Z.ai Phát hành trọng số GLM-5.3 sau đợt đánh giá an toàn an ninh mạng

Z.ai đã phát hành trọng số có thể tải xuống của GLM-5.3 sau khi giữ lại chúng trong hai tuần để tiến hành đánh giá an toàn bổ sung và tăng cường bảo vệ. Công ty ra mắt quyền truy cập lưu trữ cho mô hình vào ngày 14 tháng 8 năm 2026, nhưng trì hoãn phát hành trọng số sau khi quy trình hậu huấn luyện tạo ra năng lực an ninh mạng mạnh bất ngờ.

Kết quả nổi bật là điểm số 84.5% trên CyberGym do nhà cung cấp báo cáo, tăng 7.3 điểm phần trăm so với mức 77.2% của GLM-5.2. Bảng so sánh hiện tại của Z.ai xếp GLM-5.3 cao hơn Fable 5 với 83.8% và GPT-5.6 Sol với 83.6% trong thiết lập đánh giá của công ty.

Kết quả này cần một lưu ý quan trọng: nó do Z.ai tạo ra, không phải bởi một đơn vị vận hành benchmark độc lập. Tuy vậy, công ty đã công bố thông tin chi tiết bất thường về harness tác tử, số lượng tác vụ, thiết lập suy luận, hạn chế mạng và phương pháp chấm điểm được dùng cho lần chạy.

1. Cải thiện đến từ hậu huấn luyện, không phải mô hình nền mới

GLM-5.3 sử dụng cùng mô hình nền với GLM-5.2. Z.ai cho biết mọi cải thiện được báo cáo đều đến từ việc mở rộng hậu huấn luyện trong tháng giữa hai đợt phát hành, thay vì thực hiện thêm một lần tiền huấn luyện hoặc thay đổi mô hình nền cơ bản.

Công ty đã mở rộng số lượng và tính đa dạng của các môi trường thực thi được dùng để huấn luyện mô hình trên các tác vụ dài hạn. Những môi trường này yêu cầu tác tử tương tác với công cụ, quan sát kết quả trung gian, điều chỉnh cách tiếp cận và tiếp tục cho đến khi hoàn thành tác vụ hoặc cạn ngân sách.

Ngăn xếp huấn luyện của Z.ai kết hợp IndexShare để xử lý ngữ cảnh dài, SAO để học tăng cường trên các tác vụ dài hạn và slime, khung học tăng cường bất đồng bộ mã nguồn mở của công ty. Slime kết nối huấn luyện dựa trên Megatron với các rollout SGLang, đồng thời cho phép sandbox mã, trình xác minh, tác vụ toán học và môi trường tác tử tham gia quy trình huấn luyện như các thành phần tạo dữ liệu.

Với GLM-5.3, Z.ai đã thêm các ví dụ phát hiện lỗ hổng và môi trường bảo mật tương tác vào hỗn hợp hậu huấn luyện đó. Mục tiêu là tạo ra một mô hình có thể kiểm tra mã và suy luận về lỗ hổng. Theo công ty, hiệu năng ở các giai đoạn khai thác sau đó đã cải thiện nhanh hơn dự kiến.

Sự khác biệt này quan trọng vì “cùng mô hình nền” không có nghĩa hành vi của mô hình vẫn gần như không thay đổi. Học tăng cường có thể thay đổi cách một mô hình tiền huấn luyện cố định lập kế hoạch, sử dụng công cụ, kiên trì khi gặp thất bại và chọn hành động trong một tác vụ dài. GLM-5.3 là bằng chứng cho thấy những thay đổi đó có thể mở rộng đáng kể năng lực lưỡng dụng mà không cần một lần huấn luyện mô hình nền tảng mới.

2. CyberGym đo lường khả năng kích hoạt lỗ hổng có thể tái lập

CyberGym được các nhà nghiên cứu từ University of California, Berkeley giới thiệu như một benchmark đánh giá tác tử trước các lỗ hổng phần mềm thực tế. Bộ dữ liệu của nó gồm 1,507 lỗ hổng trên 188 dự án phần mềm, lấy từ các lỗi đã được phát hiện và vá.

Benchmark này chủ yếu yêu cầu một tác tử tạo đầu vào proof-of-concept tái tạo một lỗ hổng đã biết. Thành công đòi hỏi điều hướng trong codebase, xác định các đường thực thi liên quan và tạo đầu vào kích hoạt lỗi từ điểm vào của chương trình. Nó cụ thể hơn việc trả lời các câu hỏi về an ninh mạng, nhưng hẹp hơn việc thực hiện một cuộc tấn công hoàn chỉnh vào mục tiêu chưa biết.

