GLM-5.3: la advertencia de Anthropic sobre el riesgo cibernético de los modelos abiertos

El 29 de septiembre de 2026, el Frontier Red Team de Anthropic publicó un análisis detallado que sostiene que GLM-5.3, el modelo de pesos abiertos de Zhipu AI, puede construir de forma autónoma exploits cibernéticos de principio a fin, se publica sin salvaguardas robustas y, por tanto, representa «un salto significativo en las capacidades cibernéticas al alcance de los atacantes». Los hallazgos de capacidad son cuidadosos y, a primera vista, creíbles. La conclusión que Anthropic saca de ellos (restringir los modelos abiertos y ampliar el acceso a los modelos de frontera de la propia Anthropic) es donde el argumento es más débil, y merece el escrutinio de un defensor, no un asentimiento automático.

Esto es opinión: un análisis claramente etiquetado, no una noticia. Cada afirmación factual sobre el estudio se atribuye a la publicación de Anthropic o al CAISI del NIST; el desacuerdo es sobre lo que implican esos hechos. Y para dejar clara nuestra posición: PlayCISO no es un animador de los pesos abiertos. Publicamos una calculadora de riesgo de modelos abliterados →, hemos escrito sobre modelos concretos con las negativas eliminadas y sobre lo que debería contener un estándar de seguridad para modelos abiertos. Nos tomamos en serio el mal uso de los modelos abiertos. Justamente por eso vale la pena señalar el exceso de este argumento en concreto.

Qué afirma realmente el reporte

Resumido con justicia, Anthropic reporta que GLM-5.3:

• Construye exploits de principio a fin a tasas comparables a las del propio modelo de acceso restringido de Anthropic, «Mythos»: aproximadamente un 12–14 % de éxito de principio a fin en un benchmark de Chrome V8 y un 4–6 % de secuestros completos del flujo de control en un benchmark interno, donde los modelos de la generación anterior puntuaban cerca de cero.
• Se publica con salvaguardas que, en las pruebas simuladas de Anthropic, pueden eludirse entre el 64 y el 100 % de las veces: un 64 % con una historia de cobertura engañosa («eres un agente de red team»), un 92 % rellenando de antemano los tokens de razonamiento del modelo y un 100 % mediante abliteración (eliminación quirúrgica de las negativas en los pesos abiertos).
• Fue calificado de forma independiente por el CAISI del NIST como el modelo de pesos abiertos con más capacidad cibernética hasta la fecha, unos cuatro meses por detrás de la frontera estadounidense.

Tómalo en serio. Un hermano más pequeño, GLM-5.3-Flash, según se informa convirtió un CVE público de Chrome en una cadena de exploit ARM64 funcional con unos 20 minutos de atención humana y unos 20 $ de cómputo. Es una aceleración real del plazo de los N-day, y los defensores deberían planificar en torno a ella.

En qué tiene razón Anthropic

Hay que reconocer lo que corresponde, porque un cuestionamiento justo concede las partes fuertes:

• Los pesos abiertos son irreversibles. Una vez publicado, un modelo capaz no puede retirarse, y la abliteración elimina sus negativas de forma fiable con poca pérdida de capacidad. Los propios datos de Anthropic (tasas de negativa que caen de ~95 % a cifras bajas de un dígito) coinciden con lo que ya muestra el ecosistema: Hugging Face lista miles de modelos abliterados.
• La capacidad es de doble uso y real. No es bombo sobre un chatbot; es desarrollo de exploits medido contra software real.
• La evaluación independiente es valiosa. Que el CAISI probara el modelo y que Anthropic publicara su metodología es el tipo de transparencia que el sector necesita más.
• Anthropic fue comparativamente prudente con su propio equivalente. Publicó «Mythos» mediante un programa limitado (Project Glasswing) en lugar de abiertamente. Es una decisión defendible y coherente con la preocupación que ahora plantea.

El cuestionamiento: el hallazgo de capacidad no autoriza la conclusión política

1. Sigue los incentivos

La estructura del reporte es: el modelo abierto de un rival es especialmente peligroso → los gobiernos deberían probar y restringir esos modelos → y los defensores deberían tener más acceso a los modelos de frontera de Anthropic. Es una conclusión que casualmente favorece a su autor. Que un laboratorio comercial de pesos cerrados sostenga que el camino seguro es tener menos modelos abiertos capaces y depender más de sus propios modelos cerrados no lo descalifica, pero es un conflicto de interés de manual, y debería leerse como leerías un estudio sobre cigarrillos financiado por la industria tabacalera: valora la evidencia y descuenta el encuadre.

