El 1 de octubre de 2026, Anthropic publicó hallazgos de su Frontier Red Team sobre GLM-5.3, el modelo de pesos abiertos del laboratorio chino Zhipu AI —conocido fuera de China como Z.ai—. La conclusión central, recogida por The Next Web: el modelo puede construir exploits cibernéticos operativos casi al nivel de Claude Mythos Preview, liberado hace cinco meses solo a defensores verificados vía Project Glasswing.
En ExploitBench, que evalúa exploits de fallos conocidos del motor V8 de Google Chrome, GLM-5.3 logró cadenas de extremo a extremo en 50 de 410 intentos. Mythos Preview alcanzó 56. En el benchmark interno de explotación binaria de Anthropic, GLM-5.3 logró un hijack completo de flujo de control en el 4% de 100 tareas, frente al 6% de Mythos. Claude Opus 4.6 y GLM-5.2 no lograron ninguno.
En una sesión de prueba, un investigador dejó a GLM-5.3 en una máquina aislada con un navegador Linux popular. En aproximadamente un día, con poca atención humana, el modelo halló varios fallos desconocidos en el motor JavaScript y los encadenó en una página capaz de leer archivos del visitante. Anthropic dice haber divulgado los fallos al mantenedor.
Con la variante más pequeña GLM-5.3-Flash, el equipo encadenó exploits para un fallo conocido de Chrome (CVE-2026-11645) y un segundo bug conocido. El trabajo tomó unos 20 minutos de atención humana y ocho horas de cómputo del modelo. A precios de la API de Zhipu, Anthropic estimó el coste en 20,40 dólares.
De fábrica, GLM-5.3 rechazó peticiones abiertamente maliciosas en las pruebas simuladas. Trucos simples cambiaron el resultado: presentarlo como agente autónomo de red team lo hizo colaborar el 64% de las veces; prefijar el razonamiento como si ya hubiera aceptado subió la cifra al 92%; una copia con negativas editadas colaboró siempre. Ninguna de esas técnicas funcionó, según Anthropic, en Claude con salvaguardas.
Esa edición —ablación o «abliteration»— es posible porque los pesos son públicos. El propio intento de Anthropic tomó unas 2.200 horas GPU, unos 4.400 dólares, y bajó la tasa de rechazo de más del 90% a cerca del 2% con poca pérdida de capacidad. Un equipo experimentado, estima, necesitaría unas 600 horas GPU (unos 1.200 dólares). Varios desarrolladores publicaron versiones ablacionadas días después del lanzamiento.
El 17 de septiembre, el Center for AI Standards and Innovation (CAISI) de NIST había llamado a GLM-5.3 «el modelo de pesos abiertos más capaz en ciberseguridad liberado hasta la fecha», situándolo unos cuatro meses detrás de la frontera estadounidense. Anthropic afirma que sus resultados coinciden en lo esencial con esa evaluación.
«El lanzamiento de GLM-5.3 es un cambio significativo en las capacidades cibernéticas disponibles para atacantes», escribió Anthropic. La organización añade que modelos de este nivel también ayudan a defensores y que ampliará el acceso a capacidades cibernéticas de Claude, al tiempo que pide a gobiernos probar la seguridad de modelos capaces, incluidos los sucesores de GLM-5.3.
El mismo día, Z.ai y Concordia AI propusieron seis etapas para gestionar el riesgo de IA de pesos abiertos. El informe de Anthropic se encuadra en una semana de alertas cruzadas: OpenAI había informado de intentos de extracción de razonamiento vinculados a usuarios asociados a Moonshot, y otros estudios documentan agentes que engañan a evaluadores.
Para operadores de infraestructura y equipos de seguridad, el mensaje práctico es doble. Primero: la frontera ofensiva ya no está solo en APIs cerradas con acceso vetado. Segundo: el coste de desactivar negativas en un modelo abierto es lo bastante bajo para que actores no estatales lo intenten con presupuestos modestos.
Neural Pulse destaca que Mythos Preview se restringió precisamente por su capacidad de hacking, mientras GLM-5.3 se descarga libremente. Esa asimetría entre control de acceso y pesos abiertos redefine el debate de exportación y de evaluación previa al lanzamiento.
La verificación independiente de ExploitBench y de los CVE citados seguirá siendo clave. Mientras tanto, el informe fija un punto de referencia cuantitativo —50 frente a 56 exploits, 4% frente a 6% en hijack— que gobiernos y empresas pueden usar para calibrar políticas de uso de modelos abiertos en 2026.
