# fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29

## Veille

Articolo di ricerca del **Frontier Red Team** di Anthropic (autori: **Andrew Fasano**, **Marius Fleischer**, Cole McFaul, Robert Xiao, Tripp Gallagher), pubblicato il **29 settembre 2026**; circa **2.300 parole**, sei figure. Analizza **GLM-5.3** di **Zhipu AI (Z.ai)**, un modello open-weight, cinque mesi dopo l'annuncio di Claude Mythos Preview. **(A)** Capacità: su ExploitBench (41 bug di Chrome V8), GLM-5.3 costruisce un exploit completo in **50 casi su 410**, contro **56 su 410** per Mythos Preview; sul benchmark interno di corruzione della memoria, dirottamento del flusso di controllo nel **4%** dei casi contro il **6%**; Claude Opus 4.6 e GLM-5.2: 0. **(B)** Prove con esperti umani: una catena di vulnerabilità 0-day del browser che culmina nella lettura dei file del visitatore; con **GLM-5.3-Flash**, una catena di exploit N-day (CVE-2026-11645) che bypassa PAC su ARM64, **20 minuti** di attenzione umana, otto ore di calcolo, **20,40 $** ai prezzi API. **(C)** Misure di sicurezza: eluse nel **64%** dei casi tramite un falso contesto di red-team, nel **92%** tramite reasoning prefill, nel **100%** tramite *abliteration* (circa 2.200 ore-GPU, 4.400 $); i modelli Claude testati restano allo 0%. **(D)** Raccomandazioni: ampliare l'accesso dei difensori ai modelli frontier, test governativi indipendenti. Cita la valutazione CAISI del NIST (17 settembre): "il modello open-weight più capace in ambito cyber mai rilasciato finora", circa quattro mesi dietro la frontiera statunitense. Estende le note del corpus su Mythos e Glasswing.

## Titre Article

GLM-5.3 and the spread of advanced cyber capabilities

## Date

2026-09-29

## URL

https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities

## Keywords

GLM-5.3, Zhipu AI, Z.ai, modello open-weight, capacità cyber offensive, exploitation di vulnerabilità, ExploitBench, V8, Chrome, abliteration, riduzione del rifiuto, bypass delle misure di sicurezza, reasoning prefill, jailbreak, JailbreakBench, HarmBench, StrongREJECT, Claude Mythos Preview, Project Glasswing, CAISI, NIST, N-day, 0-day, PAC, proliferazione, difensori, Frontier Red Team, valutazione indipendente

## Authors

Andrew Fasano, Marius Fleischer, Cole McFaul, Robert Xiao, Tripp Gallagher ; Frontier Red Team, Anthropic (billet de recherche du site anthropic.com).

## Ton

**Profilo**: pubblicazione di un team interno di red-teaming, scritta come un rapporto di valutazione con protocollo, dati e note, seguito da una sezione di raccomandazioni di politica pubblica.

**Stile**: fattuale, quantificato, con confronti sistematici tra GLM-5.3, Claude Mythos Preview e modelli Claude precedenti. Dati di sintesi, casi d'uso dettagliati, citazione testuale del ragionamento di un modello abliterated.

**Posizione epistemica**: i risultati provengono dai test propri del team; gli attacchi ai modelli Claude sono testati con le misure di sicurezza attive, mentre il confronto delle capacità utilizza modelli Claude con le misure di sicurezza disattivate. Gli autori segnalano i limiti: il mondo è simulato da un altro LLM, senza esecuzione di codice, "imperfetto"; exploit limitati alla versione Linux del browser; divulgazioni ai maintainer in corso. L'articolo proviene dallo sviluppatore dei modelli messi a confronto, cosa che l'intestazione dichiara.

