GLM-5.3: ciber ofensivo de punta, abierto y con barreras fáciles de saltar

Hace unos cinco meses, Claude Mythos Preview fue el primer modelo que pudo armar exploits cibernéticos sofisticados de punta a punta. Anthropic lo liberó con acceso limitado, vía Project Glasswing, para defensores de confianza: más de 10.000 vulnerabilidades encontradas en software crítico. Ahora llegó algo distinto. GLM-5.3, de Zhipu AI (Z.ai), muestra una capacidad similar —pero con pesos abiertos y sin salvaguardas serias frente al abuso.

Para un CISO o un directorio en Chile, el dato no es el nombre del modelo. Es que cualquiera puede descargar una herramienta de ese nivel.

Qué pasó

Anthropic publicó el 29 de septiembre de 2026 su análisis de GLM-5.3. El hallazgo central: el modelo arma exploits de punta a punta de forma autónoma, en un rango cercano al de Mythos Preview.

En ExploitBench (motor V8 / Chrome), GLM-5.3 logró exploits E2E en 50 de 410 intentos; Mythos Preview, en 56 de 410. En Binary Exploitation (subconjunto de 100 tareas OSS-Fuzz), GLM-5.3 consiguió hijacking de control-flow en el 4% de los ensayos; Mythos Preview, en el 6%. Opus 4.6 y GLM-5.2: 0%. El umbral que antes solo cruzaba un modelo con acceso vetado ya está en un open-weight.

NIST CAISI, el 17 de septiembre, lo resumió sin rodeos: GLM-5.3 es «el modelo de pesos abiertos más capaz en ciber liberado hasta la fecha». En agregados CAISI, va unos cuatro meses detrás del frontier de EE.UU. —con el matiz de que esos modelos estadounidenses a menudo se prueban con salvaguardas apagadas o solo con acceso vetado. Un atacante no baja fácilmente esas versiones; sí puede bajar GLM-5.3.

En pruebas con humanos, el panorama se vuelve concreto. En un día, GLM-5.3 encontró 0-days en el motor JavaScript de un browser Linux popular y los encadenó en un exploit que lee archivos arbitrarios (divulgado al maintainer). Con GLM-5.3-Flash y un N-day de Chrome (CVE-2026-11645), un investigador armó en ~8 horas de modelo más 20 minutos de atención humana una cadena ARM64 que bypasea PAC; costo API Zhipu: unos US$20,40.

Por qué importa: las barreras casi no frenan

GLM-5.3 sale con alguna negativa ante pedidos claramente dañinos. Anthropic midió cuán fácil se saltan.

En tests simulados: una historia de portada tipo “red team” logró bypass el 64% de las veces; prefill del thinking, el 92%; abliteration (editar el modelo para bajar las negativas), el 100%. Claude con salvaguardas: 0% en esas mismas técnicas.

La abliteration no es teoría de laboratorio. En días aparecieron forks públicos. Anthropic lo reprodujo en ~2.200 GPU-h (~US$4.400); estima que un equipo experto lo haría en ~600 GPU-h (~US$1.200). La tasa de negativa pasó de ~90%+ a ~3% / 2% / 12% en JailbreakBench, HarmBench y StrongREJECT. La capacidad casi intacta.

El mensaje de Anthropic: se cruzó un umbral. Cualquiera descarga un modelo que arma exploits. Los defensores necesitan herramientas al menos tan buenas. Los gobiernos deberían evaluar modelos capaces —incluidos los sucesores.

Qué implica en Chile (y en el negocio)

Banca, utilities e infraestructura crítica ya no pueden tratar esto como un paper lejano. Hay que asumir atacantes —estado y no estado— con este nivel de ayuda automatizada. El costo y el tiempo para pasar de un aviso público a un exploit usable bajaron: el ejemplo de Flash + N-day Chrome (~US$20 y horas, no semanas) ilustra la presión sobre ventanas de remediación.

Acelerar patching y gestión de vulnerabilidades deja de ser “proyecto del trimestre”. Una política clara sobre uso y hosting de open-weights ofensivos deja de ser opcional: qué se permite en lab, qué en red team, qué queda prohibido en endpoints de producción. Y no alcanza con esperar el brochure de safety del proveedor: el riesgo ya está en una descarga, no solo en una API con términos de servicio.

Para auditorías y comités de riesgo, la pregunta útil no es “¿usamos GLM-5.3?”. Es “¿nuestro plan de vulnerabilidades y de terceros asume que el adversario ya tiene esta ayuda?”.

Tres acciones concretas para CISO, riesgo y directorio:

1. Acelerá remediación. Priorizá vulnerabilidades críticas y N-days públicos; asumí que el tiempo del atacante se acortó.
2. Definí política de open-weights ofensivos. Quién puede bajarlos, hospedarlos o usarlos (lab interno, red team, terceros); con qué registro y supervisión.
3. Exigí paridad defensiva. Pedí a proveedores y partners herramientas de defensa al menos tan capaces como lo que un adversario ya puede descargar; no confundas “modelo con logo de safety” con control real.

GLM-5.3 no prueba que la defensa sea imposible. Prueba que la capacidad ofensiva de punta ya no vive solo detrás de un muro de acceso. En Chile, quien responde por sistemas críticos debería tratar ese hecho como input de gobierno de riesgos —no como noticia de tech blog.

Fuentes:

• Anthropic — GLM-5.3 and the spread of advanced cyber capabilities (29 sep 2026): https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
• NIST CAISI — evaluación de capacidades ciber de GLM-5.3 (17 sep 2026), citada por Anthropic