> ## Content Index
> Fetch the complete content index at: https://blog.diegomirhan.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# Anthropic diz que o GLM-5.3, modelo aberto, monta exploits quase como o Mythos, sem travas
- URL: https://blog.diegomirhan.com/glm-5-3-exploits-modelo-aberto-sem-trava/
- Published: 2026-10-01T22:13:08.000Z
- Updated: 2026-10-02T19:54:55.000Z
- Description: A Anthropic e o NIST testaram o GLM-5.3, modelo aberto da Z.ai, e acharam capacidade ofensiva alta e travas fáceis de remover. O que fazer com isso.
- Author: Diego Rodrilla Mirhan
- Tags: Notícias, Modelos, Segurança, Open source, #pipeline

A Anthropic publicou na terça-feira (29/09) uma análise do GLM-5.3, o modelo aberto da chinesa Z.ai, e concluiu que ele constrói sozinho programas de ataque quase tão bem quanto o Claude Mythos Preview, mas sem as travas de segurança, segundo o [relatório da equipe de segurança da empresa](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com). Como os pesos do GLM-5.3 estão abertos, qualquer pessoa pode baixá-lo, e isso muda o cálculo de quem roda modelo local.

Neste post

1. [O que a Anthropic encontrou no GLM-5.3](#o-que-a-anthropic-encontrou-no-glm-53)
2. [O que o NIST mediu](#o-que-o-nist-mediu)
3. [Como se tira a trava de um modelo aberto](#como-se-tira-a-trava-de-um-modelo-aberto)
4. [O que muda para quem constrói software](#o-que-muda-para-quem-constr%C3%B3i-software)
5. [O que ainda não se sabe](#o-que-ainda-n%C3%A3o-se-sabe)

## O que a Anthropic encontrou no GLM-5.3

Nos testes da Anthropic, o GLM-5.3 montou exploits completos (programas que se aproveitam de uma falha de segurança) em 50 de 410 tentativas no ExploitBench, um teste com falhas conhecidas do V8, o motor de JavaScript do Chrome. O Claude Mythos Preview, modelo da própria Anthropic que o relatório usa como referência, acertou 56\. No teste interno de exploração de binários, o GLM-5.3 sequestrou o fluxo de execução do programa em 4% das tarefas, contra 6% do Mythos Preview. Tudo isso está no [relatório da Anthropic](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com).

A versão menor, o GLM-5.3-Flash, montou um ataque funcional contra uma falha já conhecida do Chrome por US$ 20,40 nos preços da API, segundo a [mesma análise](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com). Em comparação, o GLM-5.2 e o Claude Opus 4.6 ficavam perto de zero nessas tarefas, de acordo com o [relatório](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com). O salto aconteceu em uma geração.

## O que o NIST mediu

O relatório da Anthropic não é a única avaliação. O CAISI, centro de padrões de IA do instituto americano NIST, [publicou em 17 de setembro](https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities?ref=blog.diegomirhan.com) que o GLM-5.3 é "o modelo aberto mais capaz em segurança ofensiva já lançado". O mesmo texto diz que ele ainda fica cerca de quatro meses atrás dos melhores modelos americanos.

Os números do NIST mostram essa distância. No SEC-Bench Pro, o GLM-5.3 fez 40,4%, contra 90,2% dos modelos de ponta dos EUA. No ExploitGym, 9,4% contra 44,4%, e no OSS-Fuzz, 7,7% contra 23,2%, tudo na [página do CAISI](https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities?ref=blog.diegomirhan.com). O ExploitBench aparece lá com 61,1% para o GLM-5.3, número bem diferente dos 50 de 410 da Anthropic. É que o NIST mede outra coisa: o progresso médio numa escada de 16 passos, que termina com o código rodando, e não só os exploits completos. Por isso os dois números não se comparam. O que as duas fontes dizem em comum é a direção: é o modelo aberto mais forte nesse tipo de tarefa, e ainda está atrás dos fechados.

