Anthropic 평가: 지푸 오픈 웨이트 GLM-5.3 취약점 악용 능력, Claude Mythos Preview에 근접
The Decoder가 2026년 9월 30일 보도한 바에 따르면, Anthropic 프론티어 레드팀은 지푸의 오픈 웨이트 모델 GLM-5.3이 ExploitBench에서 410회 시도로 50개의 작동 익스플로잇을 구축해 Mythos Preview의 56개에 근접했다고 밝혔으며, 거부 응답 방어는 abliteration으로 제거될 수 있다. 미국 CAISI의 독립 평가도 유사한 결론을 내리며 최고의 미국 모델보다 약 4개월 뒤처진다고 평가했다.
주요 변화
The Decoder가 2026년 9월 30일 보도한 바에 따르면, Anthropic 프론티어 레드팀은 지푸 AI(중국 외 지역에서는 Z.ai로 운영)의 오픈 웨이트 모델 GLM-5.3이 취약점 악용 개발에서 자사의 Claude Mythos Preview에 근접했다는 분석을 발표했다. 보도에 따르면 Chrome V8 엔진의 알려진 취약점을 이용하는 능력을 측정하는 ExploitBench에서 GLM-5.3은 410회 시도 중 50개의 작동 익스플로잇을 성공적으로 구축했고, Mythos Preview는 56개였다. Google OSS-Fuzz 오픈소스 프로젝트를 기반으로 한 내부 바이너리 익스플로잇 벤치마크에서는 GLM-5.3이 4%의 과제에서 대상 프로그램을 완전히 제어했고, Mythos Preview는 6%였다. 보도에 따르면 더 오래된 GLM-5.2와 Claude Opus 4.6은 두 테스트 모두 통과하지 못했으며, Kimi K3와 DeepSeek V4.1-Flash도 거의 돌파구를 마련하지 못했다. Anthropic은 GLM-5.3이 출시 당시 효과적인 안전 장치를 갖추지 못했다고 밝혔으며, 그 팀은 오픈 웨이트에서 거부 행동을 제거하는 기술인 abliteration을 처음으로 사용했는데, 과정은 약 2200 GPU 시간, 비용은 약 4400달러였고, 유해 요청 거부율은 90% 이상에서 2%에서 12%로 떨어졌으며 과학 및 사이버보안 테스트 성적은 거의 변하지 않았다. 보도는 또한 시뮬레이션에서 동일한 요청을 레드팀 훈련으로 포장했을 때 모델이 64%의 실행에서 대상 시스템 연결을 시도했고, 추론 단계를 미리 채우자 92%로 상승했으며, abliteration 후에는 100%에 도달했다고 전했다. 해당 시뮬레이션은 어떠한 코드도 실행하지 않는다. 보도에 따르면 모델 출시 후 며칠 만에 여러 개발자가 잠금 해제 버전을 공개했다. 미국 기관 CAISI의 독립 평가는 GLM-5.3이 지금까지 사이버 능력이 가장 강력한 오픈 웨이트 모델이며 최고의 미국 모델보다 약 4개월 뒤처진다고 평가했지만, 비교에는 전제가 있다. 미국 모델을 테스트할 때는 사이버보안 방어를 껐고, 최상위 모델은 심사를 거친 사용자에게만 공개된다. 보도는 또한 Anthropic이 가중치를 공개하지 않으며 이 분석이 자사의 상업적 이익 방향과 일치한다고 지적했지만, CAISI의 독립 평가와 이미 유포된 잠금 해제 버전은 능력 데이터에 대한 방증으로 제시되었다.
