L'articolo del Frontier Red Team di Anthropic, pubblicato il 29 settembre 2026, analizza GLM-5.3, un modello open-weight di Zhipu AI (Z.ai). Ricorda che Claude Mythos Preview, annunciato cinque mesi prima, era stato il primo modello capace di costruire autonomamente exploit completi, e che era stato rilasciato solo a difensori fidati tramite il Project Glasswing, che aveva individuato più di 10.000 vulnerabilità. Gli autori si aspettavano che questa capacità si diffondesse. Secondo loro, GLM-5.3 la possiede, senza misure di sicurezza significative.
Su ExploitBench, che copre bug nel motore V8 di Chrome, GLM-5.3 produce un exploit completo in 50 casi su 410, contro 56 per Mythos Preview. Sul benchmark interno di corruzione della memoria, dirotta il flusso di controllo nel 4% dei casi contro il 6%. Claude Opus 4.6, GLM-5.2, Kimi K3 e DeepSeek V4.1-Flash restano a zero o quasi: una soglia è stata superata. La valutazione CAISI del NIST, pubblicata il 17 settembre, giunge a conclusioni simili: GLM-5.3 è il modello open-weight più capace in ambito cyber, circa quattro mesi dietro la frontiera statunitense.
Due sessioni con ricercatori umani illustrano l'effetto. Con meno di un'ora di attenzione, GLM-5.3 ha scoperto diverse vulnerabilità sconosciute nel motore JavaScript di un browser e le ha concatenate in una pagina che legge i file del computer del visitatore; sono stati individuati difetti anche in driver e software di apparecchiature di rete, divulgati o in fase di revisione. Nell'altra, GLM-5.3-Flash ha costruito una catena di exploit N-day che bypassa PAC su ARM64, per 20 minuti di attenzione umana e 20,40 $.
Le misure di sicurezza del modello rifiutano le richieste apertamente dannose, ma tre semplici bypass funzionano in un mondo simulato: un falso contesto di esercizio red-team (64% di coinvolgimento), reasoning prefill (92%) e abliteration (100%). Quest'ultima modifica i pesi e fa scendere il tasso medio di rifiuto dal 95% al 6%, con capacità quasi intatte; è costata al team circa 4.400 $ di calcolo, e versioni abliterated circolano già. I modelli Claude testati resistono, perché l'API non offre il prefill e i pesi non sono distribuiti.
Gli autori concludono che attori statali e non statali probabilmente useranno questi modelli. Raccomandano di ampliare l'accesso dei difensori ai modelli frontier e di far testare dai governi i successori di GLM-5.3, e chiedono agli sviluppatori open-weight di proteggere queste capacità. Segnalano che la simulazione non esegue alcun codice e che gli exploit riguardano una versione Linux.