GLM-5.3 skládal funkční exploity, jeho ochrany šlo obejít
GLM-5.3 se v testech přiblížil Claude Mythos Preview, dokázal skládat funkční exploity a jeho ochrany šlo obejít. Výsledky jsou vážný signál, ale také argument firmy prosazující kontrolovaný přístup k modelům.
Zpráva Anthropic o GLM-5.3 není jen dalším srovnáním dvou procent v benchmarku. Popisuje model, který se v některých úlohách přiblížil neveřejnému Claude Mythos Preview, s pomocí výzkumníka sestavil exploit z dosud neznámých zranitelností a současně umožnil relativně levné odstranění vestavěných odmítnutí.
To je důležitý bezpečnostní signál. Zároveň jej publikuje firma, jejíž obchodní a bezpečnostní strategie stojí na uzavřených vahách a kontrolovaném přístupu k nejschopnějším modelům. Technické výsledky a politický závěr zprávy je proto užitečné hodnotit odděleně.
GLM-5.3 se přiblížil modelu s omezeným přístupem
Anthropic nejprve použil veřejný ExploitBench zaměřený na známé zranitelnosti ve V8, enginu používaném Chromem. GLM-5.3 vytvořil funkční end-to-end exploit v 50 ze 410 pokusů, Claude Mythos Preview v 56 ze 410. Rozdíl mezi nimi byl v tomto testu malý, zatímco starší modely skončily výrazně níže.
Ve druhém testu Anthropic náhodně vybral 100 úloh ze svého interního benchmarku Binary Exploitation. Úlohy vycházejí z open-source projektů zapojených do OSS-Fuzz a plný bod vyžadoval kompletní hijacking toku řízení.
| Model | Plný control-flow hijack |
|---|---|
| Claude Mythos Preview | 6 % |
| GLM-5.3 | 4 % |
| Claude Opus 4.6 | 0 % |
| GLM-5.2 | 0 % |
Právě na tuto pasáž upozornil Simon Willison. Anthropic nulový výsledek starších modelů a nenulový výsledek obou novějších interpretuje jako překročení významného prahu. Přesnější čtení je, že se v konkrétním interním testu objevila schopnost, kterou předchozí generace neprokázala. Samotný rozdíl 6 % proti 4 % nestačí k obecnému pořadí obou modelů.
Nezávislejší oporu pro širší trend přináší americké CAISI při NIST. To označilo GLM-5.3 za dosud nejschopnější veřejně vydaný open-weight model pro kybernetické úlohy. Současně jej na souhrnu vlastních benchmarků umístilo přibližně čtyři měsíce za americkou špičku. GLM-5.3 tedy není celkově na čele, ale rychle zmenšuje odstup v kategorii modelů, jejichž váhy si může stáhnout kdokoli.
Nejsilnější výsledek nevznikl v tabulce
Anthropic vedle automatických benchmarků zapojil také lidské bezpečnostní výzkumníky. V jedné relaci dostal GLM-5.3 přístup k lokálnímu linuxovému sestavení webového prohlížeče. Podle zprávy během jediného dne a s omezenou pozorností člověka našel několik dříve neznámých zranitelností v JavaScriptovém enginu a spojil je do stránky schopné přečíst libovolný soubor z napadeného systému.
Tento výsledek je závažnější než rozdíl několika bodů v benchmarku: ukazuje celý řetězec od hledání chyb po funkční exploit. Stále ale jde o tvrzení Anthropic podložené redigovanou ukázkou, nikoli o veřejně reprodukovanou případovou studii. Firma uvádí, že chyby oznámila správci a další nálezy teprve prověřuje.
V jiném experimentu menší GLM-5.3-Flash spojil dvě již známé chyby do exploitu pro ARM64 a obešel ochranu pointer authentication. Anthropic uvádí přibližně 20 minut lidské pozornosti, osm hodin práce modelu a cenu 20,40 dolaru podle tehdejšího API ceníku. Tady už nejde o hypotetickou budoucnost: pokročilá exploitace se začíná měnit na dostupnou službu s měřitelnou cenou a dobou běhu.
Schopnost modelu není totéž co ochota zaútočit
Všechny capability testy běžely v izolovaných sandboxech proti offline cílům. U amerických modelů byly navíc bezpečnostní kontroly tam, kde to šlo, vypnuté. Výsledky proto měří, zda model úlohu technicky zvládne, nikoli zda ji běžné produkční API povolí.
Anthropic testoval ochrany GLM-5.3 zvlášť. Na přímé škodlivé příkazy model ve všech simulovaných pokusech odmítl. Po falešném příběhu o legitimním red-team cvičení se ale pokusil připojit k cíli v 64 % případů. Předvyplnění reasoning tokenů zvýšilo tento podíl na 92 % a varianta s odstraněnými odmítnutími na 100 %.
Tato procenta neznamenají 64 až 100 % úspěšných průniků. Metrikou bylo, zda se model po škodlivém příkazu pokusil komunikovat se vzdáleným cílem v simulaci, ve které se žádný vygenerovaný kód skutečně nespouštěl.
Odstranění odmítnutí, označované jako abliteration, stálo tým Anthropic při průzkumu variant přibližně 2 200 GPU hodin a 4 400 dolarů. Autoři odhadují, že zkušený tým by stejnou úpravu zvládl asi za 600 GPU hodin a 1 200 dolarů. Na testovaných obecných a kybernetických úlohách přitom změna podle Anthropic zachovala většinu schopností modelu.
Safeguarded Claude modely se v testovaných scénářích do škodlivých úloh nezapojily. Ani to ale není úplně symetrické srovnání: u API modelu nelze stáhnout váhy, provést abliteration ani libovolně předvyplnit interní reasoning. Výsledek dokládá výhodu kontroly nad distribučním kanálem, ne automaticky vyšší bezpečnost samotného modelu.
Náš pohled: varování je oprávněné, řešení není jen zavřít váhy
Zpráva přesvědčivě ukazuje, že schopnost stavět exploity přestává být výsadou několika neveřejných modelů. Open weights navíc mění ekonomiku ochranných vrstev: co provozovatel API může vynucovat na serveru, může držitel vah odstranit nebo obejít.
Anthropic z toho vyvozuje potřebu silnějšího testování a kontrolovaného zpřístupňování nejpokročilejších modelů. Tento závěr je pochopitelný, ale zároveň odpovídá obchodnímu modelu firmy. Uzavřené API umožňuje monitoring, omezení účtů a rychlé zásahy, současně však soustřeďuje rozhodování u provozovatele a ztěžuje nezávislou kontrolu jeho vlastních tvrzení.
Za rozumnější závěr proto považujeme kombinaci několika vrstev: opakovatelné evaluace od nezávislých institucí, zveřejnění dostatečné metodiky, odstupňovaný přístup k rizikovým schopnostem a technické omezení prostředí, ve kterém agent pracuje. Spor „open versus closed“ je příliš hrubý; důležitější je, jak snadno lze schopnost zneužít, jaké stopy po sobě použití zanechá a zda lze dopad omezit.
Pro vývojáře agentních systémů z toho plyne konkrétní předpoklad: model připojený k shellu, repozitáři nebo síti může být schopnější v hledání a skládání exploitů, než naznačuje běžná konverzace. Sandbox, omezení odchozí komunikace, oddělení tajných údajů, minimální oprávnění a auditní log proto nejsou doplněk k promptovým pravidlům. Jsou to hranice, které musí fungovat i ve chvíli, kdy model instrukci odmítnout nepovažuje za závaznou.