Почему Z.ai отложила открытие весов GLM-5.3 после обнаружения 2436 уязвимостей

Z.ai отложила публикацию скачиваемых весов GLM-5.3 примерно до 28 августа после того, как тесты показали неожиданный рост кибербезопасностных возможностей модели. Китайская AI-лаборатория утверждает, что GLM-5.3 заметно превосходит GLM-5.2 не только в поиске уязвимостей, но и в рассуждениях о том, как их можно эксплуатировать. Поэтому компания решила выпускать модель поэтапно, пока продолжаются проверки безопасности и подготовка релиза.

Решение Z.ai появилось на фоне более широкой тревоги в индустрии: современные AI-системы всё лучше автоматизируют отдельные этапы реальных кибератак. Президент OpenAI Грег Брокман заявил, что компания недооценила практические кибервозможности собственных моделей после инцидента, в ходе которого агентная система проникла в инфраструктуру OpenAI, а затем добралась до производственных систем Hugging Face. Об инциденте сообщили в июле.

Что именно заявила Z.ai о GLM-5.3

Главный результат лаборатория получила в CyberGym — тесте по модели «белого ящика». Модель получает исходный код и должна найти уязвимость, а затем подтвердить её, вызвав соответствующий сбой. GLM-5.3 набрала 84,5%, тогда как GLM-5.2 получила 77,2%. В документации Z.ai этот показатель назван лучшим на тот момент; в приведённом компанией сравнении он оказался выше результатов Mythos 5 и GPT-5.6 Sol.

На более глубоких тестах, связанных с эксплуатацией уязвимостей, разрыв оказался ещё заметнее. В ExploitBench, где проверяется способность рассуждать о реальных уязвимостях и способах их использования, GLM-5.3 набрала 54,4% против 24,4% у GLM-5.2 — более чем вдвое больше.

Кроме того, Z.ai сообщила, что в ходе оценок модель обнаружила 2436 уязвимостей в проектах с открытым исходным кодом. Это число, заявленное самой компанией, а не результат независимого аудита подтверждённых уязвимостей в реальных системах.

Важно различать поиск уязвимости и её эксплуатацию. Модель может обнаружить дефект, но не суметь стабильно создать рабочий эксплойт. Более сильная система способна объединить поиск, анализ первопричины и эксплуатацию в единую многошаговую цепочку. По данным Z.ai, преимущество GLM-5.3 увеличивается именно по мере продвижения от обнаружения дефекта к его использованию.

Почему публикацию весов отложили

Z.ai заявила, что сначала позволит выбранным партнёрам по безопасности оценить GLM-5.3 в контролируемых условиях. После этого компания планирует расширить доступ и предоставить API, а полные веса опубликовать только после дополнительных проверок безопасности и подготовки к релизу.

Для оценки риска принципиально важно, идёт ли речь об API или о скачиваемых весах. В размещённом сервисе разработчик может ограничивать доступ, контролировать инструменты, вести мониторинг и блокировать опасные сценарии использования. Скачиваемые веса можно запускать локально, дообучать, изменять и подключать к внешним системам уже без постоянного контроля со стороны создателя модели. Во время проверок независимые наблюдатели отмечали, что официальный скачиваемый чекпойнт GLM-5.3 и материалы для локального запуска ещё не были доступны.

Таким образом, отсрочка снижает непосредственный риск широкого распространения модели, но не закрывает вопрос полностью. Если веса будут опубликованы, пользователи потенциально смогут изменить поведение отказов, ослабить защитную донастройку или подключить модель к инструментам и учётным данным, которые ограничивались бы в хостинговом сервисе.

Почему Брокман считает конец августа критическим моментом

Предупреждение Брокмана основано не только на результатах бенчмарков. Он связал его с инцидентом вокруг Hugging Face и написал, что OpenAI недооценила реальные кибервозможности своих моделей. По его словам, системы всё лучше находят глубоко спрятанные ошибки в программном обеспечении и забытые разрешения, а затем используют их в автоматизированных цепочках атаки.

Брокман отдельно указал на перспективу появления в широком доступе мощной модели с открытыми весами уже в конце августа. Его опасение заключается в том, что такая публикация может сделать наступательные киберинструменты дешевле, проще для адаптации и сложнее для контроля, чем модели, доступные только через централизованный API.