Z.ai đã đánh giá GLM-5.3 trên toàn bộ 1,507 tác vụ bằng Claude Code 2.1.207 làm harness tác tử. Công ty đặt mức nỗ lực suy luận ở mức tối đa, tắt công cụ web, cho phép tối đa 128,000 token được tạo và không áp dụng thời gian chờ cho từng tác vụ. Công ty báo cáo điểm Pass@1 từ một lần chạy.

Tác tử chạy bên trong container của từng tác vụ. Z.ai cho biết họ đã xóa metadata Git và hạn chế truy cập mạng vào một danh sách tên miền cho phép nhỏ, bao gồm các nguồn gói cần thiết để cài đặt công cụ, nhằm giảm cơ hội truy xuất đáp án hoặc sử dụng dịch vụ bên ngoài.

Các thiết lập này giúp kết quả 84.5% dễ diễn giải hơn, nhưng không biến nó thành một điểm số được tái lập độc lập. Benchmark tác tử nhạy cảm với harness xung quanh, công cụ sẵn có, ngữ cảnh, chính sách thử lại, ngân sách thời gian và biện pháp chống gian lận. So sánh có độ tin cậy cao nhất khi mọi mô hình được thử nghiệm trong cùng một cấu hình đã công bố.

CyberGym cũng không nên được hiểu là điểm số “hack” tổng quát. Nó đo lường liệu tác tử có thể tái tạo các lỗ hổng đã biết từ mã nguồn và tài liệu tác vụ liên quan hay không. Việc tìm một lỗi chưa biết, xây dựng exploit đáng tin cậy, điều hướng một mục tiêu đã triển khai và duy trì cuộc tấn công đầu cuối đòi hỏi các năng lực bổ sung.

3. Khả năng khai thác cải thiện mạnh nhưng vẫn thua các mô hình độc quyền

Z.ai đã thử nghiệm GLM-5.3 trên hai benchmark bổ sung nhằm đại diện cho các giai đoạn vượt ra ngoài việc tái tạo lỗ hổng.

Trên ExploitBench, GLM-5.3 đạt 54.4%, so với 24.4% của GLM-5.2. Mức tăng 30 điểm đã hơn gấp đôi điểm số của phiên bản tiền nhiệm, nhưng bảng hiện tại của Z.ai báo cáo 78.0% cho Fable 5 và 76.5% cho GPT-5.6 Sol.

Đánh giá ExploitBench sử dụng cùng harness Claude Code với quyền truy cập web bị vô hiệu hóa và tối đa 300 vòng tương tác giữa tác tử và môi trường. Z.ai tính độ bao phủ trung bình trên 41 tác vụ, mỗi tác vụ được chạy qua ba phiên bản sửa đổi.

Trên ExploitGym, GLM-5.3 hoàn thành 105 tác vụ với ngân sách chuẩn hóa hai giờ và 130 tác vụ với ngân sách sáu giờ. GLM-5.2 lần lượt hoàn thành 29 và 39 tác vụ. Fable 5 hoàn thành 181 và 247 tác vụ, trong khi GPT-5.6 Sol hoàn thành 216 và 293 tác vụ trong bảng của Z.ai.

ExploitGym chứa 869 tác vụ. Ngân sách thời gian của nó được chuẩn hóa theo tốc độ tạo token riêng của từng mô hình, vì vậy các con số đại diện cho một so sánh có kiểm soát thay vì thời gian thực trôi qua trên phần cứng giống hệt nhau.

Xét tổng thể, các kết quả cho thấy hai điều. Mức cải thiện lớn nhất của GLM-5.3 so với GLM-5.2 xuất hiện ở các đánh giá khai thác khó hơn, nhưng mô hình vẫn kém xa các hệ thống độc quyền mạnh nhất trong cùng những bài kiểm tra đó. Vì vậy, vị trí dẫn đầu trên CyberGym không xác lập vị trí dẫn đầu tổng thể về bảo mật tấn công tự trị.

4. Việc trì hoãn vì an toàn đã kết thúc và trọng số đã có sẵn

Khi ra mắt ngày 14 tháng 8, Z.ai cho biết sẽ hoãn phát hành trọng số mở trong hai tuần để hoàn tất đánh giá an toàn và tăng cường bảo vệ. Axios đưa tin các đối tác bảo mật được chọn có thể nhận quyền truy cập có kiểm soát trong thời gian chờ.

