GLM-5.3 gần ngang Claude Mythos trong một bài test — nhưng hàng rào an toàn dễ bị vượt qua

Đánh giá công bố tháng 9/2026 của Anthropic cho thấy GLM-5.3, mô hình có trọng số mở của Z.ai, có thể tạo exploit đầu-cuối với kết quả gần Claude Mythos Preview trong một bài kiểm tra. Cùng báo cáo đó, Anthropic cho biết các cách thức đơn giản thường vượt qua được hàng rào an toàn của GLM-5.3 trong môi trường mô phỏng. Đây là kết quả kiểm thử có kiểm soát, không phải bằng chứng rằng mô hình đã được dùng để tấn công thành công một mục tiêu ngoài đời thực. 12

Một bài kiểm tra, hai mô hình có điểm số gần nhau

Trong bài ExploitBench của Anthropic, GLM-5.3 tạo exploit hoạt động trong 50 trên 410 lần thử, còn Claude Mythos Preview đạt 56 lần. Tương ứng, tỷ lệ là khoảng 12% và 14%. Bài đánh giá đo khả năng phát triển exploit nhằm vào các lỗ hổng đã biết trong môi trường kiểm soát; kết quả sít sao này không chứng minh hai mô hình ngang nhau trên mọi nhiệm vụ an ninh mạng. 512

Anthropic xem khả năng xây dựng exploit đầu-cuối của GLM-5.3 là bước tiến đáng kể so với các mô hình trước đó. Ở một bài đánh giá riêng về khai thác nhị phân, GLM-5.3 thực hiện được thao tác chiếm quyền điều khiển luồng chương trình trong 4% nhiệm vụ, so với 6% của Mythos Preview. Những con số này cho thấy năng lực đáng chú ý ở một số bài test cụ thể, chứ không đồng nghĩa hai mô hình tương đương toàn diện. 3712

Đánh giá rộng hơn của NIST đưa ra bức tranh khác

Trung tâm Tiêu chuẩn và Đổi mới AI (CAISI) thuộc Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) gọi GLM-5.3 là mô hình có trọng số mở có năng lực an ninh mạng cao nhất mà cơ quan này từng đánh giá. Tuy vậy, trên tổng hợp các bài kiểm tra an ninh mạng của CAISI, mô hình vẫn chậm hơn các hệ thống AI tiên phong hiện nay của Mỹ khoảng bốn tháng. 17

Hai đánh giá không nhất thiết mâu thuẫn. Anthropic nêu bật kết quả của GLM-5.3 khi so với Mythos Preview trong một bài kiểm tra cụ thể; NIST đánh giá mô hình trên tập hợp bài kiểm tra rộng hơn và so với một nhóm hệ thống khác. Phạm vi và đối tượng so sánh khác nhau có thể dẫn đến những kết luận cùng đúng. 1217

Hàng rào an toàn bị vượt qua trong các lượt mô phỏng

Anthropic cho biết các kỹ thuật đơn giản đã vượt qua hàng rào an toàn của GLM-5.3 trong 64%–100% lượt thử mô phỏng. Tỷ lệ này phản ánh kết quả của những câu lệnh và phương pháp được đem kiểm tra, không phải xác suất một kẻ tấn công sẽ thành công trong một chiến dịch thực tế. 12

Mô hình có trọng số mở cũng đặt ra một vấn đề riêng: người dùng có thể tiếp cận trọng số để chạy mô hình hoặc điều chỉnh hành vi từ chối, thay vì chỉ tìm cách lách quy tắc qua câu lệnh. Một bài viết dẫn lại thí nghiệm của Anthropic ước tính một nhóm có kinh nghiệm có thể loại bỏ cơ chế từ chối với chi phí khoảng 1.200 USD; bài viết này cũng nêu ước tính khoảng 4.400 USD cho phần tính toán. Đây là các ước tính gắn với những cách mô tả khác nhau về công sức thực hiện, không phải mức giá cố định hay thước đo tần suất người tấn công ngoài đời sẽ làm vậy. 1225

Ví dụ exploit được dựng trong thử nghiệm

Trong một thử nghiệm được báo cáo, một nhà nghiên cứu dùng phiên bản nhỏ hơn GLM-5.3-Flash để xây dựng chuỗi khai thác hai lỗ hổng đã được công bố. Theo báo cáo, quá trình cần khoảng 20 phút chú ý của con người, tám giờ chạy mô hình và 20,40 USD phí API. Một lỗ hổng liên quan đến Chrome; nhà nghiên cứu cung cấp thông tin công khai về các lỗ hổng đã biết. Thử nghiệm cho thấy mô hình có thể hỗ trợ phát triển chuỗi khai thác trong bối cảnh kiểm tra — không cho thấy một nạn nhân đang sử dụng hệ thống thật đã bị xâm nhập. 6

Sự phân biệt này rất quan trọng: mô hình tạo được exploit trong điều kiện thử nghiệm là dấu hiệu về nguy cơ bị lạm dụng, nhưng không đồng nghĩa với việc đã chứng minh có cuộc tấn công ngoài thực tế. Các thông tin được nêu ở đây không xác nhận GLM-5.3 từng được dùng để xâm nhập mục tiêu thật. 56

Tranh luận về mô hình mở và quyền tiếp cận của bên phòng thủ

Anthropic lo ngại rằng năng lực xây dựng exploit khi được phổ biến rộng có thể phục vụ cả người tấn công lẫn đội ngũ phòng thủ. Công ty cũng lập luận rằng các bên phòng thủ cần được tiếp cận những mô hình tiên tiến để tìm và khắc phục lỗ hổng. 112

Mô hình có trọng số mở tạo ra một thế lưỡng nan: giới nghiên cứu độc lập và đội ngũ bảo mật có thể tiếp cận, sử dụng mô hình, nhưng người dùng cũng có thêm khả năng chạy hoặc chỉnh sửa mô hình ngoài các biện pháp kiểm soát của nhà phát triển. Kết quả benchmark và thử nghiệm hàng rào an toàn góp thêm dữ liệu cho cuộc tranh luận này, nhưng tự chúng không trả lời được liệu hạn chế quyền truy cập có khiến an ninh mạng an toàn hơn hay không. 412

Kết luận thận trọng nhất là: trong đánh giá của Anthropic, GLM-5.3 tiệm cận Mythos Preview ở một bài kiểm tra exploit, đồng thời các biện pháp bảo vệ của mô hình dễ bị những cách thức đã thử vượt qua. Đánh giá rộng hơn của NIST vẫn xếp GLM-5.3 sau các hệ thống AI tiên phong hiện nay của Mỹ, còn những ví dụ được báo cáo không phải là các cuộc tấn công trực tiếp vào mục tiêu thật. 1217