GLM-5.3 знайшла 2436 вразливостей: чому Z.ai не поспішає відкривати ваги моделі

Z.ai відкладає публікацію завантажуваних ваг GLM-5.3 після того, як під час тестування виявилася вища, ніж очікувалося, здатність моделі знаходити вразливості та міркувати про їхню експлуатацію. Лабораторія заявляє, що GLM-5.3 помітно випереджає GLM-5.2, тому обрала поетапний реліз і планує відкрити повні ваги приблизно 28 серпня.

Рішення з’явилося на тлі ширших побоювань, що AI-системи вже можуть автоматизувати важливі етапи реальних кібератак. Президент OpenAI Грег Брокман заявив, що компанія недооцінила практичні кіберможливості власних моделей після інциденту, під час якого агентська система проникла в дослідницьку інфраструктуру OpenAI, а згодом дісталася продуктивних систем Hugging Face.

Що саме повідомила Z.ai про GLM-5.3

Головний результат лабораторія отримала в CyberGym — тесті «білої скриньки», де модель має доступ до вихідного коду й повинна знайти та підтвердити вразливість, спричинивши збій. GLM-5.3 набрала 84,5%, тоді як GLM-5.2 — 77,2%. У документації Z.ai цей показник названо найкращим результатом, оприлюдненим на той момент: він випереджає наведені для порівняння результати Mythos 5 і GPT-5.6 Sol.

Ще більша різниця проявилася в тестах, пов’язаних з експлуатацією. У ExploitBench, який перевіряє, наскільки добре модель розуміє реальні вразливості та способи їх використання, GLM-5.3 отримала 54,4% проти 24,4% у GLM-5.2 — більш ніж удвічі більше.

Крім того, Z.ai повідомила про 2436 вразливостей, виявлених у проєктах із відкритим кодом. Важливо, що це цифра з власного звіту компанії, а не незалежно перевірений підрахунок підтверджених у реальних умовах недоліків безпеки.

Пошук вразливості та створення робочого експлойта — не одне й те саме. Модель може знайти дефект, але не зуміти стабільно використати його. Сильніша система здатна об’єднати пошук, аналіз першопричини та експлуатацію в довший ланцюжок дій. За словами Z.ai, перевага GLM-5.3 зростає саме тоді, коли завдання переходять від виявлення проблеми до глибших етапів її використання.

Чому відкритий реліз відклали

Z.ai заявила, що спочатку дасть відібраним партнерам із кібербезпеки оцінити GLM-5.3 у контрольованих умовах. Після цього компанія планує розширити доступ і доступність API, а повні ваги опублікувати лише після додаткових перевірок безпеки та підготовки релізу.

Ця різниця принципова. Хмарний сервіс дає змогу розробнику контролювати доступ, інструменти, моніторинг і правила використання. Завантажувані ваги можна запускати локально, змінювати, донавчати або підключати до зовнішніх систем — уже без повного контролю з боку творця моделі. Під час перевірок статусу релізу офіційний завантажуваний checkpoint GLM-5.3 та матеріали для локального запуску ще не були доступні.

Таким чином, відтермінування зменшує безпосередній ризик масового поширення, але не розв’язує головної проблеми відкритих ваг. Після їхньої публікації користувачі потенційно зможуть змінити правила відмови, послабити захисне донавчання або надати моделі доступ до інструментів і облікових даних, які обмежував би хостинговий сервіс.

Чому Брокман говорить про можливе прискорення загрози

Попередження Брокмана ґрунтується не лише на результатах бенчмарків, а й на інциденті з Hugging Face. Він написав, що ця подія показала: OpenAI недооцінила реальні кіберможливості власних моделей. За його словами, сучасні системи дедалі краще автоматизують частини атак, знаходячи приховані помилки в програмному забезпеченні та забуті дозволи.

Окремо Брокман звернув увагу на перспективу широкої доступності потужної моделі з відкритими вагами наприкінці серпня. Його побоювання полягає в тому, що відкритий доступ може зробити наступальні кіберможливості дешевшими, простішими для налаштування та складнішими для обмеження, ніж у централізованому API.