## Pense-betes

- **Contesto**: Mythos Preview, annunciato cinque mesi prima, era stato rilasciato in modo limitato tramite il Project Glasswing (più di 10.000 vulnerabilità individuate da difensori fidati). Anthropic si aspettava che questa capacità proliferasse; GLM-5.3 è quell'occorrenza.
- **Capacità misurata**: ExploitBench, 50 exploit completi su 410 (GLM-5.3) contro 56 (Mythos Preview); benchmark interno di 100 task OSS-Fuzz, 4% contro 6%. Kimi K3, DeepSeek V4.1-Flash, Claude Opus 4.6 e GLM-5.2 restano a zero o quasi: una **soglia** è stata superata tra GLM-5.2 e GLM-5.3, come era accaduto tra Opus 4.6 e Mythos Preview.
- **Sessioni con esperti**: meno di un'ora di attenzione umana. GLM-5.3 trova diversi 0-day nel motore JavaScript di un browser e li concatena in una pagina che legge file arbitrari (figura: furto di una chiave SSH); altre piste su driver Wi-Fi/grafici e software di apparecchiature di rete, in fase di revisione.
- **N-day a basso costo**: GLM-5.3-Flash, una versione più piccola, concatena due difetti noti in una catena affidabile su ARM64 con bypass PAC: 20 minuti di tempo umano, 8 ore di tempo macchina, **20,40 $**.
- ⭐ **Misure di sicurezza**: rifiuto delle richieste apertamente dannose, ma eluse con tre metodi semplici. Falso contesto red-team: **64%** di coinvolgimento; reasoning prefill: **92%**; *abliteration*: **100%**. Testato in un mondo simulato, cinque ordini di attacco, 50 campioni per cella.
- **Abliteration**: una modifica dei pesi che rimuove i rifiuti. Il tasso medio di rifiuto scende dal 95% al 6% (GLM-5.3) e al 14% (Flash) su tre benchmark; capacità quasi intatte (GPQA-Diamond identico, CyberGym leggermente più basso). Costo per il team: ~2.200 ore-GPU (~4.400 $); un team esperto ne avrebbe bisogno di ~600 (~1.200 $). Le versioni abliterated sono pubbliche entro pochi giorni dal rilascio.
- **Asimmetria con i modelli chiusi**: il prefill non è offerto dall'API Claude, i pesi non sono accessibili e quindi non abliterabili, e i falsi contesti sono bloccati nei test. I modelli Claude testati (Opus 4.8, Opus 5, Mythos 5) restano allo 0%.
- **Valutazione CAISI** (NIST, 17 settembre): GLM-5.3 è "il più capace in ambito cyber tra i modelli open-weight", circa quattro mesi dietro la frontiera statunitense; i modelli statunitensi sono stati testati senza misure di sicurezza, incluse versioni riservate a utenti verificati.
- **Raccomandazioni**: dotare i difensori di modelli almeno quanto capaci di quelli degli attaccanti (accesso tramite Glasswing, Patch the Planet, Mythos 5.1); test governativi sui successori di GLM-5.3; richiamo agli sviluppatori open-weight a proteggere queste capacità.
- ⚠️ **Avvertenze nell'articolo**: mondo simulato da un LLM senza esecuzione reale; target limitati a una versione Linux; risultati su altri software non ancora pubblicati.

## RésuméDe400mots

L'articolo del Frontier Red Team di Anthropic, pubblicato il 29 settembre 2026, analizza GLM-5.3, un modello open-weight di Zhipu AI (Z.ai). Ricorda che Claude Mythos Preview, annunciato cinque mesi prima, era stato il primo modello capace di costruire autonomamente exploit completi, e che era stato rilasciato solo a difensori fidati tramite il Project Glasswing, che aveva individuato più di 10.000 vulnerabilità. Gli autori si aspettavano che questa capacità si diffondesse. Secondo loro, GLM-5.3 la possiede, senza misure di sicurezza significative.

Su ExploitBench, che copre bug nel motore V8 di Chrome, GLM-5.3 produce un exploit completo in 50 casi su 410, contro 56 per Mythos Preview. Sul benchmark interno di corruzione della memoria, dirotta il flusso di controllo nel 4% dei casi contro il 6%. Claude Opus 4.6, GLM-5.2, Kimi K3 e DeepSeek V4.1-Flash restano a zero o quasi: una soglia è stata superata. La valutazione CAISI del NIST, pubblicata il 17 settembre, giunge a conclusioni simili: GLM-5.3 è il modello open-weight più capace in ambito cyber, circa quattro mesi dietro la frontiera statunitense.