![Quatro gráficos do NIST: o GLM-5.3 fica abaixo do melhor modelo americano em todos os testes de ataque](https://blog.diegomirhan.com/content/images/2026/10/glm-5-3-exploits-modelo-aberto-sem-trava-imagem-1.webp)

Os quatro testes do CAISI: o GLM-5.3, em verde, fica bem atrás do melhor modelo americano, em azul, e perto do melhor de três meses atrás em três dos quatro. Imagem: [NIST](https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities?ref=blog.diegomirhan.com)

## Como se tira a trava de um modelo aberto

O ponto que mais pesa no relatório da Anthropic é a segurança do modelo. Com uma história falsa no pedido, 64% das tentativas fizeram o GLM-5.3 colaborar. Preenchendo antes o raciocínio do modelo, 92%. Editando os pesos, 100%. Os modelos Claude testados nas mesmas condições ficaram em 0%, segundo a [Anthropic](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com).

![Gráfico de barras: história falsa 64, raciocínio preenchido 92 e pesos editados 100, em porcentagem](https://blog.diegomirhan.com/content/images/2026/10/glm-5-3-exploits-modelo-aberto-sem-trava-figura-2.webp)

Como a Anthropic burlou as travas do GLM-5.3 (% de colaboração). Fonte: [anthropic.com](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com)

A edição de pesos tem nome: abliteração, que é mexer nos números do modelo para ele deixar de recusar pedidos. A Anthropic diz que gastou cerca de 2.200 horas de GPU, ou US$ 4.400, para derrubar a taxa de recusa de 95% para 6%, e que a versão editada manteve quase o mesmo desempenho em conhecimento geral. O [relatório](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com) também afirma que versões sem trava do GLM-5.3 apareceram publicamente poucos dias depois do lançamento.

É a diferença prática entre modelo aberto e modelo fechado. Num modelo fechado, a trava mora no servidor da empresa. Num modelo aberto, ela mora nos pesos que você baixou, e quem baixa pode editar.

## O que muda para quem constrói software

Há dois efeitos, e eles apontam para lados opostos.

O primeiro é de defesa. Quem mantém código, principalmente de código aberto, deve assumir que achar e explorar falhas conhecidas ficou mais barato. A própria Z.ai, no anúncio coberto pelo [The Register](https://www.theregister.com/security/2026/08/17/chinese-ai-company-zhipu-claims-its-new-is-a-better-bug-finder-than-anthropic-openai/5288203?ref=blog.diegomirhan.com), afirma que o modelo achou 2.436 vulnerabilidades em 269 projetos, algumas com cerca de 40 anos. Se isso é verdade, a janela entre a divulgação de uma falha e o ataque tende a diminuir, e atualizar dependência deixa de ser tarefa para o mês que vem.

O segundo é de política. Eu escrevi [dois dias atrás](https://blog.diegomirhan.com/modelos-abertos-vao-alcancar-os-fechados-ate-2027/) que os modelos abertos estavam chegando perto dos fechados em preço e desempenho. A mesma proximidade vale para o lado ruim, e esse relatório dá o primeiro caso concreto. Quem defende modelo local, como eu, precisa aceitar que "aberto" também quer dizer "sem controle de quem usa".

## O que ainda não se sabe

A Anthropic faz análises dos modelos dos concorrentes e vende modelos fechados, então tem interesse na conclusão. O texto dela admite limites: os testes rodaram em ambiente isolado, em geral, em menos de um dia com pouca atenção humana, e só um subconjunto dos testes foi usado. A página que li não traz resposta da Z.ai.

Também não está claro se as versões sem trava foram usadas num ataque real. O relatório diz que é provável que atores estatais e não estatais tentem usar modelos assim, mas isso é uma previsão, não um caso confirmado.

Minha leitura é que o debate vai deixar de ser "aberto contra fechado" e passar a ser "com ou sem avaliação antes do lançamento". Aposto que, em um ano, os grandes laboratórios abertos publicarão testes de segurança ofensiva junto com os testes de desempenho, porque o NIST e a Anthropic já mostraram que eles podem ser feitos por fora, e mais rápido que o lançamento.

## Fontes

- [GLM-5.3 and the spread of advanced cyber capabilities](https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities?ref=blog.diegomirhan.com), Anthropic, 29/09/2026
- [CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities](https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities?ref=blog.diegomirhan.com), NIST, 17/09/2026
- [Chinese AI company Zhipu claims its new model is a better bug-finder than Anthropic, OpenAI](https://www.theregister.com/security/2026/08/17/chinese-ai-company-zhipu-claims-its-new-is-a-better-bug-finder-than-anthropic-openai/5288203?ref=blog.diegomirhan.com), The Register, 17/08/2026