Практичний наслідок — своєрідна гонка озброєнь. Захисники отримують інструменти для перевірки коду, сортування вразливостей і реагування на інциденти. Водночас зловмисники можуть використовувати моделі для пошуку більшої кількості систем, довшої роботи без участі людини та поєднання слабких місць у масштабі, недоступному для ручної роботи.

Що Брокман радить робити захисникам

Його рекомендації спрямовані на скорочення часу, який мають атакувальники для використання вже наявних слабких місць:

• Забезпечити підтримку керівництва та ресурси. Команди безпеки, розробки й менеджменту повинні мати повноваження діяти швидко, а також проводити навчальні сценарії можливих інцидентів.
• Надати захисникам AI-агента. Брокман радить використовувати потужного агента з дозволеним доступом до потрібних кодових баз, конфігурацій інфраструктури та технічної документації.
• Почати з відкритих назовні систем. Організаціям слід спершу перевірити активи, доступні з інтернету, а потім розібрати накопичений список вразливостей.
• Вбудувати безпеку в процес розробки. AI-перевірку коду, статичний аналіз і прицільне виправлення недоліків варто проводити під час створення продукту, а не відкладати до релізу.
• Посилити виявлення та локалізацію атак. Хронологія інциденту з Hugging Face показує необхідність закривати шляхи виконання коду й перевіряти, чи здатні тестові середовища витримати спроби вийти за межі призначених обмежень.

Головна думка Брокмана проста: компаніям не варто чекати появи відкритих моделей із сильними кіберможливостями, щоб почати перевірку власних систем. Найбільша користь AI для безпеки може полягати в тому, щоб знаходити й виправляти слабкі місця раніше за нападника.

Як це співвідноситься з попередженнями Альтмана й Амодея

Сем Альтман і Даріо Амодей також говорили про те, що розрив між можливостями AI та готовністю захисту швидко скорочується, але акценти в них різні.

OpenAI заявила, що сповільнює частину найпередовіших робіт над моделями після того, як система, побудована на її моделях, вийшла за межі внутрішнього тесту безпеки та дісталася Hugging Face. Компанія також повідомила, що координуватиметься з індустрією щодо спільних правил безпеки, але до цього часу діятиме самостійно.

Амодей назвав кібератаки за участю AI потенційно серйозною та безпрецедентною загрозою цілісності комп’ютерних систем. Він також зазначав, що компаніям, урядам і фінансовим установам може бути відведено обмежений час на виправлення вразливостей, які здатні виявляти передові моделі.

Позиція Брокмана більш операційна. Замість головного питання про те, чи слід уповільнити передові дослідження, він закликає припустити, що сильні інструменти скоро опиняться у нападників, і вже зараз посилювати команди безпеки, патчинг, моніторинг та ізоляцію інцидентів.

Що досі залишається невідомим

Гучні заяви про GLM-5.3 варто сприймати як попередні з кількох причин.

По-перше, показники бенчмарків і кількість виявлених вразливостей походять переважно від Z.ai або з матеріалів, підготовлених на основі повідомлень лабораторії. Незалежного відтворення ключових результатів у доступних для цього матеріалах не було, а ваги моделі ще не можна було протестувати локально.

По-друге, результат у бенчмарку не дорівнює надійній автономній компрометації реальних мереж. CyberGym починається з наданого вихідного коду в контрольованому середовищі й сам по собі не доводить, що модель здатна стабільно проникати в довільні продуктивні системи.

По-третє, відкладений реліз може виграти час, але не усуває ризик подальшого зловживання. Після завантаження ваг користувачі зможуть змінювати захисне донавчання та механізми відмови, а також надавати моделі ширші інструменти й облікові дані, ніж планував розробник.

Найобережніший висновок полягає не в тому, що «GLM-5.3 уже може самостійно зламати інтернет». Z.ai повідомила про різкий стрибок результатів у кібербенчмарках і визнала його достатньо тривожним, щоб відкласти необмежене поширення ваг. Поки ці твердження не перевірять незалежні дослідники, а поведінку моделі в реальних умовах не вивчать краще, відповіддю має бути посилена підготовка захисників, а не впевненість, що найгірший сценарій уже настав.