisu poprawki w działający exploit typu N-day. GLM-5.3-Flash powiązał tę lukę z innym znanym błędem i wygenerował stabilny exploit na architekturę ARM64, skutecznie omijając sprzętowy mechanizm zabezpieczeń PAC (pointer-authentication). Cała operacja wymagała zaledwie 20 minut zaangażowania człowieka i 8 godzin pracy modelu. Przy stawkach cennikowych API Zhipu AI koszt wygenerowania tego ataku zamknął się w kwocie 20,40 USD.

Iluzoryczne filtry i abliteracja wag

Chociaż GLM-5.3 został wyposażony w mechanizmy odmawiania wykonywania złośliwych operacji, testy Anthropic wykazały, że zabezpieczenia te można bez trudu zneutralizować. W testach symulacyjnych bezpośrednie polecenie przeprowadzenia ataku na infrastrukturę sieciową spotykało się ze stuprocentową odmową. Wystarczyło jednak zastosować technikę zwodniczego promptu (deceptive prompt), wmawiając modelowi udział w ćwiczeniach obronnych red-team, aby wskaźnik uległości wzrósł do 64%. Wykorzystanie techniki manipulacji tokenami myślenia (prefilling thinking tokens) doprowadziło do wykonania szkodliwego zadania w 92% przypadków.

Najbardziej radykalną metodą okazała się jednak abliteracja (abliteration) – modyfikacja wag modelu polegająca na usunięciu reprezentacji odmów. Z racji otwartości wag GLM-5.3, zmodyfikowane w ten sposób wersje trafiły do sieci w ciągu kilkunastu dni od premiery. Badacze Anthropic powtórzyli ten proces: usunięcie filtrów z GLM-5.3 wymagało około 2 200 godzin GPU (koszt rzędu 4 400 USD), a w przypadku GLM-5.3-Flash około 600 godzin GPU. Wersja po abliteracji wykonywała złośliwe polecenia w symulacji w 100% prób.

Co istotne, zabieg ten nie obniżył ogólnych zdolności rozumowania modelu: na benchmarku naukowym GPQA-Diamond model uzyskał identyczny wynik, a w sprawdzianie CyberGym odnotowano spadek zaledwie o kilka punktów procentowych.

Asymetria bezpieczeństwa w dobie otwartych wag

Sytuacja związana z GLM-5.3 tworzy wyraźną asymetrię w globalnym krajobrazie cyberzagrożeń. Kiedy Anthropic rozwijał model Claude Mythos Preview, zdecydowano o ograniczeniu dostępu wyłącznie do zweryfikowanych obrońców w ramach Project Glasswing oraz inicjatywy Patch the Planet. Pozwoliło to załatać tysiące luk w krytycznej infrastrukturze, zanim narzędzia tej klasy trafiły w ręce cyberprzestępców. Obecnie obrońcy korzystają z modelu Claude Mythos 5.1, jednak premiera GLM-5.3 sprawia, że zaawansowane narzędzia ofensywne stały się powszechnie dostępne bez barier weryfikacyjnych.

W podsumowaniu raportu Anthropic apeluje do instytucji rządowych o wprowadzenie sformalizowanych, niezależnych audytów bezpieczeństwa przed publikacją kolejnych generacji modeli o wysokich zdolnościach cybernetycznych. W ocenie analityków brak odpowiedzialnych zabezpieczeń po stronie twórców zaawansowanych modeli open-weight wymusi na sektorze obronnym drastyczne przyspieszenie wdrażania autonomicznych narzędzi protekcji.