Anthropic evalúa: GLM-5.3, de pesos abiertos de Zhipu, se acerca a Claude Mythos Preview en explotación de vulnerabilidades
Según The Decoder, el 30 de septiembre de 2026, el equipo de red team de Anthropic afirmó que el modelo de pesos abiertos GLM-5.3 de Zhipu construyó 50 exploits utilizables en 410 intentos en ExploitBench, cerca de los 56 de Mythos Preview, y que sus defensas de rechazo pueden eliminarse mediante abliteration; la evaluación independiente de CAISI de EE. UU. llegó a una conclusión similar y lo situó unos cuatro meses por detrás del mejor modelo estadounidense.
Qué ha cambiado
Según The Decoder, el 30 de septiembre de 2026, el equipo de red team de Anthropic publicó un análisis en el que afirma que GLM-5.3, el modelo de pesos abiertos de Zhipu AI (que opera como Z.ai fuera de China), se acerca ya a su Claude Mythos Preview en desarrollo de exploits. El informe señala que, en ExploitBench, que mide la explotación de vulnerabilidades conocidas del motor Chrome V8, GLM-5.3 construyó con éxito 50 exploits utilizables en 410 intentos, frente a 56 de Mythos Preview; en un benchmark interno de explotación binaria basado en el proyecto de código abierto Google OSS-Fuzz, GLM-5.3 tomó el control total del programa objetivo en el 4% de las tareas, frente al 6% de Mythos Preview. El informe indica que los más antiguos GLM-5.2 y Claude Opus 4.6 no superaron ninguna de las dos pruebas, y que Kimi K3 y DeepSeek V4.1-Flash también lograron avances casi nulos. Anthropic afirma que GLM-5.3 se publicó sin protecciones de seguridad eficaces, y que su equipo utilizó por primera vez abliteration (una técnica que elimina el comportamiento de rechazo de los pesos abiertos), un proceso de unas 2200 horas de GPU y unos 4400 dólares de coste, que redujo la tasa de rechazo de solicitudes dañinas de más del 90% al 2%-12%, mientras que las puntuaciones en pruebas científicas y de ciberseguridad apenas cambiaron. El informe añade que, en una simulación, la misma solicitud reformulada como ejercicio de red team hizo que el modelo intentara conectarse al sistema objetivo en el 64% de las ejecuciones, cifra que subió al 92% al prellenar pasos de razonamiento y al 100% tras la abliteration; esa simulación no ejecuta ningún código. El informe señala que, en los días posteriores a la publicación, varios desarrolladores difundieron versiones desbloqueadas. La evaluación independiente de la agencia estadounidense CAISI califica a GLM-5.3 como el modelo de pesos abiertos con mayores capacidades de ciberseguridad hasta la fecha, unos cuatro meses por detrás del mejor modelo estadounidense, pero la comparación tiene condiciones previas: al probar los modelos estadounidenses se desactivaron sus protecciones de ciberseguridad, y los modelos de máximo nivel solo están disponibles para usuarios verificados. El informe también señala que Anthropic no publica sus pesos y que este análisis coincide con la dirección de sus intereses comerciales, aunque la evaluación independiente de CAISI y las versiones desbloqueadas que ya circulan se presentan como corroboración de los datos de capacidad.
Impacto para desarrolladores
La consecuencia directa para los desarrolladores es que el umbral de coste y las suposiciones de protección de los flujos de trabajo de seguridad cambian a la vez. El escenario concreto que da la fuente es que Anthropic usó el más pequeño GLM-5.3-Flash, con 20 minutos de trabajo humano más 8 horas de ejecución del modelo, para combinar una vulnerabilidad de Chrome revelada recientemente con otra conocida en un ataque estable y eludir una característica de seguridad adicional del procesador, con un coste calculado según los precios de la API de Zhipu de unos 20,40 dólares (esta cifra es una estimación del momento del informe; para las tarifas reales, consúltese la página oficial de precios de Zhipu). Si llamas a esta familia de modelos por API para triaje de vulnerabilidades o validación de exploits, el coste de exploración de una sola tarea ya es lo bastante bajo para probar a granel, lo que cambia la decisión de si merece la pena dejar que el modelo lo ejecute automáticamente. Los pesos abiertos amplifican la otra cara: el informe afirma que la abliteration puede reducir la tasa de rechazo de solicitudes dañinas al rango del 2% al 12%, y que ya circulan versiones desbloqueadas, por lo que la política de seguridad propia del modelo ya no puede considerarse un límite de despliegue; la protección debe venir de tu propio filtrado de entrada y salida, aislamiento en sandbox y control de permisos de herramientas. Hay que distinguir pesos abiertos de licencia de código abierto: la fuente solo indica que los pesos son descargables públicamente, no especifica los términos de la licencia, las restricciones de uso comercial ni las condiciones de redistribución, y de ello no pueden inferirse derechos de autorización. También hay que tener en cuenta el motivo de la fuente: Anthropic no publica sus pesos y este análisis sirve también a su narrativa comercial, y sus declaraciones sobre pruebas gubernamentales y regulación son afirmaciones de postura; sin embargo, la evaluación independiente de CAISI y las versiones desbloqueadas que circulan se presentan como corroboración de sus datos de capacidad. El AISI británico había hallado antes que el retraso de los modelos abiertos en capacidades de ciberseguridad se redujo de seis a diez meses a cuatro a siete meses, y este informe se presenta como una respuesta a esa cuestión.
