Anthropic про GLM-5.3: серйозне кіберпопередження, що визнає стрибок можливостей

RESEARCH NOTE · 30 SEP 2026

Модель може бути настільки сильною, що конкурент випускає попередження. Це не робить попередження рекомендацією. Пост LocalLLaMA називає звіт Anthropic «найкращою рекламою GLM». Першоджерело одночасно визнає стрибок GLM-5.3 у побудові експлойтів і стверджує, що доступ до цих можливостей не має дієвих обмежень зловживань. Reddit · Anthropic

Що саме сказала Anthropic

Першоджерело - дослідження Anthropic «GLM-5.3 and the spread of advanced cyber capabilities» від 29 вересня 2026 року. Компанія пише, що GLM-5.3, як Claude Mythos Preview, має сильні можливості автономної побудови повних кіберексплойтів. Наступне речення стверджує, що модель випущено без значущих захистів від зловживань. Нижче наведено точну англійську цитату; тут передано її зміст. Це оцінки компанії, а не незалежні експерименти автора. Звіт прямо визнає користь для захисників. «Реклама» на Reddit - зрозуміла реакція на визнання від суперника, але вона оминає попередження й межі порівняння. Anthropic · Reddit

"Like Claude Mythos Preview, GLM-5.3 has strong capabilities for autonomously building end-to-end cyber exploits."

"But GLM-5.3 is unlike other frontier models in that it has been released without meaningful safeguards to limit misuse."

Anthropic, 29 September 2026

Яка GLM і чому важлива хронологія

Головний предмет - GLM-5.3 компанії Zhipu AI, відомої міжнародно як Z.ai, а не будь-яка модель GLM. NIST датує запуск 14 серпня, а публікацію ваг - двома тижнями пізніше. Z.ai стверджує, що базова модель та сама, що у GLM-5.2, а приріст забезпечило постнавчання: довготривалі середовища, завдання з перевіркою й додаткові обчислення для навчання з підкріпленням. Це пояснення розробника, не контрольована абляція, що доводить причину кіберстрибка. Меншу GLM-5.3-Flash розглянуто окремо. Її приклад не можна об’єднувати з тестами повної моделі. Mythos Preview є раннішою точкою порівняння, не позначенням найновішого фронтиру Claude. Anthropic · NIST / CAISI · Z.ai

Від падіння до контролю: значення можливостей

Знайти помилку, відтворити падіння й побудувати експлойт - різні результати. Падіння доводить досяжність некоректного стану, але не обов’язково контроль виконання. Стаття ExploitBench розділяє поступ на 16 прапорців: проміжний доступ до пам’яті, захоплення потоку керування та довільне виконання коду. Детерміновані перевірки підтверджують можливості, а не вірять словам моделі «спрацювало». Складним є перехід від збою до керованого примітива, потім до ланцюжка через захисти. Тому приріст на тесті падінь не означає такого самого приросту повної експлуатації. Вимірювана система включає інструменти, середовище, зворотний зв’язок і бюджет навколо моделі. ExploitBench

Числа зі збереженими знаменниками

Anthropic повідомляє про 50 повних експлойтів у 410 спробах GLM-5.3 на відомих вразливостях V8 проти 56 із 410 у Mythos Preview: близько 12,2% і 13,7%. Окремий внутрішній Binary Exploitation використовує 100 випадково вибраних завдань і дає повне захоплення потоку керування у 4% і 6% випробувань. Близькі частоти в цих умовах не є тестом статистичної еквівалентності або універсальним рейтингом. У графіку можливостей Claude працювали з вимкненими захистами. Приклади з дослідником - інший тип даних: ланцюжок для Linux-браузера з невідомими раніше вадами й окрема сесія Flash із уже розкритими. Для Flash заявлено 20 хвилин уваги людини, вісім годин роботи моделі та оцінку $20,40 за тарифом API Zhipu. Це один обмежений випадок, не гарантія часу й вартості будь-якої експлуатації. Anthropic

Чому 100% не означає успіх кожної атаки

Заголовкові 64%, 92% та 100% походять з іншого експерименту: готовності виконувати явно шкідливі накази за різних умов обходу, не успішного злому реальної системи. Кожна клітинка мала 50 прикладів: п’ять наказів, дві цілі, п’ять спроб. Примітка важливіша за страшний відсоток: код не виконувався, bash був удаваним, інша LLM наближено зображала результати команд в описаному світі. Це перевірка поведінки в недосконалій симуляції, не частота успішних реальних атак. Незмінена GLM-5.3 відмовила у всіх прямих наказах; змінені умови підвищили залучення. Захищені конфігурації Claude дали нуль у застосовних умовах. Нуль спостережених відмов захисту не доводить неможливість будь-якої відмови. Anthropic

