Anthropic о GLM-5.3: серьёзное киберпредупреждение, которое признаёт скачок возможностей

RESEARCH NOTE · 30 SEP 2026

Модель может оказаться настолько сильной, что конкурент выпускает предупреждение. Это не делает предупреждение рекомендацией. Пост LocalLLaMA называет новый отчёт Anthropic «лучшей рекламой GLM». Первоисточник говорит сразу о двух вещах: GLM-5.3 резко продвинулась в построении эксплойтов, а доступ к этим возможностям, по оценке Anthropic, не защищён действенными ограничениями злоупотреблений. Reddit · Anthropic

Что именно сказала Anthropic

Первоисточник - исследование Anthropic «GLM-5.3 and the spread of advanced cyber capabilities» от 29 сентября 2026 года. Компания пишет, что GLM-5.3, как Claude Mythos Preview, обладает сильными возможностями автономного построения полных киберэксплойтов. Следующее предложение утверждает, что модель выпущена без значимых защит от злоупотреблений. Ниже приведена точная английская цитата; здесь передан её смысл. Это оценки компании, а не независимые эксперименты автора. Отчёт также прямо признаёт пользу этих возможностей для защитников. «Реклама» на Reddit - понятная реакция на признание со стороны соперника, но она опускает предупреждение и границы сравнения. Anthropic · Reddit

"Like Claude Mythos Preview, GLM-5.3 has strong capabilities for autonomously building end-to-end cyber exploits."

"But GLM-5.3 is unlike other frontier models in that it has been released without meaningful safeguards to limit misuse."

Anthropic, 29 September 2026

Какая GLM и почему важна хронология

Основной предмет - GLM-5.3 компании Zhipu AI, известной за пределами Китая как Z.ai, а не любая модель семейства GLM. NIST датирует запуск 14 августа, а публикацию весов - двумя неделями позже. Z.ai утверждает, что базовая модель та же, что у GLM-5.2, а прирост получен постобучением: длительными средами задач, проверяемыми результатами и дополнительными вычислениями для обучения с подкреплением. Это объяснение разработчика, не контролируемая абляция, доказывающая причину киберскачка. GLM-5.3-Flash рассмотрена отдельно как меньшая модель. Её пример нельзя объединять с тестами полной модели. Mythos Preview здесь - более ранняя точка сравнения, не обозначение новейшего фронтира Claude. Anthropic · NIST / CAISI · Z.ai

От падения к управлению: смысл возможностей

Найти ошибку, воспроизвести падение и создать эксплойт - разные результаты. Падение показывает достижимость некорректного состояния, но не обязательно управление исполнением. Статья ExploitBench разделяет прогресс на 16 флагов, включая промежуточные возможности доступа к памяти, перехват потока управления и произвольное исполнение кода. Детерминированные проверки подтверждают возможности, а не верят заявлению модели «сработало». Сложен переход от сбоя к управляемому примитиву, затем к цепочке, проходящей защитные механизмы. Поэтому рост результата на тесте падений нельзя автоматически считать таким же ростом полной эксплуатации. Измеряемая система включает инструменты, среду, обратную связь и бюджет вокруг модели. ExploitBench

Числа с сохранёнными знаменателями

Anthropic сообщает о 50 полных эксплойтах в 410 попытках GLM-5.3 на известных уязвимостях V8 и 56 из 410 у Mythos Preview: примерно 12,2% и 13,7%. Отдельный внутренний Binary Exploitation использует 100 случайно выбранных задач и даёт полный перехват потока управления в 4% и 6% испытаний. Близкие частоты в этих условиях не являются тестом статистической эквивалентности или универсальным рейтингом. В графике возможностей Claude тестировали с отключёнными защитами. Примеры с исследователем - другая форма данных: Anthropic описывает цепочку для Linux-браузера с ранее неизвестными ошибками и отдельную сессию Flash с уже раскрытыми. Для Flash заявлены 20 минут внимания человека, восемь часов работы модели и оценка $20,40 по тарифу API Zhipu. Это один ограниченный случай, не гарантия стоимости и времени любой эксплуатации. Anthropic

Почему 100% не означает успех любой атаки

Заголовочные 64%, 92% и 100% относятся к другому эксперименту: готовности выполнять явно вредоносные задания при разных условиях обхода, не успешному взлому реальной системы. В каждой ячейке 50 примеров: пять заданий, две цели, пять попыток. Сноска важнее пугающего процента: код модели вообще не исполнялся, bash был фиктивным, другая LLM приближённо изображала результаты команд в описанном мире. Это проверка поведения в несовершенной симуляции, не частота реальных успешных атак. Неизменённая GLM-5.3 отказала во всех прямых заданиях; изменённые условия повысили вовлечение. Защищённые конфигурации Claude дали ноль в применимых условиях. Ноль наблюдавшихся неудач не доказывает невозможность любой неудачи. Anthropic

