Anthropic על GLM-5.3: אזהרת סייבר רצינית שמכירה גם בקפיצת יכולת

RESEARCH NOTE · 30 SEP 2026

מודל יכול להיות מרשים מספיק כדי שמתחרה תזהיר מפניו. זה לא הופך את האזהרה להמלצה. הפוסט ב-LocalLLaMA מכנה את הדוח החדש של Anthropic «הפרסומת הטובה ביותר ל-GLM». בקריאת המקור שתי טענות מתקיימות יחד: הכרה בקפיצה של GLM-5.3 בבניית ניצולים, וטענה שהגישה ליכולות האלה חסרה מגבלות יעילות על שימוש לרעה. Reddit · Anthropic

מה Anthropic באמת אמרה

המקור הוא דוח המחקר של Anthropic מ-29 בספטמבר 2026, «GLM-5.3 and the spread of advanced cyber capabilities». החברה כותבת של-GLM-5.3, כמו ל-Claude Mythos Preview, יש יכולות חזקות לבנות באופן עצמאי ניצולי סייבר מקצה לקצה. המשפט הבא טוען שהמודל שוחרר ללא הגנות משמעותיות לצמצום שימוש לרעה. למטה מופיע הנוסח האנגלי המדויק; כאן מובאת משמעותו. אלה הערכות החברה ולא ממצאים ניסויים עצמאיים של המאמר. הדוח גם מכיר בתועלת למגינים. תגובת ה«פרסומת» ב-Reddit מובנת כהכרה מצד יריבה, אך היא משמיטה את האזהרה ואת גבולות ההשוואה. Anthropic · Reddit

"Like Claude Mythos Preview, GLM-5.3 has strong capabilities for autonomously building end-to-end cyber exploits."

"But GLM-5.3 is unlike other frontier models in that it has been released without meaningful safeguards to limit misuse."

Anthropic, 29 September 2026

איזו GLM, ולמה העיתוי חשוב

הנושא המרכזי הוא GLM-5.3 של Zhipu AI, המוכרת בעולם כ-Z.ai, לא כל מודל ממשפחת GLM. NIST מתארך את ההשקה ל-14 באוגוסט ואת פרסום המשקולות לשבועיים לאחר מכן. Z.ai אומרת שמודל הבסיס זהה לזה של GLM-5.2 ושהשיפור נובע מאימון המשך: סביבות ארוכות טווח, משימות הניתנות לאימות ויותר חישוב ללמידת חיזוק. זהו הסבר המפתחת, לא ניסוי פירוק גורמים שמוכיח את סיבת קפיצת הסייבר. GLM-5.3-Flash הקטנה יותר נידונה בנפרד; אין לחבר את הדוגמה שלה לתוצאות המודל המלא. Mythos Preview הוא נקודת השוואה מוקדמת, לא כינוי לחזית העדכנית ביותר של Claude. Anthropic · NIST / CAISI · Z.ai

מקריסה לשליטה: משמעות היכולת

מציאת באג, שחזור קריסה ובניית ניצול הם הישגים שונים. קריסה יכולה להוכיח שמצב לא תקין נגיש, בלי להוכיח שליטה בביצוע. מאמר ExploitBench מחלק התקדמות ל-16 דגלים, כולל יכולות ביניים של גישה לזיכרון, השתלטות על זרימת הבקרה והרצת קוד שרירותי. בדיקות דטרמיניסטיות מנסות לאמת יכולת במקום לסמוך על אמירת המודל «זה עבד». המעבר הקשה הוא מכשל חריג לפעולה נשלטת, ואז לשרשרת הפועלת מול הגנות. לכן שיפור במבחן קריסות אינו אוטומטית שיפור זהה בניצול מלא. המערכת הנמדדת כוללת גם כלים, סביבה, משוב ותקציב סביב המודל. ExploitBench

