GLM-5.3 quasi alla pari con Claude Mythos in un test sugli exploit. Ma c’è un’altra faccia dei risultati

La valutazione pubblicata da Anthropic a settembre 2026 segnala un risultato notevole: il modello open-weight GLM-5.3, sviluppato da Z.ai, ha costruito exploit funzionanti a un ritmo vicino a quello di Claude Mythos Preview in uno specifico benchmark. Ma lo stesso rapporto riferisce che, nelle simulazioni, tecniche semplici hanno spesso aggirato le protezioni di GLM-5.3. Sono risultati di test controllati, non la prova che il modello abbia portato a termine attacchi contro bersagli reali. 12

Il confronto con Mythos Preview

Nel benchmark ExploitBench di Anthropic, GLM-5.3 ha completato exploit funzionanti in 50 tentativi su 410; Claude Mythos Preview ci è riuscito in 56. In termini percentuali, si tratta di circa il 12% contro il 14%. La prova misurava la capacità di sfruttare vulnerabilità note in un ambiente controllato: il risultato ravvicinato non dimostra che i due modelli siano equivalenti in ogni attività di cybersicurezza. 512

Anthropic ha descritto la capacità di GLM-5.3 di costruire exploit completi come un progresso significativo rispetto ai modelli precedenti. In una prova distinta di sfruttamento di vulnerabilità binarie, GLM-5.3 ha ottenuto il controllo completo del flusso di esecuzione nel 4% dei compiti, contro il 6% di Mythos Preview. Anche questo confronto riguarda test specifici, non una parità generale. 3712

La valutazione più ampia di NIST

Il Center for AI Standards and Innovation (CAISI) del NIST ha definito GLM-5.3 il modello open-weight con maggiori capacità cyber tra quelli valutati. Nel complesso dei benchmark di cybersicurezza del centro, però, lo ha collocato circa quattro mesi dietro ai modelli statunitensi di frontiera. 17

I due risultati non si contraddicono necessariamente: Anthropic ha messo a confronto GLM-5.3 e Mythos Preview su una prova specifica, mentre NIST ha considerato un insieme più ampio di benchmark e un diverso gruppo di confronto. Test diversi possono restituire conclusioni compatibili ma non identiche. 1217

Protezioni aggirate nelle simulazioni

Secondo Anthropic, tecniche semplici hanno aggirato le protezioni di GLM-5.3 nel 64–100% dei test simulati. Queste percentuali descrivono l’esito dei prompt e dei metodi provati dai ricercatori: non indicano la probabilità che un attacco nel mondo reale vada a buon fine. 12

C’è poi una questione legata ai modelli open-weight, i cui pesi possono essere scaricati e modificati: in questo caso, un utente può intervenire sul comportamento di rifiuto del modello, anziché limitarsi a formulare prompt che aggirino le protezioni. Una ricostruzione secondaria dell’esperimento stima in circa 1.200 dollari il costo per rimuoverle per un gruppo esperto; riporta anche una stima di circa 4.400 dollari di risorse di calcolo. Sono cifre riferite a descrizioni diverse del lavoro, non un prezzo fisso né una misura della frequenza con cui gli aggressori reali riuscirebbero a farlo. 1225

La dimostrazione con due vulnerabilità già note

In un esercizio descritto nel rapporto, un ricercatore ha usato GLM-5.3-Flash, la versione più piccola del modello, per creare una catena di exploit basata su due vulnerabilità già divulgate. Il lavoro avrebbe richiesto circa 20 minuti di attenzione umana e otto ore di elaborazione del modello, con 20,40 dollari di costi API secondo le tariffe indicate. Una delle vulnerabilità riguardava Chrome; il ricercatore aveva fornito i dettagli pubblici dei problemi noti. 6

La dimostrazione indica che il modello poteva aiutare a costruire una catena di exploit in un test, partendo da vulnerabilità già note. Non equivale a un attacco riuscito contro una vittima: le informazioni disponibili non documentano una compromissione reale attribuibile a GLM-5.3. 56

Il nodo dei modelli open-weight

La preoccupazione espressa da Anthropic è che strumenti capaci di sviluppare exploit possano essere usati tanto da chi attacca quanto da chi difende. La disponibilità dei pesi può ampliare l’accesso a queste capacità, ma offre anche a ricercatori indipendenti e difensori la possibilità di eseguire o adattare i modelli. 112

Il punto, quindi, non è soltanto quanto un modello riesca a fare in un benchmark, ma anche chi può usarlo e con quali protezioni. I risultati pubblicati alimentano il dibattito sull’accesso ai modelli avanzati e sulla loro distribuzione, ma da soli non dimostrano che limitare l’accesso renderebbe la cybersicurezza più sicura nel complesso. 412

La conclusione più solida resta circoscritta: nel test di Anthropic GLM-5.3 si è avvicinato a Mythos Preview su un benchmark di exploit, mentre le protezioni sono risultate vulnerabili ai metodi di aggiramento provati. Nella valutazione più ampia di NIST il modello è rimasto indietro rispetto ai modelli statunitensi di frontiera; le dimostrazioni riportate, inoltre, non erano attacchi in ambiente reale. 1217