Z.ai、サイバーセキュリティ安全性レビュー後にGLM-5.3の重みを公開
GLM-5.3はポストトレーニング後、ベンダー報告でCyberGymにおいて84.5%に到達し、Z.aiは安全性テストのためダウンロード可能な重みの公開を延期した。
目次 · 11
Z.aiは、追加の安全性評価と堅牢化を実施するために2週間公開を見合わせていたGLM-5.3のダウンロード可能な重みを公開した。同社は2026年8月14日にモデルのホスト型アクセスを開始したが、ポストトレーニング工程により予想外に強力なサイバーセキュリティ能力が生じたため、重みの公開を延期した。
主要な結果は、ベンダー報告によるCyberGymでの84.5%であり、GLM-5.2の77.2%から7.3ポイント上昇した。Z.aiの現行比較表では、同社の評価設定においてGLM-5.3はFable 5の83.8%、GPT-5.6 Solの83.6%を上回っている。
この結果には重要な留保が必要である。これは独立したベンチマーク運営者ではなく、Z.aiが算出したものだ。ただし同社は、この実行に用いたエージェントハーネス、タスク数、推論設定、ネットワーク制限、採点方法について、異例なほど詳細な情報を公開している。
一、改善は新たなベースモデルではなくポストトレーニングによるもの
GLM-5.3はGLM-5.2と同じベースモデルを使用している。Z.aiによれば、報告されたすべての改善は、再度の事前学習実行や基礎となるベースモデルの変更ではなく、両リリースの間の1か月にわたるポストトレーニングのスケーリングによるものだという。
同社は、長期的なタスクでモデルを訓練するために用いる実行可能環境の数と多様性を拡大した。これらの環境では、エージェントがツールと対話し、中間結果を観察し、方針を修正し、タスクを完了するか予算を使い切るまで作業を続けることが求められる。
Z.aiのトレーニングスタックは、長文コンテキスト処理のためのIndexShare、長期的タスクに対する強化学習のためのSAO、そして同社のオープンソース非同期強化学習フレームワークであるslimeを組み合わせている。slimeはMegatronベースのトレーニングをSGLangロールアウトに接続し、コードサンドボックス、検証器、数学タスク、エージェント環境をデータ生成コンポーネントとしてトレーニング工程に組み込めるようにする。
GLM-5.3では、Z.aiはそのポストトレーニングの混合に脆弱性発見の例と対話型セキュリティ環境を追加した。狙いは、コードを検査し、脆弱性について推論できるモデルだった。同社によると、後段のエクスプロイトにおける性能は予想より速く向上した。
この区別は重要である。なぜなら、「同じベースモデル」であっても、モデルの挙動が実質的に変わらないことを意味しないからだ。強化学習は、固定された事前学習済みモデルが長いタスクにわたってどのように計画し、ツールを使い、失敗を乗り越え、行動を選択するかを変えうる。GLM-5.3は、新たな基盤モデルのトレーニング実行なしに、こうした変化がデュアルユース能力を実質的に拡張しうることを示す証拠である。
二、CyberGymは再現可能な脆弱性トリガーを測定する
CyberGymは、カリフォルニア大学バークレー校の研究者らが、実際のソフトウェア脆弱性に対するエージェントを評価するベンチマークとして導入した。そのデータセットには、すでに発見・修正済みのバグから抽出した、188のソフトウェアプロジェクトにまたがる1,507件の脆弱性が含まれる。
このベンチマークは主に、既知の脆弱性を再現する概念実証入力をエージェントに生成させる。成功するには、コードベースをたどり、関連する実行パスを特定し、プログラムのエントリーポイントから障害を発生させる入力を作成する必要がある。これはサイバーセキュリティに関する質問への回答より具体的だが、未知の標的に対して完全な攻撃を実行することよりは狭い。
Z.aiは、Claude Code 2.1.207をエージェントハーネスとして使用し、1,507件すべてのタスクでGLM-5.3を評価した。同社は推論努力を最大レベルに設定し、Webツールを無効化し、生成トークンを最大128,000まで許可し、タスクごとのタイムアウトを設けなかった。報告されたのは単一実行のPass@1スコアである。
エージェントは各タスクコンテナ内で実行された。Z.aiによると、回答の取得や外部サービスの利用機会を減らすため、Gitメタデータを削除し、ツールのインストールに必要なパッケージソースを含む少数のドメインホワイトリストにネットワークアクセスを制限した。
これらの設定により84.5%という結果は解釈しやすくなるが、独立して再現されたスコアになるわけではない。エージェントベンチマークは、周辺のハーネス、利用可能なツール、コンテキスト、再試行ポリシー、時間予算、不正防止策に敏感である。比較の信頼性が最も高いのは、すべてのモデルを同じ公開済み設定でテストした場合である。
また、CyberGymを一般的な「ハッキング」スコアと解釈すべきではない。これは、エージェントがソースコードおよび関連タスク資料から既知の脆弱性を再現できるかを測るものだ。未知の欠陥の発見、信頼性の高いエクスプロイトの構築、デプロイ済み標的の攻略、エンドツーエンド攻撃の継続には、追加の能力が必要となる。
三、エクスプロイトは大幅に向上したが、依然としてプロプライエタリモデルに後れを取る
Z.aiは、脆弱性再現を超えた段階を表すことを意図した、さらに2つのベンチマークでGLM-5.3をテストした。
