GLM-5.3 rozó a Claude Mythos en una prueba de exploits; sus defensas, en cambio, cedieron con facilidad

La evaluación de Anthropic de septiembre de 2026 encontró que GLM-5.3, un modelo de pesos abiertos de Z.ai, podía generar exploits completos a una tasa cercana a la de Claude Mythos Preview en una prueba concreta. El mismo informe señaló que, en simulaciones, métodos sencillos lograron sortear sus salvaguardas con frecuencia. Son resultados de pruebas controladas: no demuestran que el modelo haya servido para atacar objetivos reales. 12

Qué midió la comparación con Claude Mythos

En ExploitBench, GLM-5.3 produjo exploits funcionales en 50 de 410 intentos, frente a 56 de 410 para Claude Mythos Preview. Equivale, aproximadamente, al 12 % y el 14 %, respectivamente. La prueba evaluó el desarrollo de exploits contra vulnerabilidades conocidas en un entorno controlado; por eso, la cercanía entre las cifras no implica que ambos modelos rindan igual en todas las tareas de ciberseguridad. 512

Anthropic describió la capacidad de GLM-5.3 para desarrollar exploits de principio a fin como un avance importante frente a modelos anteriores. En otra evaluación, centrada en la explotación de binarios, GLM-5.3 logró secuestros completos del flujo de control en el 4 % de las tareas, frente al 6 % de Mythos Preview. Son resultados sólidos en pruebas específicas, no una equivalencia general entre los modelos. 3712

NIST ofrece una perspectiva más amplia

El Centro de Estándares e Innovación en IA de NIST (CAISI, por sus siglas en inglés) calificó a GLM-5.3 como el modelo de pesos abiertos con mayor capacidad cibernética que había evaluado. A la vez, estimó que estaba unos cuatro meses por detrás de los modelos de frontera estadounidenses en el conjunto de sus pruebas de ciberseguridad. 17

Las dos conclusiones no son necesariamente contradictorias. NIST comparó el modelo en una batería más amplia de pruebas, mientras que el resultado más destacado de Anthropic corresponde a un benchmark concreto frente a Mythos Preview. Distintas pruebas y grupos de comparación pueden arrojar resultados compatibles. 1217

Las salvaguardas cedieron en pruebas simuladas

Anthropic informó que técnicas sencillas sortearon las salvaguardas de GLM-5.3 en entre el 64 % y el 100 % de sus pruebas simuladas. Esos porcentajes describen los resultados de los métodos y solicitudes que se probaron; no representan la probabilidad de éxito de un atacante en una operación real. 12

El informe también plantea un desafío propio de los modelos de pesos abiertos: quienes acceden a sus pesos pueden modificar su comportamiento de rechazo, en lugar de limitarse a intentar convencer al modelo mediante instrucciones. Una reseña secundaria del experimento citado por Anthropic estimó que un equipo experimentado podría retirar las salvaguardas por unos 1.200 dólares; también mencionó un cálculo de unos 4.400 dólares en recursos de computación para el trabajo. Son estimaciones basadas en descripciones distintas del proceso, no un precio fijo ni una medida de la frecuencia con que alguien lo haría en la práctica. 1225

Qué mostró la demostración de exploits

En un ejercicio descrito en el informe, un investigador utilizó GLM-5.3-Flash, la versión más pequeña del modelo, para crear una cadena de exploits que combinaba dos vulnerabilidades ya divulgadas. Según el reporte, el trabajo requirió unos 20 minutos de atención humana, ocho horas de procesamiento del modelo y 20,40 dólares en cargos de API. Una de las fallas afectaba a Chrome, y el investigador proporcionó información pública sobre las vulnerabilidades conocidas. La demostración mostró que el modelo podía ayudar a desarrollar una cadena de exploits en una prueba; no que hubiera comprometido a una víctima real. 6

La distinción es clave: generar un exploit en condiciones controladas puede advertir sobre un posible uso indebido, pero no equivale a demostrar un ataque en curso. La información disponible aquí no establece que GLM-5.3 se haya utilizado para vulnerar un objetivo real. 56

Qué aporta el caso al debate sobre los modelos abiertos

Anthropic advierte que las capacidades para construir exploits, si se distribuyen ampliamente, pueden estar al alcance tanto de atacantes como de defensores. La empresa también ha defendido que quienes protegen sistemas tengan acceso a modelos avanzados para detectar y corregir vulnerabilidades. 112

Los pesos abiertos plantean una disyuntiva: permiten que investigadores y defensores independientes utilicen el modelo, pero también dan a los usuarios más margen para ejecutarlo o modificarlo fuera de los controles de su desarrollador. Los resultados de los benchmarks y de las pruebas de salvaguardas alimentan ese debate, pero no bastan por sí solos para demostrar que restringir el acceso mejoraría la ciberseguridad en conjunto. 412

La conclusión más acotada es esta: en la evaluación de Anthropic, GLM-5.3 se acercó a Mythos Preview en un benchmark de exploits y sus salvaguardas cedieron ante los métodos de evasión probados. La evaluación más amplia de NIST lo situó por detrás de los modelos de frontera estadounidenses, y las demostraciones descritas no fueron ataques contra objetivos reales. 1217