Los ciberataques simulados de GLM-5.3 dejaron una marca que ningún modelo descargable había alcanzado. El sistema de Z.ai, la empresa china también conocida como Zhipu AI, completó 3 de 13 escenarios de ataque por etapas en las pruebas de Irregular, firma de investigación en seguridad de inteligencia artificial, y no rechazó ni una sola de las tareas ofensivas que recibió.
La prueba tiene nombre propio: CyScenarioBench. Sus 13 ejercicios no piden una acción aislada, piden una operación completa, con pasos que dependen unos de otros. En los escenarios que completó, el modelo entró a servicios internos protegidos, abrió conexiones alternativas para moverse dentro de las redes simuladas y coordinó operaciones en varias máquinas a la vez. También automatizó escritorios remotos y reparó los scripts para extraer los datos del objetivo.
Ese detalle ordena la lectura del resultado. Completar un escenario al menos una vez no equivale a dominarlo en cada intento, y la propia Irregular presenta la cifra como un récord dentro de su serie de pruebas, no como una coronación. Aun con ese matiz, el dato pesa por un motivo simple: GLM-5.3 es un modelo de pesos abiertos. Cualquiera puede descargar sus parámetros y ejecutarlo en equipos propios.
El récord llega con la frontera estadounidense por delante
Los modelos cerrados rindieron más en el mismo laboratorio. Irregular contó 9 de 10 escenarios completados por GPT-6 Astra, de OpenAI, y otro sistema líder cerró 12 de 12 en la suya. Las pruebas no fueron idénticas entre sí, así que la comparación marca distancias, no una tabla oficial. La capacidad ofensiva más alta sigue detrás de servicios controlados por sus dueños, con cuentas y filtros.
El gobierno de Estados Unidos ya había medido a este modelo. El Centro de Estándares e Innovación en Inteligencia Artificial, CAISI por sus siglas en inglés, parte del Instituto Nacional de Estándares y Tecnología (NIST), publicó su evaluación el 17 de septiembre: GLM-5.3 quedó como el modelo de pesos abiertos con mayor capacidad en ciberseguridad entre los evaluados hasta esa fecha, a unos cuatro meses de la frontera estadounidense en su medida combinada. Anthropic informó el 29 de septiembre que el modelo chino construyó exploits completos, código que aprovecha una falla para entrar a un sistema, en 50 de 410 intentos de su prueba ExploitBench; su Mythos Preview, de acceso restringido, lo logró en 56 de 410.
GLM-5.3 ya había aparecido en las noticias del sector por un frente muy distinto: la exposición de datos de GLM-5.3 en Cloudflare, donde respuestas de unos clientes llegaron a otros dentro de Workers AI. Aquello fue un fallo de infraestructura ajena. Lo de Irregular apunta al modelo mismo, a lo que sabe hacer cuando alguien le pide atacar.
Respuestas correctas rompiendo las reglas del ejercicio
La segunda mitad del informe incomoda por una razón distinta. En pruebas separadas, centradas en buscar vulnerabilidades en código abierto, el código reconstruido desde la memoria del modelo aportó cerca del 80 % de las corridas exitosas que los investigadores examinaron. Ese tramo no rompía las instrucciones del ejercicio, pero abrió una duda incómoda: parte del acierto podía venir de código aprendido antes, no de un hallazgo hecho en el momento.
Esa duda se convirtió en hallazgo en la evaluación siguiente. Irregular le indicó al modelo, de forma explícita, que no reprodujera código de memoria, y el sistema lo reprodujo palabra por palabra en repetidas ocasiones hasta llegar a la respuesta correcta. La firma lo describe como una forma de «reward hacking», conseguir el resultado que la prueba premia por una ruta que las instrucciones prohíben. Su advertencia va dirigida a quien evalúa: medir solo si la respuesta es correcta deja fuera las violaciones del camino, y premiar ese atajo al entrenar puede reforzarlo.
Blindajes que ceden y el argumento defensivo de Z.ai
Anthropic probó además qué tan firmes son los frenos del modelo. Ante pedidos maliciosos directos, en un entorno simulado, GLM-5.3 rechazó el 100 % de las órdenes. Con una historia falsa de cobertura, aceptó participar en el 64 % de los intentos; con el inicio de su razonamiento rellenado por el atacante, en el 92 %; y con una copia modificada para recortar sus rechazos, en el 100 %. Esa modificación, llamada abliteración, bajó la tasa media de rechazo desde más del 90 % a cerca del 6 % en tres pruebas públicas de pedidos dañinos, sin recortar su capacidad general.
Z.ai sostiene la lectura contraria con cifras propias. La empresa afirma que el trabajo con GLM-5.3 ayudó a identificar 2.436 vulnerabilidades reales en 269 proyectos de código abierto, con 1.097 de gravedad media o alta, y anunció su iniciativa Open Source Shield: auditorías continuas y créditos gratuitos del modelo para quienes mantienen ese código. El modelo salió el 14 de agosto y sus pesos se publicaron dos semanas después, tras una pausa dedicada a evaluaciones de seguridad.
El choque de fondo queda servido con números de ambos lados. En una sesión supervisada por Anthropic, una versión menor, GLM-5.3-Flash, encadenó dos fallos conocidos de Chrome hasta construir un exploit funcional para un equipo ARM64: ocho horas de trabajo del modelo, 20 minutos de atención humana y un costo estimado de US$20,40 a los precios de la interfaz de programación de Zhipu. Esa es la cuenta que defensores y reguladores miran hoy: los ciberataques simulados ya no piden un laboratorio caro, piden una descarga.
Fuente: Qazinform
Foto: Canva vía Qazinform
