Anthropic: GLM-5.3, el modelo open-weight de Zhipu, iguala a Claude Mythos Preview construyendo exploits y sus salvaguardas se saltan con técnicas simples

El Frontier Red Team de Anthropic publicó el 29 de septiembre un análisis que confirma lo que muchos temían: la capacidad de construir exploits ciber complejos de extremo a extremo, hasta hace poco exclusiva de los frontier cerrados, ha llegado a un modelo open-weight descargable por cualquiera. En las pruebas de Anthropic, GLM-5.3 de Zhipu AI (conocido como Z.ai fuera de China) desarrolló exploits completos en 50 de 410 intentos, y en su benchmark interno de explotación binaria logró hijacks de flujo de control en el 4% de los ensayos, solo por detrás del 6% de Claude Mythos Preview — todos los demás modelos evaluados (Claude Opus 4.6, GLM-5.2, Kimi K3, DeepSeek V4.1-Flash) quedaron en 0%.

Lo más inquietante es el detalle cualitativo: en una sesión de un día, con atención humana limitada, GLM-5.3 encontró varias vulnerabilidades 0-day previamente desconocidas en el motor JavaScript de un navegador popular y las encadenó en un exploit drive-by funcional que, al visitar una página web, lee archivos arbitrarios del equipo de la víctima (Anthropic mostró la exfiltración de una clave SSH privada). La variante más pequeña, GLM-5.3-Flash, encadenó exploits para un fallo reciente de Chrome (CVE-2026-11645) con otro bug conocido, superando la protección PAC de ARM64 con apenas ~20 dólares en coste de API según The Decoder.

Salvaguardas que no sostienen

GLM-5.3 se publicó con algunas salvaguardas de fábrica, pero el análisis concluye que no son significativas. En un entorno simulado con órdenes maliciosas explícitas, la tasa de cumplimiento pasó de 0% con la orden en crudo a:

Técnica de evasión	GLM-5.3 cumple
Orden directa maliciosa	0%
Prompt engañoso (falso agente de red team)	64%
Prefill de los tokens de razonamiento	92%
Abliteración del modelo	100%

La abliteración —una técnica estándar de reducción de rechazos— es trivialmente posible porque los pesos son abiertos: el equipo de Anthropic, que nunca la había aplicado antes, lo hizo con ~2.200 horas-GPU (~4.400 $) en GLM-5.3 y ~600 horas-GPU en la variante Flash, reduciendo la tasa de rechazo de más del 90% al 3%, 2% y 12% en JailbreakBench, HarmBench y StrongREJECT. En contraste, estas mismas técnicas no funcionaron contra los modelos Claude protegidos: sus pesos no se entregan a usuarios, la API no permite prefill del pensamiento y las salvaguardas bloquearon los prompts engañosos.

El veredicto independiente del NIST

Las conclusiones de Anthropic coinciden con la evaluación pública que el CAISI (Centro de Estándares de IA del NIST) publicó el 17 de septiembre, que calificó a GLM-5.3 como "el modelo open-weight más capaz en ciberseguridad lanzado hasta la fecha" y sitúa a la frontera estadounidense unos cuatro meses por delante en agregado. La diferencia crítica, como señala Anthropic, es de acceso: las versiones más capaces de los modelos estadounidenses se publican solo a usuarios verificados (vía programas como Project Glasswing), mientras que cualquiera puede descargar GLM-5.3. Cabe matizar que Anthropic tiene interés propio en sonar la alarma —su Mythos Preview se distribuye vía acceso restringido—, pero la evaluación del NIST es un contrapeso independiente de las capacidades.

Conecta con lo que ya cubrimos en este sitio: GLM-5.3 nació entrenado para ciberseguridad (lanzamiento en agosto con 2.436 vulnerabilidades encontradas), y la frontera de lo que un modelo puede hacer autónomamente sigue moviéndose (GPT-6 Astra calificado como el modelo más peligroso de OpenAI). La pregunta que plantea el informe es de acceso, no solo de capacidad: cuando un modelo con estas habilidades se distribuye sin salvaguardas efectivas, los defensores y los atacantes acaban usando el mismo modelo.