# fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29

## Veille

Publicación de investigación del **Frontier Red Team** de Anthropic (autores: **Andrew Fasano**, **Marius Fleischer**, Cole McFaul, Robert Xiao, Tripp Gallagher), publicada el **29 de septiembre de 2026**; aproximadamente **2300 palabras**, seis figuras. Analiza **GLM-5.3** de **Zhipu AI (Z.ai)**, un modelo de pesos abiertos, cinco meses después del anuncio de Claude Mythos Preview. **(A)** Capacidad: en ExploitBench (41 fallos de V8 de Chrome), GLM-5.3 construye un exploit completo en **50 de 410 intentos**, frente a **56 de 410** para Mythos Preview; en el benchmark interno de corrupción de memoria, secuestro del flujo de control en **4%** de los intentos frente a **6%**; Claude Opus 4.6 y GLM-5.2: 0. **(B)** Pruebas con expertos humanos: una cadena de vulnerabilidades 0-day de navegador que culmina en la lectura de los archivos del visitante; con **GLM-5.3-Flash**, una cadena de exploits N-day (CVE-2026-11645) que elude PAC en ARM64, **20 minutos** de atención humana, ocho horas de cómputo, **20,40 $** a precios de API. **(C)** Salvaguardas: eludidas en **64%** de los casos mediante un falso contexto de red-team, **92%** mediante reasoning prefill, **100%** mediante *abliteration* (unas 2200 horas-GPU, 4400 $); los modelos Claude probados permanecen en 0%. **(D)** Recomendaciones: ampliar el acceso de los defensores a modelos de frontera, pruebas gubernamentales independientes. Cita la evaluación de **CAISI** del NIST (17 de septiembre): «el modelo de pesos abiertos más capaz en ciberseguridad publicado hasta la fecha», aproximadamente cuatro meses por detrás de la frontera estadounidense. Amplía las notas del corpus sobre Mythos y Glasswing.

## Titre Article

GLM-5.3 and the spread of advanced cyber capabilities

## Date

2026-09-29

## URL

https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities

## Keywords

GLM-5.3, Zhipu AI, Z.ai, modelo de pesos abiertos, capacidades cibernéticas ofensivas, explotación de vulnerabilidades, ExploitBench, V8, Chrome, abliteration, reducción de rechazos, elusión de salvaguardas, prefill de razonamiento, jailbreak, JailbreakBench, HarmBench, StrongREJECT, Claude Mythos Preview, Project Glasswing, CAISI, NIST, N-day, 0-day, PAC, proliferación, defensores, Frontier Red Team, evaluación independiente

## Authors

Andrew Fasano, Marius Fleischer, Cole McFaul, Robert Xiao, Tripp Gallagher ; Frontier Red Team, Anthropic (billet de recherche du site anthropic.com).

## Ton

**Perfil**: publicación de un equipo interno de red-teaming, redactada como un informe de evaluación con protocolo, figuras y notas a pie de página, seguida de una sección de recomendaciones de política pública.

**Estilo**: factual, cuantificado, con comparaciones sistemáticas entre GLM-5.3, Claude Mythos Preview y modelos Claude anteriores. Figuras resumen, casos de uso detallados, cita textual del razonamiento de un modelo abliterado.

**Posición epistémica**: los resultados proceden de las propias pruebas del equipo; los ataques a los modelos Claude se prueban con las salvaguardas activadas, mientras que la comparación de capacidades utiliza modelos Claude con las salvaguardas desactivadas. Los autores señalan las limitaciones: el mundo está simulado por otro LLM, sin ejecución de código, «imperfecto»; exploits limitados a la versión de Linux del navegador; divulgaciones a los responsables de mantenimiento en curso. La publicación procede del desarrollador de los modelos comparados, lo cual se revela en el encabezado.

