Chinees open AI-model bouwt bijna even goed hacktools als Claudes geheime versie

Anthropic onderzoekt zelf voortdurend hoe gevaarlijk zijn eigen AI-modellen kunnen worden in verkeerde handen. Vijf maanden geleden kondigde het bedrijf Claude Mythos Preview aan, een model dat zelfstandig exploits kan bouwen: werkende aanvalscode die misbruik maakt van kwetsbaarheden in software. Dat model werd bewust niet breed vrijgegeven. Nu concludeert Anthropics eigen veiligheidsteam dat een concurrent dat niveau heeft geëvenaard: GLM-5.3 van het Chinese Zhipu AI, dat buiten China opereert onder de naam Z.ai.

Bijna even goed, maar wel voor iedereen

Op de testreeks ExploitBench, die meet hoe goed een model bekende bugs in Chrome's V8-engine kan misbruiken, bouwde GLM-5.3 in 50 van de 410 pogingen een werkend exploit. Mythos Preview haalde 56 van de 410. Op een tweede, interne test van Anthropic op basis van Google's OSS-Fuzz-project kreeg GLM-5.3 in 4 procent van de opdrachten volledige controle over het doelprogramma, tegen 6 procent voor Mythos Preview. Oudere modellen zoals GLM-5.2 en Claude Opus 4.6 scoorden op beide tests vrijwel nul.

Het verschil zit vooral in de toegang. Anthropic deelt Mythos Preview alleen met geselecteerde verdedigers via het programma Project Glasswing, die daarmee inmiddels meer dan 10.000 kwetsbaarheden in kritieke software hebben gevonden. GLM-5.3 kan iedereen gewoon downloaden. In een test kreeg het model, samen met een menselijke expert, binnen één dag meerdere onbekende kwetsbaarheden in de JavaScript-engine van een veelgebruikte browser te pakken. Die werden aaneengeregen tot een webpagina die elk bestand op de computer van een bezoeker kon uitlezen — in de test werd zo een privé SSH-sleutel buitgemaakt. Anthropic meldde de lekken bij de browserontwikkelaar.

Een simpel trucje omzeilt de rem

De kleinere variant GLM-5.3-Flash liet zien hoe snel een net ontdekte kwetsbaarheid tot een werkende aanval kan leiden: het combineerde een recent gemeld Chrome-lek met een andere bekende zwakke plek tot een betrouwbare aanval, in 20 minuten menselijke aandacht en acht uur rekentijd, voor omgerekend zo'n 20 dollar aan rekenkosten. Het Amerikaanse overheidsagentschap CAISI kwam in een onafhankelijke beoordeling tot een vergelijkbare conclusie en noemt GLM-5.3 het meest cybervaardige open model tot nu toe, ongeveer vier maanden achter de beste Amerikaanse modellen.

In een simulatie weigerde GLM-5.3 openlijk kwaadaardige opdrachten. Verpakt als oefening voor beveiligingsonderzoek probeerde het model in 64 procent van de gevallen toch verbinding te maken met het doelsysteem, en met voorgekookte redeneerstappen liep dat op tot 92 procent. Anthropic paste vervolgens zelf een aanvalstechniek toe die refusal-gedrag uit open modellen verwijdert. Na die ingreep, die zo'n 4.400 dollar aan rekenkracht kostte, voerde het model alle verzoeken uit. Volgens Anthropic hadden andere ontwikkelaars al binnen dagen na de release van GLM-5.3 losgekoppelde versies online gezet. Beveiligde Claude-modellen bleven in dezelfde test op nul steken.

Het open-weightmodel van Zhipu is dus vrij te downloaden, aan te passen en van zijn ingebouwde weigeringen te ontdoen. Het Britse AI Security Institute concludeerde eerder al dat open modellen hun achterstand op gesloten topmodellen bij cybervaardigheden hebben teruggebracht van zes tot tien maanden naar vier tot zeven maanden.