2. Se usa «seguro» para decir «controlado»

La frase más limpia del reporte es que Claude «no puede ser abliterado porque sus pesos no se publican». Cierto, pero eso habla de control, no de seguridad. Un atacante no puede quitarle las salvaguardas a unos pesos cerrados; tampoco puede auditarlos de forma independiente un defensor, un regulador o un investigador. Se te pide aceptar que las salvaguardas funcionan porque el fabricante lo dice y no te deja inspeccionar el modelo. La abliteración corta en ambos sentidos: los pesos abiertos pueden modificarlos actores maliciosos, y los cerrados pueden modificarlos (o cambiar en silencio sus barreras) el propio fabricante, sin verificación externa. Concentrar la capacidad cibernética de frontera en un puñado de empresas y en los gobiernos ante los que responden es un riesgo sistémico en sí mismo, y el reporte no lo pondera.

3. Restringir el acceso perjudica a los defensores que dice proteger

El artículo admite que estas capacidades «también pueden beneficiar a los defensores» y luego propone un régimen (acceso verificado, modelos «suficientemente capaces» probados por el gobierno) cuya carga recae con más fuerza justo sobre los defensores con menos influencia: el mantenedor de código abierto, el equipo de seguridad de dos personas, el CERT nacional de un país que no está primero en la fila del programa de acceso de confianza de un laboratorio estadounidense. Los atacantes no solicitan verificación. Si la capacidad defensiva de frontera solo está disponible con permiso de unos pocos actores establecidos, el modelo abierto es el que realmente democratiza la defensa. Una política que frena más el acceso del defensor que el del atacante amplía la brecha que dice cerrar.

4. La capacidad tiene múltiples fuentes, y la brecha se cierra de todos modos

El CAISI sitúa a GLM-5.3 unos cuatro meses por detrás de la frontera, y es uno de varios modelos abiertos capaces (el reporte también evalúa Kimi K3 de Moonshot y V4.1-Flash de DeepSeek). Restringir una publicación cambia quién tiene la capacidad, no si existe. El genio del desarrollo de exploits ya salió en parte de la lámpara: el código público de prueba de concepto, la explotación de N-days y las herramientas ofensivas comerciales son muy anteriores a GLM-5.3. El exploit marginal de 20 $ importa, pero la capacidad del atacante rara vez fue el verdadero cuello de botella; lo eran su tiempo y su selección de objetivos, y a esos los mueven muchas fuerzas, no la licencia de un modelo.

5. Toma en serio la tendencia; descuenta el teatro

En el reporte conviven de forma incómoda dos cosas: cifras duras modestas (12–14 % y 4–6 % de éxito) y una cadena de razonamiento textual dramática en la que un modelo abliterado reflexiona que «mi trabajo es causar muertes en silencio». Esa cita sale de un sandbox totalmente simulado en el que, según la propia nota al pie del reporte, nunca se ejecuta código generado por el modelo y otro LLM se limita a aproximar los resultados. La tendencia de capacidad es la señal y es real; la cita apocalíptica escenificada es color, y conviene separar ambas antes de que se convierta en el titular que recuerden los responsables políticos.

6. «Los gobiernos deberían probar los modelos suficientemente capaces» invita a la captura

Las pruebas independientes son buenas. Pero un régimen basado en restringir los modelos por encima de cierto umbral de capacidad da una influencia enorme a quien define «suficientemente capaz» y «verificado». En la práctica, suelen ser los actores establecidos con recursos para moldear el estándar, y así es como el lenguaje de la seguridad puede convertirse en silencio en un foso competitivo. La versión correcta de esta petición combina cualquier restricción para los atacantes con una ampliación al menos equivalente del acceso para los defensores, y con requisitos de auditabilidad que se apliquen también a los modelos cerrados, no solo a los abiertos.