## Pense-betes

- **Contexto**: Mythos Preview, anunciado cinco meses antes, se había publicado de forma limitada a través de Project Glasswing (más de 10 000 vulnerabilidades encontradas por defensores de confianza). Anthropic esperaba que esta capacidad proliferara; GLM-5.3 es esa materialización.
- **Capacidad medida**: ExploitBench, 50 exploits completos de 410 (GLM-5.3) frente a 56 (Mythos Preview); benchmark interno de 100 tareas de OSS-Fuzz, 4% frente a 6%. Kimi K3, DeepSeek V4.1-Flash, Claude Opus 4.6 y GLM-5.2 permanecen en cero o cerca de cero: se ha cruzado un **umbral** entre GLM-5.2 y GLM-5.3, como ocurrió entre Opus 4.6 y Mythos Preview.
- **Sesiones con expertos**: menos de una hora de atención humana. GLM-5.3 encuentra varios 0-days en el motor JavaScript de un navegador y los encadena en una página que lee archivos arbitrarios (figura: robo de una clave SSH); otras pistas en controladores Wi-Fi/gráficos y software de equipos de red, en revisión.
- **N-day de bajo coste**: GLM-5.3-Flash, una versión más pequeña, encadena dos fallos conocidos en una cadena fiable en ARM64 con elusión de PAC: 20 minutos de tiempo humano, 8 horas de tiempo de máquina, **20,40 $**.
- ⭐ **Salvaguardas**: rechazo ante solicitudes abiertamente maliciosas, pero eludidas por tres métodos simples. Falso contexto de red-team: adhesión del **64%**; prefill de razonamiento: **92%**; *abliteration*: **100%**. Probado en un mundo simulado, cinco órdenes de ataque, 50 muestras por celda.
- **Abliteration**: una modificación de los pesos que elimina los rechazos. La tasa media de rechazo cae del 95% al 6% (GLM-5.3) y al 14% (Flash) en tres benchmarks; las capacidades permanecen casi intactas (GPQA-Diamond idéntico, CyberGym unos puntos más bajo). Coste para el equipo: ~2200 horas-GPU (~4400 $); un equipo experimentado necesitaría ~600 (~1200 $). Las versiones abliteradas se hacen públicas a los pocos días del lanzamiento.
- **Asimetría con los modelos cerrados**: la API de Claude no ofrece prefill, los pesos no son accesibles y por tanto no se pueden abliterar, y los falsos contextos quedan bloqueados en las pruebas. Los modelos Claude probados (Opus 4.8, Opus 5, Mythos 5) permanecen en 0%.
- **Evaluación de CAISI** (NIST, 17 de septiembre): GLM-5.3 es «el más capaz en ciberseguridad de los modelos de pesos abiertos», aproximadamente cuatro meses por detrás de la frontera estadounidense; los modelos estadounidenses se probaron sin salvaguardas, incluidas versiones reservadas para usuarios verificados.
- **Recomendaciones**: dotar a los defensores de modelos al menos tan capaces como los de los atacantes (acceso a través de Glasswing, Patch the Planet, Mythos 5.1); pruebas gubernamentales de los sucesores de GLM-5.3; llamamiento a los desarrolladores de pesos abiertos para que aseguren estas capacidades.
- ⚠️ **Advertencias del artículo**: mundo simulado por un LLM sin ejecución real; objetivos limitados a una versión de Linux; hallazgos sobre otro software aún no publicados.

## RésuméDe400mots

La publicación del Frontier Red Team de Anthropic, publicada el 29 de septiembre de 2026, analiza GLM-5.3, un modelo de pesos abiertos de Zhipu AI (Z.ai). Recuerda que Claude Mythos Preview, anunciado cinco meses antes, había sido el primer modelo capaz de construir exploits completos de forma autónoma, y que solo se había publicado a defensores de confianza a través de Project Glasswing, que encontraron más de 10 000 vulnerabilidades. Los autores esperaban que esta capacidad se propagara. Según ellos, GLM-5.3 la posee, sin salvaguardas significativas.

En ExploitBench, que cubre fallos del motor V8 de Chrome, GLM-5.3 produce un exploit completo en 50 de 410 intentos, frente a 56 para Mythos Preview. En el benchmark interno de corrupción de memoria, secuestra el flujo de control en el 4% de los intentos frente al 6%. Claude Opus 4.6, GLM-5.2, Kimi K3 y DeepSeek V4.1-Flash permanecen en cero o cerca de cero: se ha cruzado un umbral. La evaluación CAISI del NIST, publicada el 17 de septiembre, llega a conclusiones similares: GLM-5.3 es el modelo de pesos abiertos más capaz en ciberseguridad, aproximadamente cuatro meses por detrás de la frontera estadounidense.