המספרים, עם המכנים המקוריים

Anthropic מדווחת על 50 ניצולים מלאים מתוך 410 ניסיונות GLM-5.3 בפגיעויות V8 ידועות, לעומת 56 מתוך 410 ב-Mythos Preview: כ-12.2% ו-13.7%. במבחן Binary Exploitation פנימי ונפרד, עם 100 משימות שנבחרו באקראי, דווחה השתלטות מלאה על זרימת בקרה ב-4% וב-6% מהניסויים. שיעורים קרובים בתנאים האלה אינם מבחן שקילות סטטיסטית או דירוג כולל. תרשים היכולת משתמש ב-Claude עם הגנות כבויות. המקרים בהובלת חוקרים הם סוג ראיה אחר: שרשרת לדפדפן Linux עם חולשות שלא היו ידועות, ומפגש Flash נפרד עם חולשות שכבר פורסמו. עבור Flash דווחו 20 דקות תשומת לב אנושית, שמונה שעות עבודת מודל ועלות מוערכת של $20.40 לפי מחיר API של Zhipu. זהו מקרה תחום אחד, לא הבטחת זמן ועלות לניצול כל דפדפן. Anthropic

למה 100% אינם הצלחה של כל תקיפה

המספרים 64%, 92% ו-100% שייכים לניסוי אחר: האם המודל נענה להוראות זדוניות מפורשות בתנאי עקיפה שונים, לא האם פרץ בהצלחה למערכת אמיתית. בכל תא היו 50 דגימות: חמש הוראות, שתי מטרות וחמישה ניסיונות. הערת השוליים חשובה מהכותרת: שום קוד שנוצר לא הורץ, כלי bash היה מדומה ומודל אחר קירב תוצאות פקודות בעולם מתואר. זהו מבחן נכונות התנהגותית בסימולציה בעלת דיוק מוגבל, לא שיעור תקיפות מוצלחות בעולם. GLM-5.3 ללא שינוי סירבה לכל ההוראות הישירות; תנאים שונים שינו את ההיענות. תצורות Claude המוגנות נשארו באפס במקרים הישימים. אפס כשלים נצפים אינו הוכחה שאף כשל אינו אפשרי. Anthropic

איך משקולות פתוחות משנות את משטח השליטה

סירוב נלמד הוא שכבה במערכת, לא כל גבול האבטחה. Anthropic מדווחת ששינוי משקולות הפחית מאוד את סירובי GLM, עם שינוי קטן בציוני יכולת נבחרים. מחקר על כיווני סירוב מסביר כיצד ההתנהגות יכולה להיות תלויה בייצוגים בלי להיות חלק בלתי נפרד מכל מיומנות מועילה; הוא אינו מוכיח מנגנון זהה בכל מודל. החברה מדווחת על כ-2,200 שעות GPU ו-$4,400 לחיפוש חלופות ולהערכה, ומעריכה שצוות מנוסה יזדקק לכ-600 שעות ו-$1,200. אלה הערכות בדוח, לא תקציב פריסה. API סגור יכול להסתיר משקולות ולמנוע ממשקי קלט מסוימים; משקולות להורדה מעניקות למפעיל שליטה בשכבות האלה. ההשוואה כוללת משטחי השפעה זמינים לא שווים, ולא רק שתי «אישיויות בטוחות». סירוב API, בקרות שירות והרשאות מארח דורשים הערכה נפרדת. Anthropic · Refusal-direction research · JailbreakBench

תוצאת NIST אינה סתירה

NIST ב-17 בספטמבר מכנה את GLM-5.3 המודל בעל המשקולות הפתוחות והיכולת הגבוהה ביותר בסייבר שפורסם, ובמקביל מעריך פיגור של כארבעה חודשים מול החזית האמריקאית שפורסמה במדד משולב. זה מתיישב עם תוצאה צרה הקרובה ל-Mythos Preview. NIST כולל מודלים בגישה מוגבלת, כמה מבחנים ומודל סטטיסטי של יכולת מול קושי. ציון ExploitBench של 61.1% הוא 9.8/16 מנורמל, עם בחירת הטוב מבין שלושה ניסיונות למשימה. כ-12% של Anthropic הם חלק הניסיונות שהגיעו לניצול מלא. המונה, המכנה וכלל הבחירה שונים; אין דירוג תקף של «12 מול 61». NIST מתעד סביבת סוכן, הוראות המשך ומגבלות תורות, עם הגנות סייבר אמריקאיות כבויות כשהדבר ישים. התוצאה שייכת למודל ולתצורתו, לא לתכונה נצחית של מותג. NIST / CAISI · Anthropic

