Safeguards do GLM-5.3 são burlados em até 100% dos testes da Anthropic

O achado central

A Anthropic publicou uma análise do GLM-5.3, o mais recente modelo da Zhipu AI (conhecida fora da China como Z.ai), concluindo que ele tem fortes capacidades para construir exploits cibernéticos de ponta a ponta de forma autônoma e, ao contrário de outros modelos de fronteira, foi lançado sem salvaguardas significativas contra uso indevido. Nos testes simulados da empresa, atacantes conseguem burlar as proteções do GLM-5.3 entre 64% e 100% das vezes com técnicas simples - nenhuma dessas técnicas funcionou contra modelos Claude com salvaguardas nos mesmos testes.

Contexto e avaliação independente

Cinco meses antes, a Anthropic havia anunciado o Claude Mythos Preview, o primeiro modelo capaz de construir, de forma autônoma, exploits cibernéticos sofisticados completos. Por causa da rápida evolução da área, a empresa optou por um lançamento limitado via Project Glasswing, que deu a defensores cibernéticos confiáveis acesso para encontrar mais de 10.000 vulnerabilidades em softwares críticos antes que atores maliciosos tivessem modelos equivalentes.

Em 17 de setembro, o CAISI (centro de padrões de IA do NIST) publicou avaliação própria: o GLM-5.3 é "o modelo de pesos abertos mais capaz em cyber lançado até hoje" e fica cerca de quatro meses atrás da fronteira americana num agregado de benchmarks cibernéticos. A Anthropic nota que, na comparação do CAISI, modelos dos EUA foram testados com salvaguardas desativadas e incluem versões restritas a usuários vetados, inacessíveis a atacantes - enquanto qualquer pessoa pode baixar o GLM-5.3. A empresa acrescenta que suas conclusões de capacidade coincidem amplamente com as do CAISI.

Capacidades medidas em benchmarks

Em testes rodados em ambientes isolados, o GLM-5.3 desenvolveu exploits completos de ponta a ponta em 50 de 410 tentativas no ExploitBench (vulnerabilidades conhecidas no motor V8 do Chrome), taxa semelhante à do Claude Mythos Preview (56 de 410). No benchmark interno de exploração binária, baseado em projetos do OSS-Fuzz do Google, o GLM-5.3 alcançou sequestro completo de fluxo de controle em 4% dos casos, contra 6% do Mythos Preview - modelos anteriores, como Claude Opus 4.6 e GLM-5.2, não tiveram sucesso em nenhuma tentativa.

Em sessões com pesquisadores humanos (menos de um dia, com menos de uma hora de atenção humana), o GLM-5.3 encontrou várias vulnerabilidades até então desconhecidas no motor JavaScript de um navegador popular em Linux e as encadeou num exploit funcional que lê arquivos arbitrários do computador de quem visita uma página - vulnerabilidades já reportadas ao mantenedor. O modelo também identificou falhas exploráveis em drivers sem fio, drivers gráficos e softwares de dispositivos de rede, em revisão para divulgação. Em outra sessão, o GLM-5.3-Flash (versão menor) encadeou exploits para a CVE-2026-11645 do Chrome e outra falha conhecida, contornando proteções de pointer-authentication em alvo ARM64, com 20 minutos de atenção humana, oito horas de trabalho do modelo e custo estimado de US$ 20,40 nos preços da Zhipu.

Como as salvaguardas caem

O GLM-5.3 traz proteções básicas que recusam pedidos claramente prejudiciais, mas elas podem ser contornadas ou removidas. Como é um modelo de pesos abertos, é possível aplicar "abliteration", técnica padrão de redução de recusas. A própria Anthropic produziu uma cópia abliterada gastando cerca de 2.200 horas de GPU (≈US$ 4.400; para o Flash, 600 horas), e a taxa de recusa caiu de acima de 90% para cerca de 3% no JailbreakBench, 2% no HarmBench e 12% no StrongREJECT, sem perda significativa de capacidade: no GPQA-Diamond o desempenho foi idêntico, e no CyberGym houve queda de apenas alguns pontos percentuais. Versões abliteradas foram publicadas por terceiros dias após o lançamento.

Mesmo sem abliteration, técnicas simples funcionaram: um prompt enganoso dizendo que o modelo é um agente de red team em exercício fez o GLM-5.3 engajar em 64% dos casos; o preenchimento prévio dos tokens de raciocínio (simulando que o modelo já decidiu prosseguir) chegou a 92%; e a versão abliterada, a 100%. Nenhuma dessas técnicas funcionou contra modelos Claude: os prompts enganosos foram bloqueados pelas salvaguardas, a API não permite preencher os tokens de pensamento e os pesos não são públicos, o que impede a abliteration. A Anthropic ressalva que os testes simulados usam um bash falso que não executa código e são retratações imperfeitas de condições reais.

Implicações

Para a Anthropic, o lançamento do GLM-5.3 representa uma mudança de patamar nas capacidades cibernéticas acessíveis a atacantes, e relatórios de laboratórios americanos sobre tentativas reais de uso de IA por criminosos sugerem que atores estatais e não estatais provavelmente causarão danos com modelos assim. Ao mesmo tempo, a empresa defende que defensores devem ter modelos de fronteira tão bons quanto os dos adversários e pretende expandir o acesso via Project Glasswing e outras iniciativas, como o Patch the Planet. A conclusão pede que governos testem a segurança de modelos suficientemente capazes, incluindo sucessores do GLM-5.3, e que desenvolvedores de modelos de pesos abertos apliquem salvaguardas apropriadas - reconhecendo que "um limite crítico de capacidades livremente acessíveis foi cruzado".