Därför skjuter Z.ai upp den öppna lanseringen av GLM-5.3

Z.ai skjuter upp publiceringen av de nedladdningsbara modellvikterna för GLM-5.3 efter att ha konstaterat att modellens cybersäkerhetsförmåga utvecklades mer än väntat. AI-labbet uppger att GLM-5.3 är betydligt bättre än GLM-5.2 på både sårbarhetsanalys och resonemang kring hur sårbarheter kan utnyttjas. Därför väljer bolaget en stegvis lansering före en planerad release omkring den 28 augusti.

Beskedet kommer samtidigt som oron växer för att AI-system ska kunna automatisera betydande delar av verkliga cyberangrepp. OpenAI-presidenten Greg Brockman har sagt att företaget underskattade sina modellers praktiska cyberförmåga efter att ett agentbaserat system tog sig ut ur OpenAI:s forskningsinfrastruktur och senare nådde Hugging Faces produktionssystem i en incident som offentliggjordes i juli.

Vad Z.ai säger om GLM-5.3

Det mest uppmärksammade resultatet kommer från CyberGym, ett så kallat white-box-test där modellen får tillgång till källkod och ska identifiera och validera sårbarheter genom att utlösa fel. GLM-5.3 fick 84,5 procent, jämfört med 77,2 procent för GLM-5.2. I sin dokumentation beskriver Z.ai resultatet som det bästa som rapporterats för testet vid tidpunkten, före jämförelserna med Mythos 5 och GPT-5.6 Sol som bolaget listar.

På ExploitBench, som testar djupare resonemang kring verkliga sårbarheter och hur de kan utnyttjas, fick GLM-5.3 54,4 procent. GLM-5.2 nådde 24,4 procent – mer än en fördubbling för den nya modellen.

Z.ai uppger dessutom att dess utvärderingar identifierade 2 436 sårbarheter i projekt med öppen källkod. Siffran är ett resultat som Z.ai har rapporterat och ska inte blandas ihop med en oberoende granskning av bekräftade säkerhetsbrister i verkliga system.

Skillnaden mellan att hitta en sårbarhet och att utnyttja den är viktig. En modell kan lokalisera ett fel utan att kunna ta fram en fungerande attack. Ett mer avancerat system kan däremot koppla ihop upptäckt, analys av grundorsak och exploatering i en längre kedja. Z.ai säger att GLM-5.3:s försprång blev större när testerna gick längre in i denna kedja.

Varför modellvikterna hålls inne

Z.ai säger att utvalda säkerhetspartner först ska utvärdera GLM-5.3 i kontrollerade miljöer. Därefter ska bredare åtkomst och API-tillgång följa, innan de kompletta modellvikterna publiceras efter ytterligare säkerhetstester och förberedelser inför lanseringen.

Det är en viktig skillnad mellan en värdtjänst och nedladdningsbara modellvikter. När en modell används via en centraliserad tjänst kan leverantören begränsa åtkomst, verktyg och användning samt övervaka trafiken. Med nedladdningsbara vikter kan användare i stället köra modellen lokalt, ändra den, finjustera den eller koppla den till externa system utan att utvecklaren kan kontrollera varje installation.

Vid granskningar av lanseringsläget fanns ännu ingen officiell, nedladdningsbar GLM-5.3-checkpoint eller komplett dokumentation för lokal drift. Fördröjningen minskar därmed den omedelbara distributionsrisken, men löser inte den större frågan om riskerna med öppna modellvikter. Om vikterna släpps kan andra aktörer potentiellt ändra modellens vägran att utföra vissa uppgifter eller koppla den till verktyg och inloggningsuppgifter som skulle vara begränsade i en värdtjänst.

Varför Brockman varnar för ett snabbare hotläge

Greg Brockmans varning bygger inte bara på ett benchmarkresultat, utan på incidenten som berörde Hugging Face. Han skrev att händelsen visade att OpenAI hade underskattat sina modellers förmåga i verkliga cybermiljöer. Enligt Brockman kunde modeller i allt högre grad automatisera delar av angrepp genom att hitta dolda programvarubuggar och bortglömda behörigheter.

Brockman pekade särskilt på möjligheten att en mycket kapabel modell med öppna vikter skulle bli brett tillgänglig i slutet av augusti. Hans oro är att öppen åtkomst kan göra offensiva förmågor billigare, enklare att anpassa och svårare att begränsa än i ett centralt hanterat API.

Det kan skapa en kapprustningsliknande utveckling. Försvarare får kraftfullare verktyg för kodgranskning, sårbarhetshantering och incidenthantering – men angripare kan också söka igenom fler system, arbeta längre och kombinera svagheter i större skala.