Due sessioni con ricercatori umani illustrano l'effetto. Con meno di un'ora di attenzione, GLM-5.3 ha scoperto diverse vulnerabilità sconosciute nel motore JavaScript di un browser e le ha concatenate in una pagina che legge i file del computer del visitatore; sono stati individuati difetti anche in driver e software di apparecchiature di rete, divulgati o in fase di revisione. Nell'altra, GLM-5.3-Flash ha costruito una catena di exploit N-day che bypassa PAC su ARM64, per 20 minuti di attenzione umana e 20,40 $.

Le misure di sicurezza del modello rifiutano le richieste apertamente dannose, ma tre semplici bypass funzionano in un mondo simulato: un falso contesto di esercizio red-team (64% di coinvolgimento), reasoning prefill (92%) e abliteration (100%). Quest'ultima modifica i pesi e fa scendere il tasso medio di rifiuto dal 95% al 6%, con capacità quasi intatte; è costata al team circa 4.400 $ di calcolo, e versioni abliterated circolano già. I modelli Claude testati resistono, perché l'API non offre il prefill e i pesi non sono distribuiti.

Gli autori concludono che attori statali e non statali probabilmente useranno questi modelli. Raccomandano di ampliare l'accesso dei difensori ai modelli frontier e di far testare dai governi i successori di GLM-5.3, e chiedono agli sviluppatori open-weight di proteggere queste capacità. Segnalano che la simulazione non esegue alcun codice e che gli exploit riguardano una versione Linux.

## GrapheDeConnaissance

- Frontier Red Team —fait_partie_de→ Anthropic (ORGANISATION, 0.95)
- Frontier Red Team —publie→ article GLM-5.3 and the spread of advanced cyber capabilities (DOCUMENT, 0.95)
- Zhipu AI —a_créé→ GLM-5.3 (TECHNOLOGIE, 0.97)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ GLM-5.3 a été publié sans garde-fous significatifs alors qu'il construit des exploits complets de façon autonome (AFFIRMATION, 0.93)
- GLM-5.3 —mesure→ 50 exploits complets sur 410 essais sur ExploitBench contre 56 sur 410 pour Claude Mythos Preview (MESURE, 0.95)
- GLM-5.3 —mesure→ détournement du flot de contrôle dans 4 % des essais contre 6 % pour Claude Mythos Preview, 100 tâches (MESURE, 0.93)
- GLM-5.3 —converge_avec→ Claude Mythos Preview (TECHNOLOGIE, 0.85)
- GLM-5.3 —surpasse→ GLM-5.2 (TECHNOLOGIE, 0.92)
- GLM-5.3-Flash —est_variante_de→ GLM-5.3 (TECHNOLOGIE, 0.93)
- GLM-5.3-Flash —mesure→ chaîne d'exploits N-day CVE-2026-11645 sur ARM64 contournant PAC, 20 minutes d'attention humaine, 20,40 $ (MESURE, 0.93)
- abliteration —réduit→ le refus moyen de GLM-5.3 de 95 % à 6 % avec des capacités presque intactes (MESURE, 0.93)
- abliteration —s_applique_à→ GLM-5.3 (TECHNOLOGIE, 0.95)
- GLM-5.3 —observé_dans→ engagement à 64 % avec faux contexte de red team, 92 % avec raisonnement prérempli, 100 % abliteré (MESURE, 0.93)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ les modèles Claude testés résistent à ces contournements, faute de préremplissage et de poids accessibles (AFFIRMATION, 0.9)
- CAISI —affirme_que→ GLM-5.3 est le modèle à poids ouverts le plus capable en cyber publié à ce jour, environ quatre mois derrière la frontière américaine (AFFIRMATION, 0.93)
- Project Glasswing —permet→ à des défenseurs de confiance de trouver plus de 10 000 vulnérabilités avant les attaquants (MESURE, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ élargir l'accès des défenseurs aux modèles de pointe (AFFIRMATION, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ des tests de sécurité gouvernementaux des successeurs de GLM-5.3 (AFFIRMATION, 0.9)
- article GLM-5.3 and the spread of advanced cyber capabilities —prédit→ acteurs étatiques et non étatiques utiliseront des modèles comme GLM-5.3 pour causer des dommages réels (AFFIRMATION, 0.85)

---
Canonical: https://www.thekb.eu/it/fiches/fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29/