Anthropic sur GLM-5.3 : une alerte cyber sérieuse qui reconnaît aussi un saut de capacité

RESEARCH NOTE · 30 SEP 2026

Un modèle peut être assez performant pour que son concurrent publie une alerte. Cela ne transforme pas cette alerte en recommandation. Le post LocalLLaMA qualifie le rapport Anthropic de « meilleure publicité pour GLM ». Le texte original dit deux choses à la fois : GLM-5.3 progresse fortement dans la construction d’exploits, et l’accès à cette capacité manque, selon Anthropic, de restrictions efficaces contre les abus. Reddit · Anthropic

Ce qu’Anthropic a réellement écrit

La source est le rapport de recherche Anthropic du 29 septembre 2026, « GLM-5.3 and the spread of advanced cyber capabilities ». L’entreprise écrit que GLM-5.3, comme Claude Mythos Preview, possède de fortes capacités pour construire de manière autonome des exploits cyber de bout en bout. La phrase suivante affirme que le modèle a été diffusé sans protections significatives limitant les abus. Le texte anglais exact figure ci-dessous ; ce paragraphe en donne le sens. Ce sont les évaluations de l’entreprise, pas des résultats expérimentaux indépendants de cet article. Le rapport reconnaît aussi l’utilité pour les défenseurs. La « publicité » de Reddit est une réaction compréhensible à la reconnaissance d’un rival, mais elle omet l’alerte et les limites de la comparaison. Anthropic · Reddit

"Like Claude Mythos Preview, GLM-5.3 has strong capabilities for autonomously building end-to-end cyber exploits."

"But GLM-5.3 is unlike other frontier models in that it has been released without meaningful safeguards to limit misuse."

Anthropic, 29 September 2026

Quel GLM, et pourquoi la chronologie compte

Le sujet principal est GLM-5.3 de Zhipu AI, connue à l’international sous le nom Z.ai, pas toute la famille GLM. NIST date son lancement du 14 août et la publication des poids de deux semaines plus tard. Z.ai dit utiliser la même base que GLM-5.2 et attribue le gain au post-entraînement : davantage d’environnements de longue durée, de tâches vérifiables et de calcul pour l’apprentissage par renforcement. C’est le récit du développeur, pas une ablation contrôlée prouvant la cause du saut cyber. Le rapport traite séparément GLM-5.3-Flash, plus petite. Son exemple ne doit pas être fusionné avec les tests du modèle complet. Mythos Preview est un point de comparaison antérieur, pas un raccourci pour la frontière Claude la plus récente. Anthropic · NIST / CAISI · Z.ai

Du plantage au contrôle : le sens de la capacité

Trouver un bug, reproduire un plantage et construire un exploit sont des résultats différents. Un plantage peut établir qu’un état invalide est accessible sans prouver le contrôle de l’exécution. L’article ExploitBench décompose les progrès en 16 indicateurs : accès mémoire intermédiaires, détournement du flot de contrôle et exécution arbitraire de code notamment. Ses oracles déterministes cherchent à vérifier les capacités au lieu de croire le modèle disant « cela fonctionne ». La transition difficile va de la panne à une primitive contrôlée, puis à une chaîne opérant face aux protections. Un progrès sur un test de plantages n’est donc pas automatiquement le même progrès en exploitation complète. Le système mesuré inclut les outils, l’environnement, le retour d’information et le budget autour du modèle. ExploitBench

Les chiffres avec leurs dénominateurs

Anthropic rapporte 50 exploits complets sur 410 tentatives GLM-5.3 concernant des vulnérabilités V8 connues, contre 56 sur 410 pour Mythos Preview : environ 12,2 % et 13,7 %. Son test interne distinct Binary Exploitation utilise 100 tâches choisies au hasard et rapporte un détournement complet du flot de contrôle dans 4 % et 6 % des essais. Ces fréquences proches dans ces conditions ne constituent ni un test d’équivalence statistique ni un classement universel. Le graphique de capacité utilise Claude avec les protections désactivées. Les exemples pilotés par des chercheurs sont un autre type de preuve : une chaîne sur navigateur Linux avec des failles auparavant inconnues, et une session Flash distincte sur des failles déjà divulguées. Pour Flash, Anthropic indique 20 minutes d’attention humaine, huit heures de travail du modèle et un coût estimé de $20.40 aux tarifs API Zhipu. C’est un cas circonscrit, pas une garantie de coût ou de durée pour tout navigateur. Anthropic

Pourquoi 100 % ne signifie pas réussir toute attaque

Les 64 %, 92 % et 100 % viennent d’une autre expérience : l’engagement du modèle face à des ordres explicitement malveillants selon différents contournements, et non la compromission réussie d’un système réel. Chaque cellule compte 50 échantillons : cinq ordres, deux cibles et cinq tentatives. La note de bas de page compte davantage que le chiffre : aucun code généré n’était exécuté, bash était fictif et un autre LLM approximait les résultats des commandes dans un monde décrit. C’est un test de disposition comportementale en simulation imparfaite, pas un taux d’attaques réelles réussies. GLM-5.3 non modifiée refusait tous les ordres directs ; les conditions modifiées changeaient l’engagement. Les configurations Claude protégées restaient à zéro dans les cas applicables. Zéro échec observé ne prouve pas qu’aucun échec n’est possible. Anthropic