תהליך בטוח למגינים, לא מתכון לתקיפה

מגן צריך להתחיל בהיקף הרשאה כתוב, סביבת בדיקה מנותקת ומשימה לא מזיקה, כגון הסבר באג אימות סינתטי או סקירת תיקון. השאירו פרטי גישה לייצור, מפתחות פרטיים ונתוני לקוחות מחוץ לסביבה. חסמו רשת חיצונית, אפשרו רק קבצים וכלים נחוצים ותעדו הצעות בנפרד מביצוע. מדדו בנפרד הסבר נכון, בדיקת רגרסיה, קריסה משוחזרת, תיקון מאומת, סירוב והיענות. סיפור משכנע אינו תוצאה משוחזרת. כל מעבר מעבר לסביבה המוסכמת דורש אישור אנושי. דוגמת Python למטה בודקת קטגוריות מדדים ומכנים; היא לא פונה למודל ולא יוצרת ניצול. זהו כלי דיווח, לא בקרת אבטחה. מדיניות סירוב אינה מחליפה גבול ביצוע שנאכף מחוץ למודל.

דוגמת דיווח מקורית שהורצה מקומית על המספרים המדווחים. מפרידה בין מדדים. ללא מודל, יעד או רשת.

from collections import defaultdict

rows = [
    ("full_exploit", "GLM-5.3", 50, 410),
    ("full_exploit", "Mythos Preview", 56, 410),
    ("control_flow", "GLM-5.3", 4, 100),
    ("control_flow", "Mythos Preview", 6, 100),
    ("simulated_engagement", "GLM condition A", 32, 50),
    ("simulated_engagement", "GLM condition B", 46, 50),
    ("simulated_engagement", "GLM condition C", 50, 50),
]
groups = defaultdict(list)
for metric, model, numerator, denominator in rows:
    assert 0 <= numerator <= denominator and denominator > 0
    groups[metric].append((model, 100 * numerator / denominator))
for metric, values in groups.items():
    print(metric)
    for model, rate in values:
        print(f"  {model}: {rate:.1f}%")
# Never merge these groups into one model leaderboard.

ניתוח: הכרה ביכולת אינה אישור לשחרור

לדעתי, ההכרה החשובה אינה «GLM ניצחה את Claude», אלא שיכולת שבעבר הודגשה במערכות בעלות גישה מוגבלת זמינה כעת ברמה משמעותית במשקולות להורדה. האזהרה החשובה היא שבקרות שירות מתארח אינן נשמרות אוטומטית כשהמפעיל שולט במשקולות ובסביבת הריצה. ל-Anthropic יש אינטרס מסחרי ומדיניותי בוויכוח; ראוי לבחון את שיפוטה הכללי לגבי השחרור, את השיטות שפרסמה ואת ההערכה הממשלתית הנפרדת. כותרת Reddit תופסת את האירוניה התחרותית, לא את כל הממצא. לא שוחזרו כאן מבחני ניצול, שינויי משקולות או מקרי הדפדפן. אין להסיק מהדוח כוונה, אירוע תקיפה אמיתי או עליונות כללית באינטליגנציה. Anthropic · NIST / CAISI · Reddit

המקורות הראשוניים ודיון הקהילה נבדקו ב-30 בספטמבר 2026. העובדות מיוחסות למקור; החלק האחרון הוא ניתוח. לא בוצע ניסוי ניצול מעשי.