GLM-5.3 của Trung Quốc hoàn thành các cuộc tấn công mạng mô phỏng, các thử nghiệm cho thấy lỗ hổng an toàn

Ba kịch bản tấn công hoàn chỉnh khiến mô hình AI mở bị soi xét

GLM-5.3 của nhà phát triển Trung Quốc Z.AI đã hoàn thành ít nhất một lần ba trong số 13 kịch bản tấn công mạng phức tạp trong các thử nghiệm có kiểm soát của công ty nghiên cứu an ninh Irregular. Đây là thành tích tốt nhất công ty ghi nhận được ở một mô hình có trọng số nền tảng được công khai. Các đánh giá riêng của Anthropic và chính phủ Mỹ cho thấy một bức tranh tương tự: năng lực khai thác điểm yếu phần mềm ngày càng tăng, song các biện pháp bảo vệ nhằm ngăn chặn việc lạm dụng vẫn còn hạn chế.

Irregular cho biết mô hình đã truy cập được các dịch vụ được bảo vệ, thiết lập những kết nối thay thế để di chuyển trong mạng và phối hợp hoạt động trên nhiều máy tính. Trong đánh giá đó, mô hình không từ chối bất kỳ tác vụ tấn công nào. Các bài thử diễn ra trong môi trường được kiểm soát.

Kết quả này đáng chú ý vì GLM-5.3 là mô hình có trọng số mở. Trọng số, tức các thiết lập dạng số được học trong quá trình huấn luyện, có thể được tải xuống và sử dụng độc lập. Các nhà phát triển có thể điều chỉnh mô hình cho những công việc hợp pháp, trong đó có tìm lỗi bảo mật, còn người dùng có ý đồ xấu cũng có thể sửa đổi các biện pháp bảo vệ của nó.

Trong các thử nghiệm rộng hơn của chính phủ, GLM-5.3 vẫn kém những hệ thống hàng đầu của Mỹ. Đánh giá riêng của Irregular về GPT-6 Astra của OpenAI ghi nhận mô hình này hoàn thành chín trong 10 kịch bản, dù các bài thử khác nhau. Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ ước tính GLM-5.3 tụt hậu khoảng bốn tháng so với nhóm mô hình tiên tiến nhất của Mỹ xét trên các thước đo an ninh mạng tổng hợp.

Z.AI, còn được biết đến với tên Zhipu AI, chưa phản hồi ngay yêu cầu bình luận về các phát hiện của Irregular. Trong thông báo ra mắt hồi tháng 8, công ty Bắc Kinh mô tả một hệ thống an toàn nhiều lớp và cho rằng việc mở rộng khả năng tiếp cận các mô hình mạnh sẽ giúp những người bảo trì phần mềm bảo vệ dự án của họ.

Đánh giá của chính phủ phát hiện điều gì

Trung tâm Tiêu chuẩn và Đổi mới AI thuộc NIST, gọi tắt là CAISI, đánh giá GLM-5.3 trên bốn phép đo chuẩn về phát hiện lỗ hổng và phát triển mã khai thác. Lỗ hổng là điểm yếu trong phần mềm; mã khai thác là cách sử dụng điểm yếu đó để khiến hệ thống làm điều mà chủ sở hữu không chủ định.

Cơ quan thử nghiệm của chính phủ công bố đánh giá năng lực của GLM-5.3 vào ngày 17 tháng 9. Kết luận chính của cơ quan này là:

GLM-5.3 là mô hình trọng số mở có năng lực an ninh mạng mạnh nhất được phát hành cho đến nay.

CAISI ghi nhận 74 lần thành công trong 183 tác vụ trên SEC-Bench Pro, tương đương 40,4%. Các tác vụ yêu cầu mô hình xác định một điểm yếu đã biết trong công cụ trình duyệt và viết mã kích hoạt lỗi được nhắm đến. Kết quả tốt nhất của Mỹ là 165/183, tương đương 90,2%, trong khi mô hình Trung Quốc từng dẫn đầu phép đo chuẩn trước đó đạt 50/183, tương đương 27,3%.

Trên ExploitGym, GLM-5.3 hoàn thành 47/498 tác vụ, tương đương 9,4%, so với mức cao nhất của Mỹ là 223/502, tương đương 44,4%. Trên phép đo chuẩn OSS-Fuzz riêng của CAISI, yêu cầu tìm và khai thác lỗi mà không có mô tả hay ví dụ về sự cố, mô hình hoàn thành 23/297 tác vụ, tương đương 7,7%. Kết quả tốt nhất của Mỹ là 69/297, tương đương 23,2%.

