GLM-5.3 e exploit informatici: il report di Anthropic sui modelli open-weight

Anthropic ha pubblicato un’analisi che sta facendo discutere chi si occupa di sicurezza informatica: secondo i suoi ricercatori, GLM-5.3, il modello open-weight sviluppato dall’azienda cinese Zhipu AI (Z.ai), è arrivato a un livello di abilità nello sviluppo di exploit molto vicino a quello di Claude Mythos Preview, un modello che Anthropic non rilascia liberamente proprio per le sue capacità offensive. Il punto non è soltanto il risultato in sé, ma il fatto che i pesi di GLM-5.3 siano scaricabili da chiunque e che le sue protezioni si possano aggirare con facilità. Nel report originale, datato 29 settembre 2026, Anthropic parla di una diffusione di capacità cyber avanzate verso modelli aperti.

Vediamo cosa è stato misurato, quanto sono solidi i numeri e cosa significa per aziende, sviluppatori e per chi si occupa di sicurezza.

Cosa ha misurato Anthropic su GLM-5.3

Il team di Anthropic ha valutato il modello su due fronti distinti. Il primo riguarda la capacità di trovare e sfruttare vulnerabilità in modo autonomo. Il secondo riguarda la tenuta delle protezioni di sicurezza, cioè quanto il modello rifiuti richieste esplicitamente malevole. Per entrambi i test sono stati usati confronti diretti con i modelli Claude e con altri sistemi di frontiera.

Le prove sono avvenute in ambienti isolati e controllati, su bersagli offline. Questo dettaglio conta, perché separa un esperimento di laboratorio da un attacco reale.

I risultati su ExploitBench e sulla sfruttabilità dei binari

Su ExploitBench, un benchmark basato su vulnerabilità del motore JavaScript V8 di Chrome, GLM-5.3 è riuscito a produrre un exploit funzionante in 50 casi su 410, circa il 12%. Claude Mythos Preview ne ha completati 56 su 410, circa il 14%. La distanza è quindi minima, e questo è il cuore della notizia: un modello che chiunque può eseguire sul proprio hardware si colloca a pochi punti da un modello tenuto sotto stretto controllo.

Su un secondo benchmark interno di sfruttamento di binari, GLM-5.3 ha ottenuto il 4% di dirottamenti completi del flusso di controllo, contro il 6% di Mythos Preview, mentre i modelli precedenti si fermavano allo 0%. Anthropic precisa di aver usato un sottoinsieme di 100 attività scelte a caso, quindi il dato va letto come indicativo e non come una misura definitiva.

C’è poi la prova con esperti umani. Lavorando insieme al modello, i red teamer di Anthropic hanno individuato in un solo giorno più vulnerabilità zero-day nel motore JavaScript di un browser, collegandole in un exploit completo capace di leggere file arbitrari dal computer di un visitatore. È il tipo di risultato che, fino a poco tempo fa, richiedeva squadre di specialisti e settimane di lavoro.

Le protezioni si aggirano: dallo 0% al 100%

La seconda parte del report è quella che preoccupa di più. Davanti a una richiesta malevola esplicita e diretta, GLM-5.3 si rifiuta: il tasso di risposte dannose è dello 0%. Ma basta cambiare poco. Con una storia di copertura ingannevole, il modello ha assecondato la richiesta nel 64% dei casi. Precompilando il suo ragionamento, la percentuale sale al 92%.

Con la tecnica chiamata abliteration, che rimuove dai pesi la direzione responsabile dei rifiuti, si arriva al 100%. Secondo Anthropic servono circa 2.200 ore di GPU, un costo stimato intorno ai 4.400 dollari. Per una organizzazione criminale o per un attore statale è una cifra trascurabile.

Nelle stesse condizioni i modelli Claude sono rimasti allo 0% in tutti gli scenari provati. Va detto con chiarezza che è Anthropic a confrontare i propri prodotti con un concorrente, quindi conviene leggere questo passaggio con il dovuto spirito critico. I test, per quanto dichiarati, sono stati condotti dal soggetto che ha interesse a mostrare la differenza.

Per misurare i rifiuti sono stati usati tre benchmark di jailbreak noti: JailbreakBench, HarmBench e StrongREJECT.

Perché questo risultato conta davvero

Finora il dibattito sulle capacità offensive dei modelli si è concentrato sui laboratori americani, che possono decidere se e come rilasciare i propri sistemi più potenti. Il caso di GLM-5.3 sposta il problema: quando un modello con capacità simili è pubblico, nessuna decisione di un singolo laboratorio può più limitarne la diffusione. Le protezioni diventano opzionali per chi ha i pesi in mano.