Як відкриті ваги змінюють поверхню контролю

Навчена відмова - шар системи, не весь кордон безпеки. Anthropic повідомляє, що зміна ваг різко знизила відмови GLM, майже зберігши окремі оцінки здібностей. Дослідження напрямку відмови пояснює, як поведінка може залежати від представлень, не будучи невіддільною від усіх корисних навичок; воно не доводить однаковий механізм у кожній моделі. Для дослідження варіантів і перевірки компанія вказує близько 2200 GPU-годин та $4400, а для досвідченої команди оцінює 600 GPU-годин і $1200. Це оцінки звіту, не бюджет розгортання. Закритий API може приховати ваги та не надати певних інтерфейсів введення; завантажені ваги передають ці шари оператору. Порівняння включає різні доступні поверхні впливу, а не тільки дві внутрішні «безпечні особистості». Відмови API, сервісні обмеження й права хоста слід оцінювати окремо. Anthropic · Refusal-direction research · JailbreakBench

Результат NIST не суперечить звіту

NIST 17 вересня називає GLM-5.3 найкіберздібнішою опублікованою моделлю з відкритими вагами, але оцінює відставання від випущеного фронтиру США приблизно у чотири місяці за складеним індексом. Це сумісно з вузьким порівнянням із Mythos Preview. NIST включає моделі обмеженого доступу, кілька тестів і модель зв’язку складності завдання зі здібністю. Її 61,1% на ExploitBench - нормований бал 9,8/16 з найкращою з трьох спроб на завдання. Близько 12% Anthropic - частка спроб із повним експлойтом. Різні чисельник, знаменник і правило вибору: рейтингу «12 проти 61» немає. NIST описує агентну оболонку, накази продовження й ліміти ходів; американські кіберзахисти вимикали, коли застосовно. Результат моделі з оболонкою характеризує конфігурацію, не вічну властивість бренду. NIST / CAISI · Anthropic

Безпечний процес для захисників, не рецепт атаки

Захиснику варто починати з письмового дозволеного обсягу, автономного стенда й нешкідливого завдання: пояснити синтетичну помилку валідації чи перевірити виправлення. Не переносіть у середовище виробничі облікові дані, приватні ключі та дані клієнтів. Забороніть зовнішню мережу, видайте лише потрібні файли й інструменти, журналюйте пропозиції окремо від виконання. Оцінюйте пояснення, регресійний тест, відтворюване падіння, перевірене виправлення, відмову й залучення окремо. Переконлива розповідь не є відтвореним результатом. Вихід за узгоджений стенд потребує людини. Python нижче перевіряє категорії метрик і знаменники; не викликає модель і не створює експлойт. Це засіб звітування, не захисний механізм. Політика відмов не замінює межу виконання, забезпечену поза моделлю.

Оригінальний приклад звітування, локально виконаний на числах звіту. Різні метрики згруповано окремо. Без моделі, цілі або мережі.

from collections import defaultdict

rows = [
    ("full_exploit", "GLM-5.3", 50, 410),
    ("full_exploit", "Mythos Preview", 56, 410),
    ("control_flow", "GLM-5.3", 4, 100),
    ("control_flow", "Mythos Preview", 6, 100),
    ("simulated_engagement", "GLM condition A", 32, 50),
    ("simulated_engagement", "GLM condition B", 46, 50),
    ("simulated_engagement", "GLM condition C", 50, 50),
]
groups = defaultdict(list)
for metric, model, numerator, denominator in rows:
    assert 0 <= numerator <= denominator and denominator > 0
    groups[metric].append((model, 100 * numerator / denominator))
for metric, values in groups.items():
    print(metric)
    for model, rate in values:
        print(f"  {model}: {rate:.1f}%")
# Never merge these groups into one model leaderboard.

Аналіз: визнання можливостей не схвалює випуск

Мій висновок: головне визнання не «GLM перемогла Claude». Значуща здібність, яку раніше підкреслювали в системах обмеженого доступу, тепер є в завантажуваних вагах. Головне попередження: обмеження хмарного сервісу не зберігаються автоматично, коли оператор керує вагами й виконанням. Anthropic має комерційний і політичний інтерес у суперечці; загальний висновок про випуск заслуговує перевірки, як і розкриті методи та окрема державна оцінка. Reddit схоплює конкурентну іронію, не весь результат. Тут не відтворювали тести експлойтів, зміни ваг чи браузерні випадки. Зі звіту не виводяться мотиви, реальний інцидент атаки або перевага загального інтелекту. Anthropic · NIST / CAISI · Reddit

Джерела перевірено 30 вересня 2026 року. Факти атрибутовано; останній розділ є аналізом. Власних випробувань експлуатації не проводили.