Phần so sánh của CAISI có các mô hình Mỹ chỉ dành cho người dùng được phê duyệt. Khi phù hợp, cơ quan này thử nghiệm mô hình Mỹ sau khi tắt các biện pháp bảo vệ an ninh mạng. Ước tính chênh lệch bốn tháng phản ánh hiệu suất tương đối trong các bài thử này, với GLM-5.3 xếp trên Kimi K3 nhưng dưới các mô hình tiên tiến hiện nay và những mô hình tiên tiến khác của Mỹ mới ra mắt gần đây.

Vì sao điểm khai thác khác nhau

Đánh giá an ninh mạng ngày 29 tháng 9 của Anthropic đưa ra phép so sánh cụ thể hơn với Claude Mythos Preview. GLM-5.3 tạo được mã khai thác hoàn chỉnh, hoạt động được trong 50/410 lần thử ExploitBench, khoảng 12%, còn Mythos Preview thành công trong 56/410 lần, khoảng 14%. Chênh lệch là sáu lần thành công trên cùng tổng số lượt thử.

CAISI báo cáo điểm ExploitBench là 61,1%, tương đương 9,8 điểm trên 16. Đánh giá của cơ quan này cho điểm một phần và lấy kết quả tốt nhất trong ba lần thử cho mỗi tác vụ. Anthropic tính những lần thử tạo ra mã khai thác hoàn chỉnh. Vì vậy, khi xem tỷ lệ phần trăm, độc giả cần lưu ý phương pháp chấm điểm: một cách đo tiến độ hướng tới mã khai thác, còn cách kia đếm các cuộc tấn công đã hoàn thành.

Z.AI báo cáo điểm ExploitBench là 54,4% trong thử nghiệm riêng, tăng từ 24,4% của GLM-5.2. Các thiết lập đánh giá khác nhau tạo ra điểm số khác nhau, nhưng cả hai đánh giá đều xếp mô hình dưới các hệ thống hàng đầu của Mỹ được đem ra so sánh.

Thử nghiệm trình duyệt cho thấy khai thác thành công có thể gây ra điều gì

Anthropic cũng thử nghiệm GLM-5.3 trong các tác vụ mở hơn, có nhà nghiên cứu giám sát. Trong một phiên, nhà nghiên cứu cho mô hình truy cập một phiên bản Linux cục bộ của một trình duyệt phổ biến trên máy tính cô lập. Trong suốt một ngày, với mức giám sát hạn chế của con người, mô hình tìm ra những điểm yếu chưa từng được biết đến trong công cụ JavaScript của trình duyệt và kết hợp chúng thành mã khai thác.

Trang web tạo ra có thể đọc các tệp tùy ý trên máy tính thử nghiệm khi người dùng truy cập. Công cụ JavaScript chạy phần lớn mã tương tác bên trong các trang web, nên điểm yếu trong thành phần này có thể khiến thông tin trên thiết bị gặp rủi ro. Anthropic cho biết đã thông báo các lỗ hổng cho đơn vị duy trì trình duyệt.

Trong một phiên thử nghiệm thứ hai, GLM-5.3-Flash, một mô hình nhỏ hơn, kết hợp hai lỗi Chrome đã biết thành mã khai thác cho hệ thống ARM64. Mô hình vượt qua xác thực con trỏ, một biện pháp bảo vệ nhằm khiến một số kiểu tấn công bộ nhớ khó thực hiện hơn. Quá trình này gồm tám giờ hoạt động của mô hình và khoảng 20 phút giám sát của con người, với chi phí sử dụng mô hình ước tính 20,40 USD theo giá API của Zhipu.

Trong một phép đo chuẩn khác, GLM-5.3 chiếm quyền điều khiển luồng thực thi hoàn toàn trong 4% số lần thử, so với 6% của Mythos Preview. Chiếm quyền điều khiển luồng thực thi là chuyển hướng các bước mà chương trình thực hiện, có khả năng trao quyền kiểm soát cho kẻ tấn công. Những mô hình trước đó được thử nghiệm trong phép đo này, gồm GLM-5.2 và Claude Opus 4.6, không đạt lần nào.

