La publicación del Frontier Red Team de Anthropic, publicada el 29 de septiembre de 2026, analiza GLM-5.3, un modelo de pesos abiertos de Zhipu AI (Z.ai). Recuerda que Claude Mythos Preview, anunciado cinco meses antes, había sido el primer modelo capaz de construir exploits completos de forma autónoma, y que solo se había publicado a defensores de confianza a través de Project Glasswing, que encontraron más de 10 000 vulnerabilidades. Los autores esperaban que esta capacidad se propagara. Según ellos, GLM-5.3 la posee, sin salvaguardas significativas.
En ExploitBench, que cubre fallos del motor V8 de Chrome, GLM-5.3 produce un exploit completo en 50 de 410 intentos, frente a 56 para Mythos Preview. En el benchmark interno de corrupción de memoria, secuestra el flujo de control en el 4% de los intentos frente al 6%. Claude Opus 4.6, GLM-5.2, Kimi K3 y DeepSeek V4.1-Flash permanecen en cero o cerca de cero: se ha cruzado un umbral. La evaluación CAISI del NIST, publicada el 17 de septiembre, llega a conclusiones similares: GLM-5.3 es el modelo de pesos abiertos más capaz en ciberseguridad, aproximadamente cuatro meses por detrás de la frontera estadounidense.
el modelo de pesos abiertos más capaz en ciberseguridad publicado hasta la fecha
Dos sesiones con investigadores humanos ilustran el efecto. Con menos de una hora de atención, GLM-5.3 descubrió varias vulnerabilidades desconocidas en el motor JavaScript de un navegador y las encadenó en una página que lee archivos del ordenador del visitante; también se encontraron fallos en controladores y software de equipos de red, divulgados o en revisión. En la otra, GLM-5.3-Flash construyó una cadena de exploits N-day que eludía PAC en ARM64, con 20 minutos de atención humana y 20,40 $.
Las salvaguardas del modelo rechazan las solicitudes abiertamente maliciosas, pero tres bypasses simples funcionan en un mundo simulado: un falso contexto de ejercicio de red-team (64% de adhesión), prefill de razonamiento (92%) y abliteration (100%). Esta última modifica los pesos y reduce la tasa media de rechazo del 95% al 6%, con las capacidades casi intactas; costó al equipo unos 4400 $ en cómputo, y ya circulan versiones abliteradas. Los modelos Claude probados resisten, porque la API no ofrece prefill y los pesos no se distribuyen.
Los autores concluyen que es probable que actores estatales y no estatales utilicen estos modelos. Recomiendan ampliar el acceso de los defensores a modelos de frontera y que los gobiernos prueben los sucesores de GLM-5.3, y hacen un llamamiento a los desarrolladores de pesos abiertos para que aseguren estas capacidades. Señalan que la simulación no ejecuta ningún código y que los exploits apuntan a una versión de Linux.