Qué significa realmente para tu programa de seguridad

Esta es la parte que no depende de quién gane la discusión política. Se restrinja o no GLM-5.3 mañana, la explotación acelerada por IA es ya una suposición permanente, y tu trabajo es la resiliencia:

• Acorta las ventanas de parcheo. Si un CVE público se convierte en una cadena de exploit funcional en 20 minutos y con 20 $, «parchear en 30 días» un sistema expuesto a internet es un plan de brecha. Trata los avisos de appliances de borde y de motores de navegador como algo del mismo día: la lección exacta del actual zero-day de Citrix NetScaler.
• Asume compromiso tras cualquier CVE de borde explotado. Parchea, luego rota sesiones y secretos y busca indicios. La IA acorta el plazo del atacante; no cambia la disciplina de remediación.
• Gobierna los modelos abiertos de tu entorno. La pelea política es abstracta; un modelo con las negativas eliminadas funcionando en el portátil de un empleado es concreto. Inventaría los modelos de pesos abiertos en uso y puntúalos antes de que entren en tu entorno con la calculadora de riesgo de modelos abliterados → y el Model Risk Scanner.
• Usa la capacidad a la defensiva. El núcleo honesto del reporte es que estos modelos también ayudan a los defensores. Prueba el descubrimiento y el triaje de vulnerabilidades asistidos por IA sobre tu propio código e infraestructura: la misma asimetría que ayuda a los atacantes te ayuda a ti, y no necesitas permiso de nadie para apuntarla a tus propios sistemas.
• Sigue las afirmaciones de los laboratorios, no las adoptes. Sigue el debate sobre capacidades y salvaguardas de los modelos en nuestro AI Lab Security Tracker → y dimensiona tu propia exposición con el ranking de riesgo de fabricantes por CVSS y la herramienta de preparación ante ransomware, en lugar de externalizar tu modelo de amenazas a la publicación política de un fabricante.

La versión honesta del argumento

Anthropic merece crédito por la prudencia que mostró con su propio modelo comparable y por publicar sus métodos. Y la preocupación de fondo (que un modelo capaz publicado sin posibilidad de retirada es un riesgo realmente distinto al de uno detrás de una API) es legítima; nosotros mismos hemos planteado versiones de ese punto. Pero «el modelo de un competidor es peligroso, así que restríngelo y confía en nosotros» no es una estrategia de seguridad, y no es evidente que un mundo con menos modelos abiertos capaces sea más seguro para los defensores que uno en el que la capacidad defensiva está ampliamente disponible. La versión honesta de este argumento empujaría para ampliar el acceso de los defensores al menos con la misma fuerza con que empuja para restringir el de los atacantes, sometería a los modelos cerrados a la misma auditoría independiente que quiere para los abiertos y alzaría la voz sobre el riesgo de una capacidad concentrada y sin rendición de cuentas tanto como sobre el riesgo de una capacidad distribuida y abliterada. Toma en serio el hallazgo de capacidad. Exige más a la conclusión.

Fuentes

Anthropic Frontier Red Team, «GLM-5.3 and the spread of advanced cyber capabilities» (29 de septiembre de 2026), la publicación que aquí se cuestiona; evaluación de GLM-5.3 del Center for AI Standards and Innovation (CAISI) del NIST; Zhipu AI / Z.ai (publicación del modelo); y cobertura secundaria, incluida The Decoder. Todas las cifras de capacidad son las reportadas por Anthropic o el CAISI; este artículo discute la interpretación, no las mediciones.

Preguntas frecuentes

¿Qué afirmó Anthropic? Que GLM-5.3, de pesos abiertos, construye exploits de principio a fin a tasas cercanas a las de su propio modelo restringido, con salvaguardas que se eluden entre el 64 y el 100 % de las veces, y que el CAISI lo calificó como el modelo abierto con más capacidad cibernética hasta la fecha (~4 meses por detrás de la frontera).

¿Cuál es el desacuerdo? No los datos de capacidad, sino la conclusión. Restringir los pesos abiertos mientras se amplía el acceso a los modelos cerrados del propio autor es interesado, confunde «seguro» con «controlado» y perjudica a los defensores independientes y globales a los que dice ayudar.

¿Entonces los modelos de pesos abiertos están bien? No: la abliteración es real y los pesos abiertos no pueden retirarse. Gobierna en cualquier caso los modelos abiertos de tu propio entorno.

¿Qué deberían hacer los defensores? Asumir la explotación acelerada por IA, acortar las ventanas de parcheo, asumir compromiso tras los CVE de borde explotados, inventariar y puntuar los modelos abiertos en uso y usar la capacidad a la defensiva.