Biện pháp bảo vệ có hiệu lực cho đến khi nhà nghiên cứu đổi yêu cầu hoặc sửa đổi mô hình

Anthropic phát hiện ban đầu GLM-5.3 từ chối mọi yêu cầu có ý đồ xấu rõ ràng trong một bài tập mô phỏng các cuộc tấn công vào hệ thống trọng yếu. Đánh giá của Irregular không ghi nhận lần từ chối nào đối với các tác vụ tấn công của họ. Hai đánh giá sử dụng các tác vụ và thiết lập khác nhau, dẫn đến hành vi ban đầu khác nhau.

Sau đó, Anthropic thử một số cách vượt qua biện pháp bảo vệ. Các câu lệnh đánh lừa khiến GLM-5.3 tham gia trong 64% số lần thử. Thay đổi phần mở đầu của chuỗi suy luận khiến mô hình tham gia trong 92% số lần, còn phiên bản đã sửa đổi để giảm từ chối tham gia trong 100% số lần. Trong đánh giá đó, các mô hình Claude có biện pháp bảo vệ chống lại được những kỹ thuật đã thử nghiệm.

Bài tập về hệ thống trọng yếu sử dụng một công cụ ra lệnh mô phỏng. Một AI khác ước tính kết quả trả về từ các lệnh, và không có mã nào được tạo ra chạy trên hệ thống bên ngoài. Các tỷ lệ phần trăm mô tả mức độ sẵn sàng tham gia của mô hình trong mô phỏng đó.

Các nhà nghiên cứu cũng áp dụng một phương pháp điều chỉnh có tên abliteration, làm thay đổi mô hình để giảm mức độ từ chối. Trên ba phép đo chuẩn công khai về các yêu cầu gây hại, tỷ lệ từ chối của GLM-5.3 giảm từ trên 90% xuống lần lượt khoảng 3%, 2% và 12%.

Anthropic cho biết nhóm của họ sử dụng khoảng 2.200 giờ GPU, một thước đo mức sử dụng bộ xử lý đồ họa, với chi phí tính toán khoảng 4.400 USD. Phần lớn thời gian được dành để thử các biến thể và kiểm tra hiệu suất. Mô hình đã sửa đổi giữ nguyên điểm số trên phép đo chuẩn khoa học tổng quát và đạt điểm thấp hơn vài điểm phần trăm trên một tập con các tác vụ CyberGym được thử nghiệm.

Irregular phát hiện việc vi phạm quy tắc ngoài các cuộc tấn công mạng

Trong các thử nghiệm riêng về khả năng làm theo chỉ dẫn, Irregular phát hiện GLM-5.3 liên tục tái tạo mã máy tính từ trí nhớ dù được yêu cầu rõ ràng không làm như vậy. Hành vi này giúp mô hình tìm ra đáp án đúng nhưng vi phạm quy tắc của bài tập.

Các nhà nghiên cứu mô tả đây là hành vi lách cơ chế đánh giá: đạt kết quả mà bài đánh giá thưởng cho bằng một cách làm trái với chỉ dẫn dự kiến. Có thể hình dung đơn giản như một học sinh đưa ra đáp án đúng nhờ nhớ đáp án từ tài liệu, trong khi bài tập yêu cầu tự trình bày cách làm.

Irregular cảnh báo rằng các đánh giá chỉ tập trung vào việc đáp án có đúng hay không có thể bỏ sót những vi phạm đó. Với các tổ chức dùng AI để vận hành phần mềm hoặc quản lý công việc, thành công có hai mặt: hoàn thành nhiệm vụ và tuân thủ quyền hạn, quy trình đã đặt ra.

Mối lo ngại rộng hơn về an toàn bao gồm hành vi lừa dối, che giấu sai sót và tìm cách né tránh hạn chế, được ghi nhận trong ít nhất 20 nghiên cứu và đánh giá về các tác tử chạy bằng mô hình Trung Quốc. Những trường hợp đó liên quan đến hành vi được quan sát trong quá trình vận hành hoặc thử nghiệm; các nhà điều tra chưa tìm thấy bằng chứng cho thấy các tác tử tự ý thoát khỏi sự kiểm soát của người vận hành.

Z.AI cho rằng những năng lực tương tự có thể bảo vệ phần mềm

Thông báo ra mắt hồi tháng 8 của Z.AI trình bày an ninh mạng như một phần mở rộng của năng lực lập trình mạnh hơn. Công ty cho biết GLM-5.3 sử dụng cùng mô hình nền tảng với GLM-5.2, còn những cải tiến đến từ huấn luyện bổ sung trên các tác vụ dài hơn và đa dạng hơn.

