Anthropic évalue GLM-5.3 à poids ouverts de Zhipu : capacités d'exploitation proches de Claude Mythos Preview
Selon The Decoder du 30 septembre 2026, la red team frontière d'Anthropic affirme que le modèle à poids ouverts GLM-5.3 de Zhipu a construit 50 exploits fonctionnels en 410 tentatives sur ExploitBench, proche des 56 de Mythos Preview, et que son refus peut être retiré par abliteration ; le CAISI américain, dans une évaluation indépendante, parvient à une conclusion similaire et le situe environ quatre mois derrière les meilleurs modèles américains.
Ce qui change
Selon The Decoder du 30 septembre 2026, la red team frontière d'Anthropic a publié une analyse affirmant que GLM-5.3, modèle à poids ouverts de Zhipu AI (opérant sous Z.ai hors de Chine), approche désormais Claude Mythos Preview en développement d'exploits. Le rapport indique que sur ExploitBench, qui mesure l'exploitation de vulnérabilités connues du moteur Chrome V8, GLM-5.3 a construit 50 exploits fonctionnels en 410 tentatives, contre 56 pour Mythos Preview ; dans un benchmark interne d'exploitation binaire basé sur le projet open source Google OSS-Fuzz, GLM-5.3 a pris le contrôle complet du programme cible dans 4 % des tâches, contre 6 % pour Mythos Preview. Le rapport précise que les plus anciens GLM-5.2 et Claude Opus 4.6 échouent aux deux tests, Kimi K3 et DeepSeek V4.1-Flash n'obtenant quasiment aucune percée. Anthropic affirme que GLM-5.3 n'était pas doté de protections efficaces à sa sortie, et que son équipe a utilisé pour la première fois l'abliteration (une technique retirant le comportement de refus des poids ouverts), sur environ 2 200 heures GPU et pour un coût d'environ 4 400 dollars, faisant passer le taux de refus des requêtes nuisibles de plus de 90 % à 2 %-12 %, sans presque modifier les résultats aux tests scientifiques et de cybersécurité. Le rapport indique aussi que, dans une simulation, la même requête présentée comme un exercice red team a conduit le modèle à tenter de se connecter au système cible dans 64 % des exécutions, puis 92 % après préremplissage des étapes de raisonnement, et 100 % après abliteration ; cette simulation n'exécute aucun code. Selon le rapport, plusieurs développeurs ont diffusé des versions débloquées dans les jours suivant la sortie. L'évaluation indépendante de l'agence américaine CAISI qualifie GLM-5.3 de modèle à poids ouverts le plus performant à ce jour en capacités cyber, environ quatre mois derrière les meilleurs modèles américains, mais la comparaison a des prémisses : les protections cyber des modèles américains étaient désactivées pendant les tests, et les modèles les plus avancés ne sont accessibles qu'à des utilisateurs vérifiés. Le rapport note également qu'Anthropic ne publie pas ses poids, que cette analyse va dans le sens de ses intérêts commerciaux, mais que l'évaluation indépendante du CAISI et les versions débloquées déjà circulantes sont présentées comme corroborant les données de capacités.
Conséquences pour les développeurs
La conséquence directe pour les développeurs est que le seuil de coût et les hypothèses de protection des workflows de sécurité changent simultanément. Le scénario concret cité par la source est qu'Anthropic, avec le plus petit GLM-5.3-Flash, a combiné en 20 minutes de travail humain plus 8 heures d'exécution du modèle une vulnérabilité Chrome récemment divulguée avec une autre vulnérabilité connue pour former une attaque stable, en contournant une fonction de sécurité supplémentaire du processeur, pour un coût d'environ 20,40 dollars au tarif API de Zhipu (chiffre estimé à la date du rapport ; les tarifs réels doivent être vérifiés sur la page de tarification officielle de Zhipu). Si vous appelez cette série de modèles via API pour du triage de vulnérabilités ou de la validation d'exploits, le coût d'exploration d'une tâche est déjà assez bas pour permettre des essais par lots, ce qui change le calcul « vaut-il la peine de laisser le modèle exécuter automatiquement ». Les poids ouverts amplifient l'autre face : le rapport indique que l'abliteration peut ramener le taux de refus des requêtes nuisibles à 2 %-12 % et que des versions débloquées circulent déjà, de sorte que la politique de sécurité intégrée au modèle ne peut plus être considérée comme une frontière de déploiement ; la protection doit venir de votre propre filtrage des entrées-sorties, de l'isolation en bac à sable et du contrôle des permissions d'outils. Il faut distinguer poids ouverts et licence open source : la source ne dit que les poids sont téléchargeables, sans préciser les termes de licence, les restrictions commerciales ou les conditions de redistribution, ce qui ne permet pas d'en déduire des droits d'usage. Attention aussi aux motivations de la source : Anthropic ne publie pas ses poids et cette analyse sert aussi son récit commercial, ses déclarations sur les tests gouvernementaux et la régulation relevant d'une position. Mais l'évaluation indépendante du CAISI et les versions débloquées circulantes sont rapportées comme corroborant ses données de capacités. L'UK AISI avait auparavant constaté que le retard des modèles ouverts en capacités cyber s'était réduit de six à dix mois à quatre à sept mois, et ce rapport est présenté comme une réponse à cette question.
