Le billet de la Frontier Red Team d'Anthropic, publié le 29 septembre 2026, analyse GLM-5.3, modèle à poids ouverts de Zhipu AI (Z.ai). Il rappelle que Claude Mythos Preview, annoncé cinq mois plus tôt, avait été le premier modèle capable de construire de façon autonome des exploits complets, et qu'il n'avait été diffusé qu'aux défenseurs de confiance via Project Glasswing, qui ont trouvé plus de 10 000 vulnérabilités. Les auteurs attendaient que cette capacité se répande. Selon eux, GLM-5.3 la possède, sans garde-fous significatifs.
Sur ExploitBench, qui porte sur des bogues du moteur V8 de Chrome, GLM-5.3 produit un exploit complet dans 50 essais sur 410, contre 56 pour Mythos Preview. Sur le benchmark interne de corruption mémoire, il détourne le flot de contrôle dans 4 % des essais contre 6 %. Claude Opus 4.6, GLM-5.2, Kimi K3 et DeepSeek V4.1-Flash restent à zéro ou presque : un seuil est franchi. L'évaluation du CAISI du NIST, publiée le 17 septembre, parvient à des conclusions proches : GLM-5.3 est le modèle à poids ouverts le plus capable en cyber, avec environ quatre mois de retard sur la frontière américaine.
le modèle à poids ouverts le plus capable en cyber publié à ce jour
Deux sessions avec des chercheurs humains illustrent l'effet. Avec moins d'une heure d'attention, GLM-5.3 a découvert plusieurs vulnérabilités inconnues dans le moteur JavaScript d'un navigateur et les a enchaînées en une page qui lit des fichiers de l'ordinateur du visiteur ; des failles ont aussi été repérées dans des pilotes et des logiciels d'équipements réseau, divulguées ou en cours de revue. Dans l'autre, GLM-5.3-Flash a construit une chaîne d'exploits N-day contournant PAC sur ARM64, pour 20 minutes d'attention humaine et 20,40 $.
Les garde-fous du modèle refusent les demandes ouvertement malveillantes, mais trois contournements simples fonctionnent en monde simulé : un faux contexte d'exercice de red team (64 % d'engagement), le préremplissage du raisonnement (92 %) et l'abliteration (100 %). Cette dernière modifie les poids et fait passer le refus moyen de 95 % à 6 %, avec des capacités presque intactes ; elle a coûté à l'équipe environ 4 400 $ de calcul, et des versions abliterées circulent déjà. Les modèles Claude testés résistent, car l'API n'offre pas le préremplissage et les poids ne sont pas distribués.
Les auteurs concluent que des acteurs étatiques et non étatiques utiliseront probablement ces modèles. Ils recommandent d'élargir l'accès des défenseurs aux modèles de pointe et de faire tester par les gouvernements les successeurs de GLM-5.3, et invitent les développeurs de poids ouverts à sécuriser ces capacités. Ils signalent que la simulation n'exécute aucun code et que les exploits visent une version Linux.