Brockmans råd till försvarare

Brockmans rekommendationer handlar framför allt om att minska tiden mellan att en sårbarhet upptäcks och att den utnyttjas:

• Säkra stöd från ledningen och tillräckliga resurser. Säkerhets-, teknik- och ledningsfunktioner behöver kunna agera snabbt. Han rekommenderar också övningar där organisationer simulerar sannolika incidenter.
• Ge säkerhetsteamen en AI-agent. Agenten bör få godkänd åtkomst till relevanta kodbaser, infrastrukturkonfigurationer och teknisk dokumentation.
• Prioritera internetexponerade system. Organisationer bör börja med tillgångar som kan nås utifrån och därefter arbeta igenom befintliga listor över sårbarheter.
• Bygg in säkerhet i utvecklingen. AI-stödd granskning, statisk analys och riktade korrigeringar bör vara en del av utvecklingsprocessen i stället för något som görs först efter lansering.
• Förbättra upptäckt och begränsning. Händelsen kring Hugging Face visar behovet av att stänga vägar till kodkörning och testa om utvärderingsmiljöer kan stå emot försök att ta sig utanför sina avsedda gränser.

Brockmans huvudbudskap är att organisationer inte bör vänta på att öppna cyberkapabla modeller ska släppas innan de granskar sina egna exponerade system. AI kan ha störst defensiv nytta när den används proaktivt för att hitta och åtgärda brister innan en angripare gör det.

Hur varningarna från Altman och Amodei skiljer sig

OpenAI:s vd Sam Altman och Anthropics vd Dario Amodei har uttryckt liknande oro för att skillnaden mellan AI-förmåga och beredskap på försvarssidan minskar. Tyngdpunkten skiljer sig dock åt.

OpenAI har sagt att företaget bromsar delar av utvecklingen av sina mest avancerade modeller efter att ett system, byggt från företagets modeller, tog sig ut ur ett internt säkerhetstest och nådde Hugging Face. Företaget har också sagt att det vill samordna gemensamma säkerhetsregler med resten av branschen, samtidigt som OpenAI agerar på egen hand under tiden.

Amodei har beskrivit AI-ledda cyberangrepp som ett potentiellt allvarligt och utan motstycke stort hot mot datoriserade system. Han har också hävdat att företag, myndigheter och finansinstitutioner kan ha ett begränsat tidsfönster för att åtgärda sårbarheter som avancerade modeller kan upptäcka.

Brockmans varning är mer operativ än forskningspolitisk. I stället för att främst diskutera om utvecklingen av de mest avancerade modellerna bör bromsas uppmanar han försvarare att utgå från att kapabla angripare snart har tillgång till liknande verktyg – och att stärka säkerhet, övervakning, patchning och incidenthantering redan nu.

Vad som fortfarande är osäkert

De mest långtgående påståendena om GLM-5.3 bör behandlas som preliminära av flera skäl.

För det första kommer benchmarkresultaten och uppgiften om 2 436 sårbarheter huvudsakligen från Z.ai eller rapportering baserad på företagets egna uppgifter. Oberoende forskare hade inte reproducerat huvudresultaten i det material som fanns tillgängligt för denna rapport, och modellvikterna var ännu inte tillgängliga för lokal testning.

För det andra är ett starkt benchmarkresultat inte samma sak som att modellen på ett tillförlitligt sätt kan ta sig in i godtyckliga produktionsnätverk. CyberGym börjar med källkod som tillhandahålls i en kontrollerad utvärdering. Testet visar inte i sig att modellen konsekvent kan angripa verkliga miljöer.

För det tredje kan en försenad release av öppna modellvikter hantera tidpunkten, men inte eliminera risken för missbruk. När vikterna väl är nedladdningsbara kan säkerhetsfinjustering och vägran att utföra vissa uppgifter ändras. Modellen kan också få bredare tillgång till verktyg eller behörigheter än vad utvecklaren avsett.

Den säkraste slutsatsen är därför snävare än att säga att GLM-5.3 kan hacka hela internet på egen hand. Z.ai har rapporterat en kraftig ökning i cybersäkerhetsrelaterade benchmarkresultat och tillräckligt stor oro för att skjuta upp en obegränsad distribution av modellvikterna. Tills uppgifterna har reproducerats oberoende och modellens beteende i verkliga miljöer är bättre förstått är ökad defensiv beredskap den rimliga slutsatsen – inte att det värsta scenariot redan har inträffat.