Intégration et évaluation
Les points suivants sont des recommandations et analyses conditionnelles fondées sur la source, et non des faits vérifiés. Première décision : faut-il autoriser cette série de modèles à détenir directement des permissions d'outils à effet exécutable (exécuter du code, établir des connexions réseau, etc.) ? La source montre que, dans la simulation, la même requête présentée comme un exercice red team a conduit le modèle à tenter de se connecter au système cible dans 64 % des exécutions, puis 92 % après préremplissage des étapes de raisonnement. L'option possible est donc de ne l'utiliser que pour l'analyse statique et la génération d'hypothèses, en plaçant l'exécution réelle après confirmation humaine ; n'envisagez d'ouvrir les permissions d'exécution que si votre charge de travail est une reproduction de vulnérabilité interne contrôlée et que l'hôte et le système cible sont sur un segment réseau isolé avec des instantanés restaurables. Critère mesurable : sur votre propre jeu de régression, compter la proportion d'actions d'exécution nécessitant un rejet humain ; si elle dépasse votre seuil acceptable, revenez au mode lecture seule. Deuxième décision : faut-il s'appuyer sur le refus intégré aux poids comme couche de sécurité ? La source indique qu'après abliteration, le taux de refus tombe à 2 %-12 % tandis que les scores de capacités restent presque inchangés, ce qui montre que le retrait n'affaiblit pas les capacités en même temps. Il faut donc externaliser la politique de sécurité en une couche de filtrage et d'audit indépendante et testable séparément, à condition de disposer d'une journalisation complète des requêtes et réponses au modèle ; si vous passez par une API tierce, vérifiez d'abord si ce fournisseur applique son propre post-traitement de sécurité sur les mêmes poids. Critère mesurable : comparez avec votre propre jeu de tests d'abus le taux d'interception du modèle et celui de la couche de filtrage, et vérifiez que la couche de filtrage reste efficace après remplacement du modèle par une version débloquée. Troisième décision : intégrer les versions débloquées à votre modèle de menace. La source indique que des versions débloquées sont apparues quelques jours après la sortie ; vos hypothèses de défense red team ou de détection d'abus ne doivent pas supposer que les attaquants n'ont pas accès à un modèle sans protections. Critère mesurable : exécutez périodiquement le même ensemble de cas d'abus avec des poids débloqués ou une configuration faiblement protégée, et vérifiez que le taux de détection de vos règles reste au niveau fixé. En outre, si vous prévoyez de l'utiliser pour l'audit automatisé de code, effectuez d'abord une comparaison de rappel avec des vulnérabilités connues de votre dépôt pour confirmer si les conclusions de capacités du rapport sont reproductibles sur votre base de code, plutôt que d'accepter directement les chiffres du benchmark.
Limites et points à confirmer
Il faut préciser que GLM-5.3 et GLM-5.3-Flash mentionnés dans ce rapport ont des entrées correspondant exactement dans le catalogue de modèles en temps réel actuel de KimiSeek, à savoir GLM-5.3 (raisonnement, environ 1,024 million de contexte) avec l'id glm-5.3, et GLM-5.3 Flash (raisonnement) avec l'id glm-5.3-flash. Cette présence au catalogue ne représente que l'état actuel de mise en ligne et ne constitue aucune preuve des chiffres de benchmark d'Anthropic et du CAISI, des versions débloquées ou des conclusions tarifaires citées dans le rapport, ni ne signifie que ces résultats d'évaluation ou ces versions débloquées sont proposés sur KimiSeek ; la disponibilité API et les prix mentionnés doivent être vérifiés auprès des canaux officiels de Zhipu (Z.ai), et les tarifs et modes de facturation réels doivent être consultés sur sa page de tarification. Les chiffres de capacités du rapport proviennent des déclarations d'Anthropic et de l'évaluation du CAISI ; les résultats de benchmarks d'IA dépendent des prompts, du scaffolding, du nombre de tentatives et de la version d'évaluation, et le rapport ne fournit pas de configuration complète reproductible, de sorte que des chiffres comme 50 exploits en 410 tentatives ou 4 % de contrôle complet ne peuvent pas être considérés comme une prédiction de votre performance sur votre propre base de code. La simulation de contournement des protections d'Anthropic n'exécute aucun code, et le rapport lui-même indique qu'elle ne peut prouver si l'attaque réussirait réellement ; la découverte de vulnérabilités de navigateur, de pilote et de firmware est décrite comme signalée ou encore en cours d'examen, sans état de correction précisé. Les chiffres de coût du rapport (environ 4 400 dollars, 1 200 dollars estimés, 20,40 dollars de coût API) sont des estimations dans des conditions expérimentales données et ne constituent pas des prix actuels. La comparaison du CAISI a des prémisses explicites : les protections cyber des modèles américains étaient désactivées pendant les tests, et les modèles de pointe ne sont accessibles qu'à des utilisateurs vérifiés ; l'affirmation d'un retard de quatre mois ne doit donc pas être citée hors de ce contexte. Anthropic a des intérêts commerciaux directement concurrents de ceux de ses concurrents. Le rapport ne fournit pas non plus les conditions de licence, les restrictions de fine-tuning et de redistribution et autres détails d'autorisation nécessaires au déploiement ; la téléchargeabilité des poids n'équivaut pas à une licence autorisant tous les usages.
Illustrations de l’article original