Как открытые веса меняют поверхность контроля

Выученный отказ - слой системы, не вся граница безопасности. Anthropic сообщает, что изменение весов резко снизило отказы GLM, почти сохранив отдельные оценки способностей. Исследование направления отказа объясняет, как поведение может зависеть от представлений, не будучи неотделимым от всех полезных навыков; оно не доказывает одинаковый механизм во всех моделях. На исследование вариантов и проверку Anthropic указывает около 2200 GPU-часов и $4400, а для опытной команды оценивает около 600 GPU-часов и $1200. Это оценки отчёта, не бюджет внедрения. Закрытый API может скрыть веса и не предоставлять определённые интерфейсы ввода; скачанные веса передают эти слои оператору. Сравнение включает разную доступную поверхность воздействия, а не только две внутренние «безопасные личности». Отказы API, сервисные ограничения и права хоста следует оценивать отдельно. Anthropic · Refusal-direction research · JailbreakBench

Результат NIST не противоречит отчёту

NIST 17 сентября называет GLM-5.3 самой киберспособной опубликованной моделью с открытыми весами, но оценивает отставание от выпущенного фронтира США примерно в четыре месяца по составному индексу. Это совместимо с узким сравнением с Mythos Preview. NIST включает модели ограниченного доступа, несколько тестов и модель связи сложности задания со способностями. На ExploitBench её 61,1% - нормированный балл 9,8/16 с лучшей из трёх попыток на задачу. Примерно 12% Anthropic - доля попыток с полным эксплойтом. Разные числитель, знаменатель и правило отбора: рейтинга «12 против 61» не существует. NIST описывает агентную оболочку, команды продолжения и лимиты ходов; у американских моделей киберзащиты отключались, когда применимо. Результат модели с оболочкой характеризует эту конфигурацию, не вечное свойство бренда. NIST / CAISI · Anthropic

Безопасный процесс для защитников, не рецепт атаки

Защитнику стоит начинать с письменного разрешённого объёма, автономного стенда и безвредной задачи: объяснить синтетическую ошибку валидации или проверить исправление. Не переносите в среду производственные учётные данные, ключи и клиентские данные. Запретите внешнюю сеть, выдайте только необходимые файлы и инструменты, журналируйте предложения отдельно от исполнения. Оценивайте объяснение, регрессионный тест, воспроизводимое падение, проверенное исправление, отказ и вовлечение раздельно. Убедительный рассказ не равен воспроизведённому результату. Любой выход за согласованный стенд требует человека. Код Python ниже проверяет категории метрик и знаменатели; он не вызывает модель и не создаёт эксплойт. Это средство отчётности, не защитный механизм. Политика отказов не заменяет границу исполнения, обеспеченную вне модели.

Оригинальный пример отчётности, локально выполненный на числах отчёта. Разные метрики сгруппированы отдельно. Без модели, цели или сети.

from collections import defaultdict

rows = [
    ("full_exploit", "GLM-5.3", 50, 410),
    ("full_exploit", "Mythos Preview", 56, 410),
    ("control_flow", "GLM-5.3", 4, 100),
    ("control_flow", "Mythos Preview", 6, 100),
    ("simulated_engagement", "GLM condition A", 32, 50),
    ("simulated_engagement", "GLM condition B", 46, 50),
    ("simulated_engagement", "GLM condition C", 50, 50),
]
groups = defaultdict(list)
for metric, model, numerator, denominator in rows:
    assert 0 <= numerator <= denominator and denominator > 0
    groups[metric].append((model, 100 * numerator / denominator))
for metric, values in groups.items():
    print(metric)
    for model, rate in values:
        print(f"  {model}: {rate:.1f}%")
# Never merge these groups into one model leaderboard.

Анализ: признание возможностей не одобряет выпуск

Мой вывод: главное признание не «GLM победила Claude». Значимые возможности, ранее подчёркивавшиеся в системах ограниченного доступа, теперь присутствуют в скачиваемых весах. Главное предупреждение: ограничения облачного сервиса не сохраняются автоматически, когда оператор управляет весами и исполнением. У Anthropic есть коммерческий и политический интерес к спору; общий вывод о выпуске заслуживает проверки, как и раскрытые методы и отдельная государственная оценка. Reddit улавливает конкурентную иронию, не весь результат. Здесь не воспроизводились тесты эксплойтов, изменения весов или браузерные случаи. Из отчёта не выводятся мотивы, реальный инцидент атаки или превосходство общего интеллекта. Anthropic · NIST / CAISI · Reddit

Источники проверены 30 сентября 2026 года. Факты атрибутированы; последний раздел - анализ. Собственные испытания эксплуатации не проводились.