Việc giữ lại đó không còn là tình trạng hiện tại. Tính đến ngày 2 tháng 9, kho chính thức trên Hugging Face chứa các tệp mô hình GLM-5.3 và hướng dẫn chạy mô hình thông qua Transformers, vLLM, SGLang, KTransformers và các framework suy luận khác. Hugging Face xác định checkpoint này là mô hình 753 tỷ tham số và liệt kê giấy phép tùy chỉnh glm-5.3.

Model card cũng công bố ba thiết lập nỗ lực suy luận: low, high và max, trong đó max được dùng mặc định và bắt buộc để tái tạo cấu hình benchmark do Z.ai báo cáo.

Việc phát hành trọng số làm thay đổi ranh giới bảo mật. Một nhà cung cấp lưu trữ có thể giám sát yêu cầu, hạn chế công cụ, cập nhật biện pháp bảo vệ hoặc thu hồi quyền truy cập. Trọng số đã tải xuống có thể được triển khai riêng tư, sửa đổi, fine-tune và kết nối với các framework tác tử tùy ý mà không có sự giám sát liên tục từ nhà phát triển ban đầu.

Z.ai chưa công bố đủ thông tin để đánh giá độc lập những gì đã thay đổi trong giai đoạn tăng cường bảo vệ kéo dài hai tuần. Thông báo ra mắt nêu mục đích của việc trì hoãn, nhưng không cung cấp báo cáo an toàn chi tiết, danh sách biện pháp giảm thiểu hoặc các đánh giá trước và sau chứng minh tác động của chúng.

Công ty trình bày bản phát hành như một công cụ bảo mật phòng thủ. Công ty cho biết các mô hình GLM đã xác định 2,436 lỗ hổng trên 269 dự án thực tế sau khi được chuyên gia đánh giá, sàng lọc và loại trùng lặp, bao gồm 1,097 vấn đề được đánh giá từ mức nghiêm trọng trung bình đến cao. Các tổng số này bao quát công việc thực hiện kể từ GLM-5.2 và không nên được quy riêng cho GLM-5.3.

Đối với các nhóm bảo mật và người duy trì mã nguồn mở, thay đổi thực tế là một mô hình phân tích lỗ hổng có năng lực cao giờ đây có thể được đánh giá và triển khai trên mã riêng tư mà không cần gửi mã đó đến nhà cung cấp lưu trữ. Rủi ro tương ứng là cùng khả năng tự trị, điều hướng mã và tạo proof-of-concept có thể được áp dụng mà không có kiểm soát truy cập của Z.ai.

Câu hỏi thường gặp

GLM-5.3 là gì?

GLM-5.3 là mô hình ngôn ngữ 753 tỷ tham số của Z.ai dành cho lập trình, sử dụng công cụ, tác vụ tác tử dài hạn và công việc an ninh mạng. Nó sử dụng cùng mô hình nền với GLM-5.2 cùng hậu huấn luyện bổ sung.

GLM-5.3 có độc lập đạt 84.5% trên CyberGym không?

Không có kết quả tái lập độc lập nào được trích dẫn. Kết quả 84.5% do Z.ai báo cáo bằng cấu hình đánh giá dựa trên Claude Code mà công ty đã công bố.

Kết quả CyberGym có nghĩa GLM-5.3 là mô hình tốt nhất để hack không?

Không. CyberGym tập trung vào việc tái tạo các lỗ hổng đã biết từ mã nguồn. GLM-5.3 xếp sau Fable 5 và GPT-5.6 Sol trong các so sánh ExploitBench và ExploitGym khó hơn của Z.ai.

Trọng số GLM-5.3 hiện đã có sẵn chưa?

Có. Kho chính thức trên Hugging Face hiện cung cấp mô hình có thể tải xuống và hướng dẫn phục vụ cục bộ theo giấy phép glm-5.3.

Vì sao Z.ai trì hoãn phát hành trọng số?

Z.ai cho biết năng lực an ninh mạng của mô hình phát triển nhanh hơn dự kiến trong quá trình hậu huấn luyện, nên công ty đã giữ lại trọng số trong hai tuần để thực hiện đánh giá an toàn bổ sung và tăng cường bảo vệ.

Tham khảo nguồn

• Bài đăng gốc của DeepLearning.AI trên X
• Z.ai: GLM-5.3 — Lập trình tiên phong với năng lực mạng mới nổi
• Model card GLM-5.3 của Z.ai và chi tiết đánh giá
• Bài báo nghiên cứu CyberGym
• Axios: Z.ai của Trung Quốc giữ lại bản phát hành GLM-5.3 vì rủi ro hack