Anthropic: modello cinese GLM-5.3 come Claude Mythos ma più pericoloso

La crescita delle capacità dell’Intelligenza Artificiale nella sicurezza informatica sta rendendo più sottile il confine tra ricerca difensiva e uso offensivo.

GLM-5.3, sviluppato da Z.ai, è al centro di una nuova valutazione di Anthropic dedicata proprio alla capacità dei modelli di individuare vulnerabilità e trasformarle in exploit funzionanti, decretando come le sue capacità siano paragonabili a Claude Mythos.

L’analisi, pubblicata nelle scorse ore, arriva dopo una valutazione indipendente del NIST e considera sia le prestazioni tecniche sia la robustezza delle protezioni integrate. Il punto rilevante non riguarda soltanto la potenza del modello: la disponibilità dei suoi pesi permette infatti di intervenire direttamente sul comportamento del sistema, modificando i meccanismi che limitano le richieste dannose.

GLM-5.3 dimostra capacità avanzate negli exploit

Anthropic ha utilizzato ambienti isolati e sandbox per evitare che le prove potessero colpire sistemi reali.

Su ExploitBench, benchmark dedicato allo sfruttamento di vulnerabilità note nel motore V8 di Google Chrome, GLM-5.3 ha prodotto exploit end-to-end funzionanti in 50 tentativi su 410. In una valutazione interna sulla binary exploitation, il modello ha inoltre ottenuto il controllo completo del flusso di esecuzione nel 4% di 100 prove. I risultati mostrano una capacità concreta di passare dall’analisi di un difetto alla costruzione dell’exploit, senza però equivalere automaticamente alla possibilità di compromettere sistemi reali.

La valutazione con ricercatori umani ha aggiunto un elemento qualitativo. Durante una sessione condotta su una build Linux di un browser, GLM-5.3 ha individuato diverse vulnerabilità precedentemente sconosciute nel motore JavaScript e le ha concatenate in un attacco capace di leggere file arbitrari dal computer della vittima simulata.

Anthropic riferisce inoltre di aver individuato, nello stesso lavoro, problemi sfruttabili in driver wireless, driver grafici e software destinato a dispositivi esposti alla rete. Una seconda prova ha coinvolto GLM-5.3-Flash e la vulnerabilità CVE-2026-11645 di Chrome: il modello ha costruito una catena per un sistema ARM64, aggirando la protezione Pointer Authentication.

Il NIST aveva già valutato GLM-5.3 il 17 settembre 2026, definendolo il modello open-weight con le maggiori capacità cyber tra quelli esaminati dall’ente. La misurazione ha utilizzato quattro benchmark e un indice costruito con un modello statistico IRT, distinguendo la difficoltà dei singoli compiti dalla capacità dei sistemi. Su SEC-Bench Pro, GLM-5.3 ha risolto il 40,4% delle prove; su ExploitGym ha raggiunto il 9,4%, mentre OSS-Fuzz si è fermato al 7,7%. Il NIST ha stimato inoltre un divario di circa quattro mesi rispetto alla frontiera statunitense nell’indice aggregato.

Il problema delle protezioni modificabili dai possessori

La caratteristica che distingue GLM-5.3 non è quindi soltanto la capacità tecnica, ma la possibilità di intervenire sui pesi. Anthropic ha sperimentato una tecnica chiamata abliteration, ottenendo una forte riduzione dei rifiuti senza compromettere in modo significativo le prestazioni generali. L’operazione condotta dai ricercatori ha richiesto circa 2.200 GPU-ore e 4.400 dollari in token di calcolo; per un gruppo già esperto, Anthropic stima un fabbisogno vicino a 600 GPU-ore. Dopo la modifica, i rifiuti sono scesi a circa il 3% su JailbreakBench e al 2% su HarmBench.

Anche senza modificare i pesi, i test hanno evidenziato modalità per aggirare le protezioni. In una simulazione, una richiesta presentata come attività di red teaming ha portato il modello a procedere nel 64% dei casi; il valore è salito al 92% utilizzando un ragionamento precompilato. Anthropic precisa che il codice generato durante queste prove non è stato eseguito e che l’ambiente simulato non permetteva connessioni verso sistemi esterni. La limitazione riduce quindi la portata delle conclusioni, ma non elimina il problema osservato sulla facilità con cui il comportamento può cambiare.

La disponibilità dei pesi introduce infine una conseguenza più ampia per la valutazione della sicurezza: una protezione applicata attraverso un servizio remoto può essere aggiornata centralmente, mentre un modello distribuito localmente lascia maggiore controllo all’utilizzatore. Z.ai descrive GLM-5.3 come un’evoluzione ottenuta attraverso il post-training della base precedente, con un miglioramento del 50% nel proprio Z.ai Code Bench. La combinazione tra sviluppo accelerato, capacità cyber e personalizzazione locale rende quindi indispensabile valutare non solo ciò che un modello sa fare al momento del rilascio, ma anche quanto sia semplice modificarne i vincoli operativi.