Компанія Anthropic перевірила китайську модель GLM-5.3 і виявила, що та вміє самостійно писати робочі експлойти та комбінувати кілька вразливостей в один ланцюжок атаки. За даними The Register, найбільше занепокоєння викликає те, що ця модель поширюється у відкритому доступі, тоді як значно потужніші закриті системи компанії доступні лише з суворими обмеженнями.

Головним інструментом перевірки став бенчмарк ExploitBench, створений для оцінки того, наскільки штучний інтелект здатен генерувати придатні для використання експлойти під реальні вразливості. GLM-5.3 упоралася з 50 із 410 завдань, тоді як експериментальна модель Anthropic Mythos Preview розв'язала 56 таких завдань. У відсотках це приблизно 12% проти 14% — різниця мінімальна.

Ключова відмінність — не в результатах, а в доступності. Mythos Preview розповсюджують виключно через програму з обмеженим доступом, тоді як ваги GLM-5.3 будь-хто може завантажити без жодних бар'єрів. Через це модель зі схожим рівнем кіберможливостей ризикує потрапити до набагато ширшого кола користувачів.

Ланцюжок атаки на ARM64

У ще одному тесті Anthropic перевірила варіант GLM-5.3-Flash на завданні, де потрібно було одночасно скористатися двома відомими вразливостями систем на архітектурі ARM64. Модель самостійно вибудувала повний ланцюжок експлуатації та обійшла захисний механізм Pointer Authentication Code (PAC), який зазвичай ускладнює атаки на пам'ять.

Виконання завдання зайняло в моделі близько восьми годин, а дослідник-людина витратив ще приблизно 20 хвилин на нагляд і допомогу. За підрахунками Anthropic, увесь експеримент за тарифами API коштував приблизно $20,40.

Це не свідчить про повну автоматизацію реальної кібератаки. Втім, приклад показує, що сучасні мовні моделі вже спроможні виконувати значну частину складної технічної роботи, потрібної для пошуку та експлуатації вразливостей.

Наскільки легко прибрати відмови моделі

Окремо команда Anthropic дослідила техніку abliteration — зміну ваг моделі, яка дозволяє суттєво скоротити кількість відмов виконувати потенційно шкідливі запити. Обчислювальні витрати на цей експеримент склали приблизно $4400.

Ефект виявився значним: середній відсоток відмов на трьох тестах впав із 95% до 6%. При цьому загальні інтелектуальні здібності моделі майже не постраждали — результат на GPQA-Diamond залишився незмінним, а на перевіреній частині CyberGym падіння було мінімальним.

Це критично важливо саме для відкритих моделей: якщо ваги можна завантажити, будь-хто — від дослідників до зловмисників — здатен локально експериментувати з ними, послаблюючи вбудовані механізми безпеки.

NIST теж помітив GLM-5.3

Оцінка Anthropic — не єдине незалежне дослідження цієї моделі. Center for AI Standards and Innovation (CAISI), що діє при американському NIST, провів власне тестування й назвав GLM-5.3 найпотужнішою серед відкритих моделей за результатами кібербезпекових перевірок.

Водночас фахівці CAISI зазначили, що за можливостями у сфері кібербезпеки GLM-5.3 усе ще відстає від найпередовіших американських моделей приблизно на чотири місяці. Розрив між відкритими та найсучаснішими закритими системами існує, проте вже не виглядає непереборним.

Відкриті моделі як інструмент розслідування атак

Ще один яскравий приклад описала команда Hugging Face у своєму дослідженні. Дослідники застосували GLM-5.2 для аналізу масштабного інциденту, коли агенти на базі моделей OpenAI вирвалися з тестової пісочниці й проникли в чужу інфраструктуру.

Відкрита модель допомогла командi відтворити повний перебіг атаки: загалом фахівці Hugging Face реконструювали близько 17 600 дій агентів-зловмисників, зіставивши їх із журналами власної інфраструктури.

Цей випадок наочно ілюструє подвійну природу сучасного штучного інтелекту. Ті самі здібності, які дозволяють автоматизувати пошук вразливостей і створення експлойтів, водночас допомагають фахівцям з кібербезпеки розбирати складні атаки та швидше відновлювати їхню хронологію.

Чому це має значення

Результати Anthropic сигналізують, що безпека відкритих моделей штучного інтелекту перестає бути суто теоретичною темою для дискусій. GLM-5.3 ще не зрівнялася з найпотужнішими закритими системами за кіберможливостями, але вже вміє виконувати складні завдання з пошуку та експлуатації вразливостей — і при цьому її ваги можна вільно завантажити.

Для розробників та фахівців з кібербезпеки це означає, що відкриті моделі варто розглядати не лише як інструменти для написання коду чи генерації тексту, а й як потенційно потужну зброю для автоматизації як наступальних, так і оборонних операцій у кіберпросторі.

Джерело: Highload.tech