Il tema si lega a ciò che stiamo raccontando da settimane. Quando Z.ai ha lanciato il modello, ne abbiamo parlato nell’articolo dedicato a GLM-5.3 e alla cybersicurezza, e già allora l’orientamento al codice e agli agenti lasciava intuire le possibili ricadute. Il report di Anthropic ora mette numeri su quel timore.

Anche sul fronte dei modelli chiusi il livello si sta alzando. Se vuoi il quadro completo sui sistemi più avanzati di Anthropic, puoi leggere la nostra panoramica su Claude Fable 5.1 e Mythos 5.1, mentre per il versante Google trovi l’analisi di Gemini 4 Argon e delle sue capacità di cybersicurezza.

Difensori e attaccanti: una corsa asimmetrica

Nella sicurezza informatica chi attacca deve riuscire una volta, chi difende deve riuscire sempre. Un modello che riduce a un giorno il lavoro di scoperta e concatenamento di vulnerabilità sposta l’equilibrio verso i primi, almeno nel breve periodo. Per questo molti team di sicurezza stanno già adottando strumenti basati su modelli per cercare falle nel proprio codice prima che lo facciano altri.

Il rischio, poi, non riguarda solo i grandi bersagli. Più l’abilità di sfruttare vulnerabilità diventa economica, più diventano interessanti anche le piccole aziende e i software meno curati.

Cosa propone Anthropic

Il report si chiude con alcune raccomandazioni. La prima è ampliare l’accesso dei difensori ai modelli di frontiera, come Claude Mythos 5.1, attraverso programmi per soggetti affidabili. La seconda è che i governi svolgano test di sicurezza sui modelli sufficientemente capaci prima del rilascio. La terza è che gli sviluppatori di modelli aperti adottino salvaguardie adeguate. Anthropic cita anche la diffusione di strumenti difensivi attraverso iniziative come Project Glasswing.

Sono proposte che dialogano con il quadro politico recente. Sul tema degli accordi volontari tra industria e governo statunitense, ne abbiamo scritto nell’articolo sull’accordo della Casa Bianca sulla sicurezza dell’AI. Resta da capire se un impegno volontario basti quando i pesi di un modello sono già in circolazione.

I limiti dello studio da tenere presenti

Anthropic stessa invita alla cautela. Le simulazioni hanno usato strumenti bash finti, quindi non c’è stata alcuna esecuzione reale di codice, e i test si sono concentrati su bersagli offline. Nelle parole del report, queste simulazioni non rappresentano perfettamente le condizioni del mondo reale. Inoltre non sono stati eseguiti tutti i compiti di ciascun benchmark, ma sottoinsiemi.

Un altro elemento da considerare è l’origine dello studio. Si tratta di una ricerca pubblicata da un concorrente diretto di Z.ai, e i risultati non sono stati, al momento, replicati da un soggetto indipendente. Questo non li rende falsi, ma suggerisce di attendere conferme esterne prima di trarre conclusioni definitive.

Ci sono infine questioni aperte. Il 12% di successo su ExploitBench significa anche che l’88% dei tentativi fallisce, e che un exploit riuscito in laboratorio non equivale a una campagna d’attacco efficace contro sistemi aggiornati e monitorati.

Cosa puoi fare concretamente

Se gestisci un sito, un’applicazione o un’infrastruttura, il consiglio pratico è non aspettare. Aggiorna con regolarità browser, librerie e dipendenze, riduci la superficie esposta e verifica che i sistemi critici siano segmentati. Se sviluppi software, valuta di usare modelli di intelligenza artificiale in fase di revisione del codice, perché le stesse capacità che preoccupano possono aiutarti a trovare le falle per primo.

Se invece usi modelli open-weight nei tuoi prodotti, non dare per scontato che i rifiuti integrati nel modello bastino. Le protezioni vanno costruite anche attorno al modello, con filtri su ingressi e uscite, permessi minimi per gli agenti e log verificabili.

La lezione più ampia è che il confine tra modelli chiusi e aperti, sul piano delle capacità offensive, si sta assottigliando in fretta. Seguire questi sviluppi è ormai parte del lavoro di chiunque usi l’AI in ambito professionale.

Conclusioni

Il report su GLM-5.3 fotografa un momento di passaggio: le capacità avanzate di sviluppo di exploit non sono più appannaggio esclusivo di pochi modelli controllati, e le protezioni di un modello aperto si possono rimuovere con un investimento modesto. I numeri vanno letti con prudenza, ma la direzione è chiara.

Seguici per gli aggiornamenti su sicurezza e modelli di frontiera, e condividi questo articolo con il tuo team tecnico: è un buon punto di partenza per rivedere le tue difese e la tua politica sull’uso di modelli aperti.