Ahora, la empresa de IA de código cerrado, que actualmente contempla una salida a bolsa, afirma que los modelos chinos de pesos abiertos (open-weight) pueden ser abusados y generar contenido dañino. Anthropic cita el propio informe del Centro para Estándares e Innovación de IA publicado a finales de septiembre, que sostiene que GLM-5.3 puede automatizar exploits completamente a un nivel similar al modelo Claude Mythos (no lanzado) de la propia Anthropic, lo que impulsó a la compañía a desarrollar el Proyecto Glasswing, un esfuerzo que permite a los desarrolladores acceder a un modelo de clase Mythos para parchear errores y corregir vulnerabilidades antes de que dichos modelos sean lanzados al público.

Anthropic realizó sus propios análisis comparativos sobre GLM-5.3 en Exploitbench, donde los modelos de IA, en un entorno aislado, pueden desarrollar exploits para Google Chrome. GLM-5.3 desarrolló exploits de extremo a extremo 50 veces en 410 ejecuciones, mientras que Mythos lideró el grupo con 56 exploits exitosos. El modelo de Zhipu AI fue probado además en uno de los análisis internos de Anthropic, centrado en el desarrollo de "secuestros completos del flujo de control". GLM 5.3 rindió justo por debajo de Mythos una vez más, con una tasa de éxito del 4%, frente al 6% de Mythos. Notablemente, otros modelos populares de pesos abiertos como Kimi K3 y DeepSeek V4.1 Flash alcanzaron el 0% bajo las mismas medidas.

Anthropic señala además cómo GLM-5.3 fue capaz de desarrollar con éxito exploits encadenados de forma autónoma, y que su variante más ligera "Flash" también tiene la capacidad de desarrollar exploits encadenados en errores conocidos, a un precio tokenizado de solo 20,40 dólares. Dependiendo del balance, esto equivale a que GLM-5.3-Flash puede desarrollar exploits encadenados (conocidos) utilizando entre 100 y 300 millones de tokens, según la proporción de entradas y salidas.


Anthropic también indica que, utilizando el modelo estándar de GLM-5.3, era sencillo evadir las barreras de seguridad del modelo a través de varios métodos. La empresa detalla que esto puede hacerse mediante dos vías: ofreciendo un prompt engañoso, donde la IA interpreta el papel de un agente autónomo adversarial (con una tasa de éxito del 64%), y prellenando los tokens de pensamiento del modelo para asegurar que la respuesta proceda (con una tasa de éxito del 92%). La empresa también detalló un tercer método conocido como abliteración.

Abliterando las barreras de seguridad

Anthropic alega que el GLM-5.3 de Zhipu AI tiene salvaguardas débiles, aunque el modelo estándar a menudo rechaza solicitudes de generación de contenido dañino. Sin embargo, dado que Anthropic desarrolla modelos de código cerrado, sus productos no pueden ser manipulados. Debido a que GLM-5.3 se puede descargar libremente, el modelo puede ser ajustado eliminando totalmente sus barreras de seguridad. Cuando se trata como el modelo lanzado oficialmente, GLM-5.3 logra una tasa de rechazo similar a la de los modelos de Anthropic.

Sin embargo, Anthropic "abliteró" el GLM-5.3 (proceso que elimina deliberadamente las barreras del modelo) y mostró cómo, tras este proceso, la tasa de rechazo cae hasta el 6% para GLM-5.3 y al 14% para GLM-5.3-Flash. No es raro encontrar modelos de pesos abiertos abliterados en HuggingFace, desarrollados principalmente para entornos de "red teaming" simulados, pero que también pueden usarse para ataques reales. Esto hace que el "descubrimiento" de Anthropic sea menos sorprendente.

Además, se requeriría una cantidad enorme de potencia de cómputo para ejecutar una versión abliterada de GLM-5.3 a un nivel operativo. Los pesos del modelo demandan 306 GB de VRAM en pesos FP8 de precisión completa. Ejecutar el modelo a unos 100 TPS no solo requiere un ancho de banda de memoria mínimo de 4 TB/s, sino que también exigiría hardware potente, como un clúster de ocho aceleradores de IA Nvidia H200. El dinero necesario para ese tipo de hardware asciende a cientos de miles de dólares. Actores estatales adversarios podrían utilizar tal configuración si adquieren el hardware.

¿Pero para el hacker común? Probablemente tendría que alquilar el cómputo, abliterar el modelo y luego ejecutarlo, lo cual es increíblemente caro. Anthropic afirma que abliterar el modelo GLM-5.3-Flash tomó 2.200 horas de GPU, con un coste estimado de 4.400 dólares.