Integración y evaluación
Lo siguiente son recomendaciones y análisis condicionales basados en la fuente, no hechos verificados. Primera decisión: si permitir que esta familia de modelos tenga directamente permisos de herramientas con acciones ejecutables (ejecutar código, abrir conexiones de red, etc.). La fuente muestra que, al reformular la misma solicitud como ejercicio de red team, en la simulación el modelo intentó conectarse al sistema objetivo en el 64% de las ejecuciones, cifra que subió al 92% al prellenar pasos de razonamiento. Por tanto, una opción es usarlo solo para análisis estático y generación de hipótesis, dejando la ejecución real para después de la confirmación humana; solo si tu carga de trabajo es una reproducción de vulnerabilidades interna y controlada, con el host y el sistema objetivo en segmentos de red aislados y con instantáneas reversibles, considera habilitar permisos de ejecución. Criterio de evaluación medible: en tu propio conjunto de regresión, cuenta la proporción de acciones de ejecución que requieren rechazo humano; si supera el umbral que puedes aceptar, vuelve al modo de solo lectura. Segunda decisión: si depender del rechazo incorporado en los pesos como capa de seguridad. La fuente afirma que tras la abliteration la tasa de rechazo baja al 2%-12% mientras que las puntuaciones de capacidad apenas cambian, lo que indica que la eliminación no debilita la capacidad de forma sincronizada. Por tanto, la política de seguridad debe externalizarse como una capa de filtrado y auditoría independiente y comprobable por separado, siempre que tengas capacidad de registro completo de solicitudes y respuestas al modelo; si llamas a través de una API de terceros, primero debes confirmar si ese proveedor aplica su propio posprocesamiento de seguridad sobre los mismos pesos. Criterio medible: compara con tu propio conjunto de pruebas de uso no autorizado de privilegios la tasa de intercepción de la salida del modelo y de la capa de filtrado, y verifica que la capa de filtrado sigue siendo eficaz tras sustituir el modelo por otra versión. Tercera decisión: incorporar las versiones desbloqueadas al modelo de amenazas. La fuente afirma que, días después de la publicación, ya aparecieron versiones desbloqueadas en la comunidad, por lo que tus suposiciones defensivas de red team o de monitorización de abusos no deben basarse en que el atacante no pueda obtener el modelo sin protecciones. Criterio medible: ejecuta periódicamente el mismo conjunto de casos de abuso con pesos desbloqueados o configuraciones de baja protección y comprueba si la tasa de acierto de las reglas de detección se mantiene en el nivel fijado. Además, si planeas usarlo para auditoría automatizada de código, se recomienda hacer primero una comparación de recall con vulnerabilidades ya conocidas del repositorio para confirmar si las conclusiones de capacidad del informe se reproducen en tu base de código, en lugar de aceptar directamente las cifras del benchmark.
Límites y cuestiones pendientes
Conviene aclarar que GLM-5.3 y GLM-5.3-Flash, descritos en este informe, tienen entradas con coincidencia exacta en el catálogo de modelos en tiempo real actual de KimiSeek, concretamente GLM-5.3 con id glm-5.3 (razonamiento, contexto de unos 1.024.000 tokens) y GLM-5.3 Flash con id glm-5.3-flash (razonamiento). La inclusión en el catálogo solo representa el estado de listado actual y no constituye prueba alguna sobre las cifras de benchmark de Anthropic y CAISI, las versiones desbloqueadas ni las conclusiones de precios del informe, ni implica que esos resultados de evaluación y versiones desbloqueadas estén ya disponibles en KimiSeek; la disponibilidad de API y los precios descritos deben dirigirse a los canales oficiales de Zhipu (Z.ai), y para las tarifas y formas de facturación reales consúltese su página de precios. Las cifras de capacidad del informe provienen de las propias declaraciones de Anthropic y de la evaluación de CAISI; los resultados de benchmarks de IA se ven afectados por los prompts, el andamiaje, el número de intentos y la versión de evaluación, y el informe no ofrece una configuración completa reproducible, por lo que cifras como 50 exploits en 410 intentos o el 4% de control total no deben tomarse como predicción del rendimiento en tu propia base de código. La simulación de elusión de protecciones de Anthropic no ejecuta ningún código, y el propio informe señala que no puede demostrar que el ataque fuera a tener éxito realmente; el descubrimiento de vulnerabilidades de navegador, controladores y firmware se describe como reportado o aún en revisión, sin indicar el estado de corrección. Las cifras de coste del informe (unos 4400 dólares, unos 1200 dólares estimados, 20,40 dólares de coste de API) son estimaciones bajo condiciones experimentales específicas y no constituyen precios actuales. La comparación de CAISI tiene condiciones explícitas: al probar los modelos estadounidenses se desactivaron sus protecciones de ciberseguridad, y los modelos de máximo nivel solo están disponibles para usuarios verificados, por lo que la afirmación de un retraso de cuatro meses no debe citarse fuera de esas condiciones. Anthropic tiene una relación de intereses comerciales directa con sus competidores. El informe tampoco ofrece detalles de autorización necesarios para el despliegue, como los términos de la licencia, las restricciones de ajuste fino y redistribución; que los pesos sean descargables no equivale a que la licencia permita cualquier uso.
Ilustraciones de la noticia original