ExploitBenchでは、GLM-5.3は54.4%を記録し、GLM-5.2の24.4%と比較された。30ポイントの上昇は前モデルのスコアを2倍以上にしたが、Z.aiの現行表ではFable 5が78.0%、GPT-5.6 Solが76.5%と報告されている。
ExploitBenchの評価では、Webアクセスを無効化し、エージェント環境との対話を最大300ラウンドとした同じClaude Codeハーネスを使用した。Z.aiは、各タスクを3つのリビジョンで実行した41件のタスクにおける平均カバレッジを算出した。
ExploitGymでは、GLM-5.3は2時間の正規化予算で105件、6時間の予算で130件のタスクを完了した。GLM-5.2はそれぞれ29件と39件を完了した。Z.aiの表では、Fable 5は181件と247件、GPT-5.6 Solは216件と293件を完了している。
ExploitGymには869件のタスクが含まれる。その時間予算はモデル固有のトークン生成速度を用いて正規化されているため、これらの数値は同一ハードウェア上の文字どおりの経過時間ではなく、統制された比較を表す。
これらの結果を総合すると、2つのことが分かる。GLM-5.3のGLM-5.2に対する最大の向上は、より要求の厳しいエクスプロイト評価で現れたが、同じテストにおいてモデルは最も強力なプロプライエタリシステムを大きく下回った。したがって、CyberGymでの首位は、自律的な攻撃的セキュリティ全般における首位を示すものではない。
四、安全性を理由とする延期は終了し、重みが利用可能に
8月14日の公開時、Z.aiは安全性評価と堅牢化を完了する間、オープンウェイト版の公開を2週間延期すると述べた。Axiosは、その間に選定されたセキュリティパートナーが管理されたアクセスを受けられると報じた。
この公開見合わせはもはや現在の状況ではない。9月2日時点で、公式Hugging FaceリポジトリにはGLM-5.3のモデルファイルと、Transformers、vLLM、SGLang、KTransformers、その他の推論フレームワークを通じてモデルを実行するための手順が含まれている。Hugging Faceはこのチェックポイントを7,530億パラメータのモデルと位置づけ、独自のglm-5.3ライセンスを記載している。
モデルカードでは、low、high、maxの3つの推論努力設定も公開されており、maxがデフォルトで使用され、Z.aiが報告したベンチマーク設定を再現するために必要とされる。
重みの公開はセキュリティ境界を変える。ホスト型プロバイダーは、リクエストを監視し、ツールを制限し、安全策を更新し、アクセスを取り消せる。ダウンロード済みの重みは、元の開発者による継続的な監督なしに、非公開でデプロイ、改変、ファインチューニングされ、任意のエージェントフレームワークに接続できる。
Z.aiは、2週間の堅牢化期間に何が変更されたかを独立して評価するのに十分な情報を公開していない。公開告知では延期の目的を述べているが、詳細な安全性報告、緩和策の一覧、またはその効果を示す前後比較の評価は提供していない。
同社はこの公開を防御的セキュリティツールとして提示している。同社によると、GLMモデルは専門家によるレビュー、選別、重複排除を経て、269の実プロジェクトにまたがる2,436件の脆弱性を特定しており、そのうち1,097件は中程度から高程度の深刻度と評価されている。これらの合計はGLM-5.2以降に実施された作業を対象としており、GLM-5.3だけに帰属させるべきではない。
セキュリティチームとオープンソースメンテナーにとって実務上の変化は、高度な脆弱性分析モデルを、コードをホスト型プロバイダーに送ることなく、プライベートコード上で評価・デプロイできるようになったことだ。これに対応するリスクは、同じ自律性、コードナビゲーション、概念実証生成が、Z.aiのアクセス制御なしに適用されうることである。
よくある質問
GLM-5.3とは何ですか？
GLM-5.3は、コーディング、ツール利用、長期的なエージェントタスク、サイバーセキュリティ作業向けのZ.aiの7,530億パラメータ言語モデルである。GLM-5.2と同じベースモデルに、追加のポストトレーニングを施している。
GLM-5.3はCyberGymで独立して84.5%を達成しましたか？
独立した再現は引用されていない。84.5%という結果は、Z.aiが公開したClaude Codeベースの評価設定を用いて報告したものである。
CyberGymの結果は、GLM-5.3がハッキングに最適なモデルであることを意味しますか？
いいえ。CyberGymは、ソースコードから既知の脆弱性を再現することに焦点を当てている。GLM-5.3は、Z.aiによるより困難なExploitBenchおよびExploitGymの比較では、Fable 5とGPT-5.6 Solを下回った。
GLM-5.3の重みは現在利用できますか？
はい。公式Hugging Faceリポジトリは現在、glm-5.3ライセンスの下でダウンロード可能なモデルとローカルサービング手順を提供している。
Z.aiはなぜ重みの公開を延期したのですか？
Z.aiは、ポストトレーニング中にモデルのサイバーセキュリティ能力が予想より速く発達したため、追加の安全性評価と堅牢化を実施する目的で重みを2週間公開しなかったと述べた。
参考ソース
Share