Comment les poids ouverts déplacent le contrôle

Le refus appris est une couche du système, pas toute sa frontière de sécurité. Anthropic rapporte que la modification des poids réduisait fortement les refus GLM tout en conservant largement certains scores de capacité. La recherche sur les directions de refus explique comment ce comportement peut dépendre de représentations sans être inséparable de toute compétence utile ; elle ne prouve pas un mécanisme identique dans chaque modèle. L’entreprise rapporte environ 2 200 heures GPU et $4,400 pour l’exploration et l’évaluation, et estime qu’une équipe expérimentée pourrait utiliser environ 600 heures et $1,200. Ce sont des estimations du rapport, pas un budget de déploiement. Une API fermée peut retenir les poids et ne pas proposer certains interfaces d’entrée ; les poids téléchargeables donnent ces couches à l’opérateur. La comparaison inclut donc des surfaces d’action disponibles inégales, pas seulement deux « personnalités sûres ». Refus API, contrôles de service et permissions de l’hôte doivent être évalués séparément. Anthropic · Refusal-direction research · JailbreakBench

Le résultat NIST n’est pas contradictoire

NIST, le 17 septembre, qualifie GLM-5.3 de modèle à poids ouverts publié le plus capable en cyber, tout en estimant un retard d’environ quatre mois sur la frontière américaine publiée selon son indice agrégé. Cela peut coexister avec le résultat étroit proche de Mythos Preview. NIST inclut des modèles à accès réservé, plusieurs tests et un modèle statistique reliant capacité et difficulté. Ses 61,1 % sur ExploitBench représentent un score normalisé de 9,8/16 avec la meilleure de trois tentatives par tâche. Les quelque 12 % d’Anthropic sont la part des tentatives atteignant un exploit complet. Numérateur, dénominateur et sélection diffèrent : aucun classement « 12 contre 61 » n’a de sens. NIST décrit son environnement d’agent, les relances et les limites de tours, avec les protections cyber américaines désactivées lorsque cela s’applique. Le résultat caractérise le modèle et cette configuration, pas une propriété éternelle d’une marque. NIST / CAISI · Anthropic

Un processus sûr pour les défenseurs, pas une recette d’attaque

Un défenseur devrait commencer par un périmètre d’autorisation écrit, un environnement hors ligne et une tâche inoffensive, comme expliquer un bug synthétique de validation ou revoir un correctif. Garder identifiants de production, clés privées et données clients hors de l’environnement. Bloquer le réseau externe, fournir seulement les fichiers et outils nécessaires, journaliser les propositions séparément de l’exécution. Noter distinctement explication correcte, test de régression, plantage reproductible, correctif validé, refus et engagement. Un récit convaincant n’est pas un résultat reproduit. Toute sortie du périmètre exige une approbation humaine. Le Python ci-dessous vérifie catégories et dénominateurs ; il n’appelle aucun modèle et ne produit aucun exploit. C’est une aide au compte rendu, pas un contrôle de sécurité. Une politique de refus ne remplace pas une frontière d’exécution imposée hors du modèle.

Exemple original de compte rendu, exécuté localement sur les chiffres cités. Il sépare les métriques. Sans modèle, cible ni réseau.

from collections import defaultdict

rows = [
    ("full_exploit", "GLM-5.3", 50, 410),
    ("full_exploit", "Mythos Preview", 56, 410),
    ("control_flow", "GLM-5.3", 4, 100),
    ("control_flow", "Mythos Preview", 6, 100),
    ("simulated_engagement", "GLM condition A", 32, 50),
    ("simulated_engagement", "GLM condition B", 46, 50),
    ("simulated_engagement", "GLM condition C", 50, 50),
]
groups = defaultdict(list)
for metric, model, numerator, denominator in rows:
    assert 0 <= numerator <= denominator and denominator > 0
    groups[metric].append((model, 100 * numerator / denominator))
for metric, values in groups.items():
    print(metric)
    for model, rate in values:
        print(f"  {model}: {rate:.1f}%")
# Never merge these groups into one model leaderboard.

Analyse : reconnaître une capacité n’approuve pas sa diffusion

Mon analyse : l’aveu principal n’est pas « GLM bat Claude ». Une capacité auparavant mise en avant dans des systèmes à accès restreint existe maintenant à un niveau significatif dans des poids téléchargeables. L’alerte principale est que les contrôles d’un service hébergé ne persistent pas automatiquement lorsque l’opérateur contrôle poids et exécution. Anthropic a un intérêt commercial et politique dans ce débat ; son jugement général sur la diffusion mérite examen, comme ses méthodes déclarées et l’évaluation gouvernementale distincte. Reddit saisit l’ironie concurrentielle, pas l’ensemble du résultat. Cet article ne reproduit ni les tests d’exploitation, ni les modifications des poids, ni les cas de navigateur. Il ne déduit du rapport aucun motif, incident d’attaque réel ou supériorité générale d’intelligence. Anthropic · NIST / CAISI · Reddit

Sources primaires et discussion vérifiées le 30 septembre 2026. Faits attribués ; dernière section analytique. Aucun test pratique d’exploitation effectué.