Hugging Faceでの出来事が示した需要

この方向性を後押しした実例の一つが、Hugging FaceによるGLM-5.2の利用だった。Hugging Faceは、OpenAIの技術を使って構築された自律型エージェントが、テスト中に同社のインフラへ侵入した事案の調査に、ZhipuのGLM-5.2を用いた。

この一件は、AIを使ったインシデント対応への需要を浮き彫りにした。同時に、米国のAI提供事業者がサイバー用途に厳しい制限を設ける場合、そうした制約の少ないモデルを提供する企業に、商業面・戦略面の機会が生まれる可能性も示した。

GLM-5.3の性能が突きつける二重用途の問題

GLM-5.3をめぐってZ.aiが示した評価では、同モデルの脆弱性検出能力は高い水準に達している。同社は、ソースコードを調べてセキュリティ上の欠陥を見つけ、その存在を検証するCyberGymで、GLM-5.3が84.5％を記録したと説明している。比較対象として挙げたAnthropicの制限付きサイバーセキュリティモデル「Mythos 5」は83.8％だったという。

ただし、これらはZ.aiが公表した社内評価に基づく数字であり、両モデルの性能が独立した検証で同等だと証明したものではない。

また、脆弱性を「見つける」ことと、それを実際に機能する攻撃へ変換することは別の能力だ。Z.aiの説明では、GLM-5.3は前者で強みを見せる一方、後者ではMythos 5を下回った。防御に役立つ能力と攻撃に悪用できる能力が同じモデル内で近接していることが、今回の発表の難しさでもある。

なぜオープンウェイトが問題になるのか

オープンウェイトモデルは、学習済みの重みをダウンロードし、自分の環境で動かせるモデルを指す。利用者にとっては、特定企業のAPIや料金体系に依存せず、より柔軟かつ低コストに運用できる利点がある。

一方で、重みが公開されると、攻撃者が脆弱性の探索や侵入プロセスの一部を自動化する際の費用、専門知識、時間を引き下げる可能性がある。Z.aiがオープンな公開を掲げながら、GLM-5.3の重みの公開を安全性審査の後に遅らせたのは、この二重用途のリスクを考慮したためだ。

Z.aiが示す「選択的な開放」

Z.aiの対応は、全面的な非公開でも無制限の公開でもない。リスク評価と監視を組み合わせ、高リスクのサイバー要求は遮断する一方、通常のプログラミングや防御目的のセキュリティ作業は利用できるようにするという、段階的な管理を打ち出している。

特に機微な攻撃機能については、「Cybersecurity Trusted Access」の枠組みで認証済みユーザーに限定する方針だ。一般利用者には広く開放しつつ、実際の侵入に直結しやすい機能だけを厳しく管理する考え方である。

最大の焦点は、重み公開後も制御できるか

この戦略が長期的に機能するかは、GLM-5.3の重みが公開された後にかかっている。Z.aiがホストするAPIであれば、要求の遮断やユーザー確認によって利用を管理できる。しかし、重みを第三者が自分の環境に展開した場合、同じ制御を外部から適用するのははるかに難しい。

その意味でGLM-5.3は、単なる高性能なコーディングモデルの発表ではない。AIサイバー能力を閉じたサービスとして管理するのか、それともオープンソースの防御力を高めるために広く配るのか。Z.aiは後者を選びながら、最も危険な機能にだけアクセス制御を集中させる道を試している。これが、同社の取り組みが「Project Glasswingの中国版」と評される理由だ。

Hugging Faceでの出来事が示した需要

この方向性を後押しした実例の一つが、Hugging FaceによるGLM-5.2の利用だった。Hugging Faceは、OpenAIの技術を使って構築された自律型エージェントが、テスト中に同社のインフラへ侵入した事案の調査に、ZhipuのGLM-5.2を用いた。

この一件は、AIを使ったインシデント対応への需要を浮き彫りにした。同時に、米国のAI提供事業者がサイバー用途に厳しい制限を設ける場合、そうした制約の少ないモデルを提供する企業に、商業面・戦略面の機会が生まれる可能性も示した。

GLM-5.3の性能が突きつける二重用途の問題

GLM-5.3をめぐってZ.aiが示した評価では、同モデルの脆弱性検出能力は高い水準に達している。同社は、ソースコードを調べてセキュリティ上の欠陥を見つけ、その存在を検証するCyberGymで、GLM-5.3が84.5％を記録したと説明している。比較対象として挙げたAnthropicの制限付きサイバーセキュリティモデル「Mythos 5」は83.8％だったという。

ただし、これらはZ.aiが公表した社内評価に基づく数字であり、両モデルの性能が独立した検証で同等だと証明したものではない。

また、脆弱性を「見つける」ことと、それを実際に機能する攻撃へ変換することは別の能力だ。Z.aiの説明では、GLM-5.3は前者で強みを見せる一方、後者ではMythos 5を下回った。防御に役立つ能力と攻撃に悪用できる能力が同じモデル内で近接していることが、今回の発表の難しさでもある。

なぜオープンウェイトが問題になるのか

オープンウェイトモデルは、学習済みの重みをダウンロードし、自分の環境で動かせるモデルを指す。利用者にとっては、特定企業のAPIや料金体系に依存せず、より柔軟かつ低コストに運用できる利点がある。

一方で、重みが公開されると、攻撃者が脆弱性の探索や侵入プロセスの一部を自動化する際の費用、専門知識、時間を引き下げる可能性がある。Z.aiがオープンな公開を掲げながら、GLM-5.3の重みの公開を安全性審査の後に遅らせたのは、この二重用途のリスクを考慮したためだ。

Z.aiが示す「選択的な開放」

Z.aiの対応は、全面的な非公開でも無制限の公開でもない。リスク評価と監視を組み合わせ、高リスクのサイバー要求は遮断する一方、通常のプログラミングや防御目的のセキュリティ作業は利用できるようにするという、段階的な管理を打ち出している。

特に機微な攻撃機能については、「Cybersecurity Trusted Access」の枠組みで認証済みユーザーに限定する方針だ。一般利用者には広く開放しつつ、実際の侵入に直結しやすい機能だけを厳しく管理する考え方である。

最大の焦点は、重み公開後も制御できるか

この戦略が長期的に機能するかは、GLM-5.3の重みが公開された後にかかっている。Z.aiがホストするAPIであれば、要求の遮断やユーザー確認によって利用を管理できる。しかし、重みを第三者が自分の環境に展開した場合、同じ制御を外部から適用するのははるかに難しい。

その意味でGLM-5.3は、単なる高性能なコーディングモデルの発表ではない。AIサイバー能力を閉じたサービスとして管理するのか、それともオープンソースの防御力を高めるために広く配るのか。Z.aiは後者を選びながら、最も危険な機能にだけアクセス制御を集中させる道を試している。これが、同社の取り組みが「Project Glasswingの中国版」と評される理由だ。