GLM-5.3 presque au niveau de Claude Mythos sur un test d’exploit, mais ses protections sont contournables

L’évaluation publiée par Anthropic en septembre 2026 révèle que GLM-5.3, le modèle à poids ouverts de Z.ai, peut produire des exploits de bout en bout à un rythme proche de celui de Claude Mythos Preview sur un test précis. Mais le même rapport indique que des méthodes simples ont souvent contourné ses garde-fous lors de simulations. Ces résultats alimentent le débat sur la diffusion de capacités cyber avancées ; ils ne démontrent pas qu’une attaque a réussi contre une cible réelle. 12

GLM-5.3 et Mythos Preview : des résultats proches sur un test

Sur ExploitBench, l’évaluation d’Anthropic, GLM-5.3 a généré des exploits fonctionnels lors de 50 tentatives sur 410. Claude Mythos Preview en a réussi 56, soit environ 12 % contre 14 %. Le test portait sur l’exploitation de vulnérabilités connues dans un environnement contrôlé : ces résultats ne prouvent donc pas que les deux modèles se valent dans tous les domaines de la cybersécurité. 512

Anthropic décrit la capacité de GLM-5.3 à construire des exploits de bout en bout comme une avancée importante par rapport aux modèles précédents. Sur une autre évaluation, consacrée à l’exploitation binaire, GLM-5.3 a réussi un détournement complet du flux de contrôle dans 4 % des tâches, contre 6 % pour Mythos Preview. Là encore, il s’agit de performances sur des tests particuliers, et non d’une équivalence générale. 3712

Une comparaison plus nuancée dans l’évaluation du NIST

Le Centre pour les normes et l’innovation en IA (CAISI), rattaché au NIST américain, a qualifié GLM-5.3 de modèle à poids ouverts le plus performant en cybersécurité parmi ceux qu’il avait évalués. Sur la moyenne de ses tests cyber, il le situe toutefois environ quatre mois derrière les modèles de pointe américains. 17

Ce constat ne contredit pas directement le résultat proche de Mythos mis en avant par Anthropic : le NIST a évalué le modèle sur un ensemble plus large de tests, tandis que la comparaison la plus frappante d’Anthropic porte sur un benchmark précis et sur Mythos Preview. Des protocoles et des groupes de comparaison différents peuvent aboutir à des conclusions compatibles. 1217

Des garde-fous contournés dans des simulations

Anthropic rapporte que des techniques simples ont permis de contourner les garde-fous de GLM-5.3 dans 64 % à 100 % de ses tests simulés. Ces pourcentages décrivent les résultats des méthodes et des requêtes évaluées ; ils ne correspondent pas à la probabilité qu’un attaquant réussisse une opération dans le monde réel. 12

Le rapport soulève aussi une question propre aux modèles à poids ouverts : une personne ayant accès aux paramètres du modèle peut chercher à modifier son comportement de refus, plutôt que de simplement tenter de le contourner par une requête. Un compte rendu secondaire de l’expérience évoque un coût estimé d’environ 1 200 dollars pour une équipe expérimentée, ainsi qu’une estimation d’environ 4 400 dollars en calcul pour le travail décrit. Ce sont des estimations présentées selon des descriptions différentes de l’effort requis, pas un tarif fixe ni une mesure de la fréquence à laquelle des attaquants réels y parviendraient. 1225

Ce que montrait la démonstration d’exploit

Dans un exercice rapporté par Anthropic, un chercheur s’est servi de GLM-5.3-Flash, une version plus petite du modèle, pour assembler une chaîne d’exploitation visant deux vulnérabilités déjà divulguées. L’exercice aurait mobilisé environ 20 minutes d’attention humaine et huit heures de travail du modèle, pour 20,40 dollars de frais d’API. L’une des failles concernait Chrome ; le chercheur avait fourni des informations publiques sur les vulnérabilités. La démonstration montre une aide à la construction d’une chaîne d’exploitation en test, pas la compromission d’une victime en conditions réelles. 6

La nuance est essentielle : la capacité d’un modèle à produire un exploit dans un environnement de test constitue un signal de risque potentiel, mais ce n’est pas la même chose qu’une attaque observée sur le terrain. Les informations disponibles ici ne permettent pas d’établir que GLM-5.3 a servi à pirater une cible réelle. 56

Modèles ouverts : un compromis entre accès et contrôle

Selon Anthropic, des capacités d’exploitation largement accessibles peuvent servir aussi bien aux attaquants qu’aux défenseurs. L’entreprise plaide également pour que les équipes de défense puissent accéder à des modèles avancés afin de repérer et corriger des vulnérabilités. 112

Les poids ouverts rendent les paramètres d’un modèle accessibles, ce qui permet à des utilisateurs de l’exécuter ou de l’adapter en dehors des contrôles de son développeur. Cela peut élargir l’accès à des capacités utiles aux chercheurs et aux défenseurs, mais aussi faciliter des usages malveillants. Les évaluations et les résultats sur les garde-fous éclairent ce compromis ; à eux seuls, ils ne montrent pas si limiter l’accès rendrait la cybersécurité plus sûre dans son ensemble. 412

La conclusion la plus solide reste circonscrite : dans l’évaluation d’Anthropic, GLM-5.3 s’est approché de Mythos Preview sur un benchmark d’exploitation et ses garde-fous ont cédé à des méthodes testées en simulation. L’évaluation plus large du NIST le situe toujours derrière les modèles de pointe américains, et les démonstrations rapportées n’étaient pas des attaques en conditions réelles. 1217