Dos sesiones con investigadores humanos ilustran el efecto. Con menos de una hora de atención, GLM-5.3 descubrió varias vulnerabilidades desconocidas en el motor JavaScript de un navegador y las encadenó en una página que lee archivos del ordenador del visitante; también se encontraron fallos en controladores y software de equipos de red, divulgados o en revisión. En la otra, GLM-5.3-Flash construyó una cadena de exploits N-day que eludía PAC en ARM64, con 20 minutos de atención humana y 20,40 $.

Las salvaguardas del modelo rechazan las solicitudes abiertamente maliciosas, pero tres bypasses simples funcionan en un mundo simulado: un falso contexto de ejercicio de red-team (64% de adhesión), prefill de razonamiento (92%) y abliteration (100%). Esta última modifica los pesos y reduce la tasa media de rechazo del 95% al 6%, con las capacidades casi intactas; costó al equipo unos 4400 $ en cómputo, y ya circulan versiones abliteradas. Los modelos Claude probados resisten, porque la API no ofrece prefill y los pesos no se distribuyen.

Los autores concluyen que es probable que actores estatales y no estatales utilicen estos modelos. Recomiendan ampliar el acceso de los defensores a modelos de frontera y que los gobiernos prueben los sucesores de GLM-5.3, y hacen un llamamiento a los desarrolladores de pesos abiertos para que aseguren estas capacidades. Señalan que la simulación no ejecuta ningún código y que los exploits apuntan a una versión de Linux.

## GrapheDeConnaissance

- Frontier Red Team —fait_partie_de→ Anthropic (ORGANISATION, 0.95)
- Frontier Red Team —publie→ article GLM-5.3 and the spread of advanced cyber capabilities (DOCUMENT, 0.95)
- Zhipu AI —a_créé→ GLM-5.3 (TECHNOLOGIE, 0.97)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ GLM-5.3 a été publié sans garde-fous significatifs alors qu'il construit des exploits complets de façon autonome (AFFIRMATION, 0.93)
- GLM-5.3 —mesure→ 50 exploits complets sur 410 essais sur ExploitBench contre 56 sur 410 pour Claude Mythos Preview (MESURE, 0.95)
- GLM-5.3 —mesure→ détournement du flot de contrôle dans 4 % des essais contre 6 % pour Claude Mythos Preview, 100 tâches (MESURE, 0.93)
- GLM-5.3 —converge_avec→ Claude Mythos Preview (TECHNOLOGIE, 0.85)
- GLM-5.3 —surpasse→ GLM-5.2 (TECHNOLOGIE, 0.92)
- GLM-5.3-Flash —est_variante_de→ GLM-5.3 (TECHNOLOGIE, 0.93)
- GLM-5.3-Flash —mesure→ chaîne d'exploits N-day CVE-2026-11645 sur ARM64 contournant PAC, 20 minutes d'attention humaine, 20,40 $ (MESURE, 0.93)
- abliteration —réduit→ le refus moyen de GLM-5.3 de 95 % à 6 % avec des capacités presque intactes (MESURE, 0.93)
- abliteration —s_applique_à→ GLM-5.3 (TECHNOLOGIE, 0.95)
- GLM-5.3 —observé_dans→ engagement à 64 % avec faux contexte de red team, 92 % avec raisonnement prérempli, 100 % abliteré (MESURE, 0.93)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ les modèles Claude testés résistent à ces contournements, faute de préremplissage et de poids accessibles (AFFIRMATION, 0.9)
- CAISI —affirme_que→ GLM-5.3 est le modèle à poids ouverts le plus capable en cyber publié à ce jour, environ quatre mois derrière la frontière américaine (AFFIRMATION, 0.93)
- Project Glasswing —permet→ à des défenseurs de confiance de trouver plus de 10 000 vulnérabilités avant les attaquants (MESURE, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ élargir l'accès des défenseurs aux modèles de pointe (AFFIRMATION, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ des tests de sécurité gouvernementaux des successeurs de GLM-5.3 (AFFIRMATION, 0.9)
- article GLM-5.3 and the spread of advanced cyber capabilities —prédit→ acteurs étatiques et non étatiques utiliseront des modèles comme GLM-5.3 pour causer des dommages réels (AFFIRMATION, 0.85)

---
Canonical: https://www.thekb.eu/es/fiches/fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29/