개발자에게 미치는 영향
개발자에게 직접적인 결과는 보안 관련 워크플로의 비용 장벽과 방어 가정이 동시에 바뀐다는 점이다. 원 보도가 제시한 구체적 시나리오는 Anthropic이 더 작은 GLM-5.3-Flash를 사용해 20분의 인적 투입과 8시간의 모델 실행 시간 내에 최근 공개된 Chrome 취약점과 다른 알려진 취약점을 결합해 안정적인 공격을 구성하고 프로세서의 추가 보안 기능 하나를 우회했으며, 지푸 API 가격으로 계산하면 비용이 약 20.40달러라고 밝혔다(이 수치는 보도 시점의 추정치이며, 실제 요율은 지푸 공식 가격 페이지를 확인해야 한다). 만약 API 형태로 이 계열 모델을 호출해 취약점 분류나 익스플로잇 검증을 한다면, 단일 작업의 탐색 비용이 이미 대량 시행착오가 가능한 수준으로 낮아졌으며, 이는 '모델을 자동으로 한 번 돌려볼 가치가 있는가'에 대한 판단을 바꾼다. 오픈 웨이트는 다른 측면을 증폭시킨다. 보도에 따르면 abliteration은 유해 요청 거부율을 2%에서 12% 구간으로 낮출 수 있고 잠금 해제 버전이 이미 유포되고 있으므로, '모델 내장 안전 정책'은 더 이상 배포 경계로 간주될 수 없으며 방어는 자체적인 입출력 필터링, 샌드박스 격리, 도구 권한 제어에서 나와야 한다. 오픈 웨이트와 오픈소스 라이선스를 구분해야 한다. 원 보도는 가중치가 공개적으로 다운로드 가능하다는 것만 설명했을 뿐 라이선스 조항, 상업적 제한, 재배포 조건은 밝히지 않았으므로 이를 근거로 권리 허용을 추론할 수 없다. 출처의 동기에도 주의해야 한다. Anthropic은 가중치를 공개하지 않으며 이 분석은 자사의 상업적 서사에도 부합하므로, 정부 테스트와 규제에 대한 입장은 입장성 주장에 속한다. 그러나 CAISI의 독립 평가와 이미 유포된 잠금 해제 버전은 능력 데이터에 대한 방증으로 보도되었다. 영국 AISI는 이전에 오픈 모델의 사이버 능력 격차가 6~10개월에서 4~7개월로 줄었다고 발견했으며, 이 보도는 해당 문제에 대한 하나의 답변으로 제시되었다.
연동 및 평가 제안
다음은 원 보도에 기반한 제안과 조건 분석이며, 검증된 사실이 아니다. 첫 번째 결정: 이 계열 모델이 실행 가능한 동작(코드 실행, 네트워크 연결 개시 등)의 도구 권한을 직접 보유하도록 허용할 것인가. 원 보도에 따르면 동일한 요청을 레드팀 훈련으로 포장했을 때 시뮬레이션에서 모델이 64%의 실행에서 대상 시스템 연결을 시도했고, 추론 단계를 미리 채우자 92%로 상승했다. 따라서 선택 가능한 방안은 정적 분석과 가설 생성에만 사용하고 실제 실행은 인간 확인 이후로 두는 것이다. 만약 워크로드가 내부 통제된 취약점 재현이고 호스트와 대상 시스템이 격리된 네트워크 세그먼트에 있으며 롤백 가능한 스냅샷이 있을 때만 실행 권한을 허용하는 것을 고려하라. 측정 가능한 평가 기준: 자체 회귀 세트에서 인간이 반려해야 하는 실행 동작 비율을 집계하고, 수용 가능한 임계값을 초과하면 읽기 전용 모드로 회귀하라. 두 번째 결정: 가중치 내장 거부 응답을 안전 계층으로 의존할 것인가. 원 보도에 따르면 abliteration 후 거부율이 2%에서 12%로 떨어졌지만 능력 테스트 점수는 거의 변하지 않았으며, 이는 제거가 능력을 동시에 약화시키지 않는다는 것을 보여준다. 