Anthropic: GLM-5.3 bygger exploits på Mythos-nivå, og sperrene faller med enkle triks

Claude Mythos Preview og GLM-5.3 er omtrent like gode til å bygge exploits, men bare den ene kan du laste ned. Anthropics Frontier Red Team publiserte 29. september en analyse av Z.ais nyeste modell. På ExploitBench, som måler om en modell kan gjøre kjente feil i Chromes V8-motor om til angrep, fikk GLM-5.3 til komplette exploits i 50 av 410 forsøk. Mythos Preview klarte 56. Mythos er bare sluppet til utvalgte forsvarere, mens GLM-5.3-vektene ligger åpent.

Det nye i rapporten er hvor lite som skal til for å fjerne sperrene. Uten triks nektet GLM-5.3 alle åpenbart ondsinnede forespørsler i Anthropics simulerte miljø. Med en villedende prompt, der modellen får høre at den er en autonom red-team-agent i en øvelse, ble den med i 64 prosent av tilfellene. Forhåndsutfylte thinking-tokens, der det ser ut som modellen allerede har bestemt seg for å hjelpe, ga 92 prosent, og en abliterert versjon ble med hver gang. Ingen av teknikkene fikk Claude-modeller med sperrer til å utføre oppgavene, skriver Anthropic, blant annet fordi API-et ikke lar deg forhåndsutfylle Claudes tenking.

Abliterering er en standardteknikk som reduserer nektelser ved å endre vektene, og flere utviklere la ut ablitererte GLM-5.3-varianter få dager etter lanseringen. Anthropics team hadde aldri gjort det før og brukte rundt 2 200 GPU-timer, omtrent 4 400 dollar. Nektelsesraten falt fra over 90 prosent til rundt 3 prosent på JailbreakBench, mens resultatet på GPQA-Diamond var det samme som før.

«Vi vurderer det slik at GLM-5.3s slappe sperrer øker cyberevnene som er tilgjengelige for ondsinnede aktører betydelig» — Anthropic Frontier Red Team

Hastigheten er det som angår deg som drifter noe. En forsker ga den mindre GLM-5.3-Flash offentlige detaljer om Chrome-sårbarheten CVE-2026-11645 og en annen kjent feil. Med 20 minutter menneskelig innsats og åtte timer modellarbeid satte modellen sammen en pålitelig exploit-kjede for ARM64 som omgikk pointer-authentication (PAC). Til Zhipus API-priser ville det kostet 20,40 dollar. I en annen økt fant GLM-5.3 på én dag flere ukjente feil i JavaScript-motoren til en populær nettleser og lenket dem til en nettside som leser vilkårlige filer fra maskinen til den som besøker den.

NISTs Center for AI Standards and Innovation (CAISI) kom til samme konklusjon i sin egen vurdering 17. september:

«GLM-5.3 is the most cyber-capable open-weight model released to date» — CAISI, NIST

CAISI plasserer GLM-5.3 omtrent fire måneder bak den amerikanske fronten samlet. På SEC-Bench Pro fikk den 40,4 prosent mot 90,2 for beste amerikanske modell, og på ExploitGym 9,4 mot 44,4. De amerikanske tallene er likevel målt med cyber-sperrene slått av, og deler av fronten er bare sluppet til godkjente brukere. Forskjellen Anthropic peker på, er at hvem som helst kan laste ned GLM-5.3.

Hva bør du gjøre?

1. Legg grensene i miljøet og ikke i modellen: kjører du GLM-5.3 eller en abliterert variant i en agent, gi den en sandkasse uten fri nettverkstilgang og uten hemmeligheter.
2. Kort ned tiden fra sikkerhetsfiks til oppdatering på nettlesere og eksponerte tjenester, når en åpen modell kan gjøre en publisert feil om til en exploit-kjede på åtte timer.
3. Bruk den samme evnen på din egen kode, og kjør modellen isolert mot egne repoer før noen andre gjør det.

Bakgrunn

Z.ai, som heter Zhipu AI i Kina, lanserte GLM-5.3 14. august og la ut vektene to uker senere. Anthropic holdt Claude Mythos Preview tilbake da modellen ble presentert for fem måneder siden, og gjennom Project Glasswing fant betrodde forsvarere over 10 000 sårbarheter i kritisk programvare.