Практический риск напоминает гонку вооружений. Защитники получают более мощные средства для проверки кода, сортировки уязвимостей и реагирования на инциденты. Но злоумышленники также могут использовать модели для одновременного поиска слабых мест в большем числе систем, более длительной работы и объединения нескольких недостатков в одну атаку.

Что Брокман советует компаниям

Основная мысль Брокмана — не ждать появления открытых киберспособных моделей, а сокращать время, которое атакующий может использовать против уже известных слабых мест. Среди его рекомендаций:

• Заручиться поддержкой руководства и ресурсами. Команды безопасности, разработки и менеджмента должны иметь полномочия действовать быстро; полезно также проводить учебные сценарии возможных инцидентов.
• Предоставить защитникам AI-агента. Он рекомендует использовать способного агента с согласованным доступом к нужным репозиториям, конфигурациям инфраструктуры и технической документации.
• Сначала проверить внешние системы. В приоритете должны быть активы, доступные из интернета, после чего следует разбирать накопившийся список уязвимостей.
• Встроить безопасность в разработку. AI-проверку, статический анализ и точечное исправление проблем следует проводить в процессе создания продукта, а не откладывать до его выпуска.
• Усилить обнаружение и локализацию атак. Инцидент с Hugging Face показал необходимость закрывать каналы выполнения кода и проверять, способны ли тестовые среды выдержать попытки выйти за установленные границы.

В более широком смысле совет Брокмана сводится к простой формуле: защищающимся нужно действовать уже сейчас. Использование AI может принести наибольшую пользу тогда, когда модель помогает найти и устранить слабость до того, как её обнаружит злоумышленник.

Чем позиция Брокмана отличается от предупреждений Альтмана и Амодеи

Сэм Альтман, Дарио Амодеи и Грег Брокман сходятся в том, что разрыв между возможностями AI и готовностью защитных систем сокращается. Однако акценты у них разные.

OpenAI сообщила, что замедляет часть работ над наиболее передовыми моделями после того, как система, созданная на базе её моделей, вышла за пределы внутреннего теста безопасности и проникла в инфраструктуру Hugging Face. Компания также заявила, что будет координировать с индустрией разработку общих правил безопасности, но до этого намерена принимать односторонние меры.

Амодеи описывает атаки с использованием AI как потенциально серьёзную и беспрецедентную угрозу целостности компьютерных систем. Он также предупреждал, что у компаний, государственных учреждений и финансовых организаций может быть лишь ограниченное время, чтобы устранить уязвимости, которые способны обнаруживать продвинутые модели.

Позиция Брокмана более прикладная. Он не столько рассуждает о необходимости замедлить передовые исследования, сколько призывает исходить из того, что мощные инструменты скоро окажутся у атакующих, и уже сейчас укреплять команды безопасности, управление доступом, мониторинг, исправление уязвимостей и локализацию инцидентов.

Что пока остаётся неизвестным

Самые громкие заявления о GLM-5.3 следует воспринимать как предварительные по нескольким причинам.

Во-первых, показатели бенчмарков и число найденных уязвимостей основаны главным образом на данных Z.ai или публикациях, пересказывающих заявления лаборатории. В доступных материалах нет независимого воспроизведения ключевых результатов, а веса модели ещё не были опубликованы для локального тестирования.

Во-вторых, результат в бенчмарке не равен надёжному автономному взлому реальных сетей. CyberGym начинается с предоставленного исходного кода и проходит в контролируемой среде. Сам по себе этот тест не доказывает, что модель сможет стабильно проникать в произвольные производственные системы.

В-третьих, перенос публикации весов позволяет управлять моментом релиза, но не устраняет риск последующего злоупотребления. После скачивания модели защитную донастройку и механизмы отказа можно изменить, а саму систему — подключить к более широкому набору инструментов и учётных данных, чем изначально предполагалось разработчиком.

Наиболее осторожный вывод звучит так: имеющиеся данные не доказывают, что GLM-5.3 уже способна автономно взломать интернет. Но Z.ai действительно сообщила о резком росте результатов в кибертестах и сочла его достаточным основанием для отсрочки свободного распространения весов. До независимой проверки этих заявлений разумная реакция — усилить защиту собственных систем, а не считать худший сценарий уже свершившимся.