Cosa ha trovato il Frontier Red Team
Il Frontier Red Team di Anthropic, il gruppo interno che valuta i rischi dei modelli di intelligenza artificiale più avanzati, ha pubblicato un rapporto su GLM-5.3, il modello open-weight di Zhipu AI, l’azienda cinese nota anche come Z.ai. Nei test, GLM-5.3 è riuscito a costruire exploit informatici completi — codice che sfrutta una falla di sicurezza per violare un sistema — a un livello paragonabile a Claude Mythos Preview, la versione sperimentale più avanzata di Anthropic. Su ExploitBench, il banco di prova che misura la capacità di sfruttare vulnerabilità reali nel motore JavaScript di Chrome, GLM-5.3 ha ottenuto un tasso di successo del 12% contro il 14% di Claude Mythos Preview. Sul test interno di Anthropic sugli exploit binari il punteggio è stato del 4% contro il 6%. Le versioni precedenti, come Claude Opus 4.6 e GLM-5.2, si fermavano quasi a zero.
In una prova pratica, i ricercatori hanno usato GLM-5.3 per individuare e collegare tra loro vulnerabilità finora sconosciute nel motore JavaScript di un browser, arrivando a un exploit funzionante capace di rubare file. In un altro test, la versione più leggera GLM-5.3-Flash ha trasformato una falla di Chrome già nota, la CVE-2026-11645, in una catena di exploit funzionante per architettura ARM64: ci sono voluti 20 minuti di attenzione umana e 20,40 dollari di chiamate alle API.
Le protezioni si aggirano facilmente
Il problema non è solo la capacità tecnica, ma la facilità con cui si disattivano i limiti pensati per impedire un uso dannoso. I ricercatori hanno provato tre metodi, con risultati che peggiorano in fretta: una semplice storia di copertura ha funzionato nel 64% dei casi, inserire token di ragionamento già precompilati è arrivato al 92%, e la cosiddetta abliterazione — una modifica diretta ai pesi del modello che elimina i rifiuti — ha funzionato nel 100% dei tentativi.
L’abliterazione di GLM-5.3 è costata circa 4.400 dollari di calcolo su GPU, pari a 2.200 ore, o anche solo 1.200 dollari per un team già esperto. Il tasso di rifiuto alle richieste dannose è sceso dal 95% al 6%, mentre le capacità di attacco informatico sono rimaste quasi intatte. Diversi sviluppatori hanno pubblicato online versioni abliterate di GLM-5.3 nel giro di pochi giorni dal rilascio del modello.
Perché a Claude non succede lo stesso
Secondo Anthropic, i modelli Claude mostrano capacità di sviluppo di exploit equivalenti o superiori quando le protezioni vengono disattivate in laboratorio, ma resistono a tutti i metodi di bypass testati. La differenza è strutturale: i pesi di Claude non sono pubblici, quindi non si possono abliterare, e l’azienda blocca anche il precompilamento dei token lato API. GLM-5.3, essendo un modello open-weight — con i parametri scaricabili da chiunque — può essere modificato liberamente da chi lo ottiene, protezioni comprese.
Il rapporto definisce il rilascio di GLM-5.3 “un cambio di passo” nelle capacità offensive a disposizione di chi vuole usarle, perché è il primo modello di livello paragonabile a quelli di punta a essere distribuito pubblicamente senza protezioni efficaci.
Un rischio che non riguarda solo Zhipu
Z.ai non ha ancora risposto pubblicamente alle critiche di Anthropic, un dettaglio da tenere a mente perché il rapporto arriva da un concorrente diretto nello sviluppo di modelli linguistici. Anthropic aveva già segnalato più volte i rischi legati ai modelli open-weight cinesi, e proprio a settembre Z.ai aveva raccolto 5 miliardi di dollari per finanziare i prossimi modelli della famiglia GLM. Il nodo resta lo stesso da tempo: più i modelli aperti diventano capaci, più diventa difficile impedire che le stesse capacità finiscano in mano a chi li vuole usare per attaccare, non per difendersi.
Credito immagine: foto generica da Pexels.