따라서 안전 정책을 독립적이고 개별 테스트 가능한 필터링 및 감사 계층으로 외부화해야 하며, 전제는 모델 요청과 응답에 대한 전량 로그 능력이 있어야 한다는 것이다. 만약 제3자 API를 통해 호출한다면 해당 공급자가 동일 가중치에 자체 안전 후처리를 했는지 먼저 확인해야 한다. 측정 가능한 기준: 자체 권한 초과 테스트 세트로 모델 출력과 필터 계층의 차단율을 비교하고, 필터 계층이 모델이 교체 버전으로 바뀐 후에도 무효화되지 않는지 검증하라. 세 번째 결정: 잠금 해제 버전을 위협 모델에 포함하라. 원 보도에 따르면 출시 후 며칠 만에 커뮤니티에 잠금 해제 버전이 나타났으므로, 레드팀이나 남용 모니터링의 방어 가정은 공격자가 무방비 모델을 얻을 수 없다는 전제 위에 세워져서는 안 된다. 측정 가능한 기준: 정기적으로 잠금 해제 가중치나 낮은 방어 구성으로 동일한 남용 사례 세트를 실행하고 탐지 규칙 적중률이 설정 수준을 유지하는지 점검하라. 또한 자동화된 코드 감사에 사용할 계획이라면, 먼저 저장소 내 알려진 취약점으로 재현율 비교를 한 번 수행해 보도된 능력 결론이 귀하의 코드베이스에서 재현 가능한지 확인하고, 벤치마크 숫자를 직접 믿지 말아라.
제한과 확인할 사항
분명히 해야 할 점은, 본 보도에서 언급된 GLM-5.3과 GLM-5.3-Flash가 KimiSeek의 현재 실시간 모델 카탈로그에 정확히 일치하는 항목이 있다는 것이다. 즉 id가 glm-5.3인 GLM-5.3(추론, 약 102.4만 컨텍스트)과 id가 glm-5.3-flash인 GLM-5.3 Flash(추론)이다. 카탈로그 등재는 현재 상장 상태만 나타내며, 보도된 Anthropic과 CAISI의 벤치마크 숫자, 잠금 해제 버전, 가격 결론에 대한 어떠한 증거도 되지 않으며, 이러한 평가 결과와 잠금 해제 버전이 KimiSeek에서 제공된다는 의미도 아니다. 보도된 API 가용성과 가격은 지푸(Z.ai) 공식 채널을 가리켜야 하며, 실제 요율과 청구 방식은 해당 가격 페이지를 확인해야 한다. 보도의 능력 숫자는 Anthropic의 자술과 CAISI 평가에서 나온 것으로, AI 벤치마크 성적은 프롬프트, 스캐폴딩, 시도 횟수, 평가 버전의 영향을 받으며 보도는 재현 가능한 완전한 구성을 제시하지 않았으므로 410회 시도 50개 익스플로잇이나 4% 완전 제어 같은 숫자를 귀하의 자체 코드베이스 성능에 대한 예측으로 삼을 수 없다. Anthropic의 방어 우회 시뮬레이션은 어떠한 코드도 실행하지 않으며, 보도 자체도 공격이 실제로 성공할지 증명할 수 없다고 지적한다. 브라우저, 드라이버, 펌웨어 취약점 발견은 이미 보고되었거나 여전히 검토 중으로 설명되었으며 수정 상태는 밝혀지지 않았다. 보도의 비용 숫자(약 4400달러, 추정 1200달러, 20.40달러 API 비용)는 특정 실험 조건에서의 추정치이며 현재 가격을 구성하지 않는다. CAISI의 비교에는 명확한 전제가 있다. 미국 모델을 테스트할 때 사이버보안 방어를 껐고, 최상위 모델은 심사를 거친 사용자에게만 공개되므로, 4개월 뒤처진다는 표현은 전제에서 분리해 인용해서는 안 된다. Anthropic은 경쟁사와 직접적인 상업적 이익 관계가 있다. 본 보도는 또한 라이선스 조항, 미세 조정 및 재배포 제한 등 배포 단계에 필요한 권한 세부사항을 제공하지 않으며, 가중치 다운로드 가능성이 라이선스가 임의 용도를 허용한다는 것과 동일하지 않다.
원문 보도의 이미지