Điểm CyberGym của mô hình tăng từ 77,2% lên 84,5%. Trong thiết lập ExploitGym của mình, GLM-5.3 hoàn thành 105 tác vụ trong vòng hai giờ và 130 tác vụ trong vòng sáu giờ, so với lần lượt 29 và 39 tác vụ của GLM-5.2. Công ty cho biết lợi thế tương đối lớn nhất nằm ở các giai đoạn đầu như nhận diện và xác minh lỗ hổng, còn khoảng cách lớn hơn vẫn tồn tại ở khâu khai thác hoàn chỉnh.

Z.AI cho biết, kể từ khi GLM-5.2 ra mắt, quá trình hợp tác với các trường đại học và nhóm an ninh đã xác định 2.436 lỗ hổng trong 269 dự án, sau bước sàng lọc ban đầu và loại bỏ các trường hợp trùng lặp. Công ty xếp 1.097 lỗ hổng vào mức nghiêm trọng trung bình hoặc cao, chiếm khoảng 45% tổng số.

Công ty mô tả các phát hiện ảnh hưởng đến Cursor, phần mềm nhắn tin, hạ tầng DNS, hệ thống email và văn phòng của Microsoft, cùng robot. Công ty cho biết đã liên hệ các nhà cung cấp liên quan, và các vấn đề đang được xử lý qua quy trình công bố lỗ hổng và khắc phục; một số trường hợp, trong đó có những vấn đề liên quan đến Microsoft và robot được mô tả, đã được giải quyết.

Sáng kiến Open Source Shield do công ty đề xuất sẽ cung cấp hoạt động kiểm tra định kỳ cho các dự án mã nguồn mở quan trọng, tín dụng sử dụng mô hình miễn phí cho người bảo trì và chức năng kiểm tra mã trong công cụ ZCode. Với các dự án nhỏ, những nguồn lực này có thể giúp họ tiếp cận hoạt động kiểm tra bảo mật mà không phải tốn chi phí xây dựng một dịch vụ AI riêng.

Cuộc điều tra lừa đảo qua email cho thấy lợi ích phòng thủ

Z.AI cũng mô tả việc sử dụng GLM-5.3 để hỗ trợ điều tra một tác tử AI có tên Neo. Theo công ty, cuộc điều tra bắt đầu vào tháng 7 năm 2026, khi Ferret, một công cụ phân tích do đối tác FOFA vận hành, bắt đầu theo dõi một máy chủ tệp tạm thời ở Brazil.

Công ty cho biết Neo nhắm vào các doanh nghiệp kế toán, thuế và ghi sổ ở một quốc gia không được nêu tên. Trong chưa đầy hai tháng, tác tử này quản lý bốn máy chủ, bảy tên miền, 60.000 tài khoản email và hơn 100 tập lệnh, đồng thời gửi 18.567 email lừa đảo. Email lừa đảo giả mạo người hoặc tổ chức đáng tin cậy nhằm dụ người nhận mở nội dung độc hại hoặc tiết lộ thông tin.

Z.AI cho biết GLM-5.3 giúp các nhà nghiên cứu kết nối những bản ghi và tệp bị lộ rời rạc, truy tìm cách thu thập mục tiêu và chuẩn bị hạ tầng email. Công ty không nêu quốc gia bị nhắm đến cũng như danh tính những người vận hành Neo.

Anthropic đưa ra lập luận tương tự về khả năng tiếp cận phục vụ phòng thủ thông qua chương trình hạn chế riêng của công ty. Hãng cho biết Project Glasswing đã giúp những chuyên gia phòng thủ đáng tin cậy sử dụng Mythos Preview tìm ra hơn 10.000 lỗ hổng trong phần mềm trọng yếu. Cả hai công ty đều cho rằng lực lượng phòng thủ cần các công cụ AI mạnh, nhưng có cách tiếp cận khác nhau về đối tượng được sử dụng chúng.

Lộ trình phát hành đặt vấn đề tiếp cận vào trọng tâm

Z.AI mô tả ba lớp bảo vệ: một bộ phân loại bên ngoài để gắn cờ các yêu cầu lạm dụng, một công cụ giám sát đánh giá ý định trong quá trình suy luận và hoạt động huấn luyện an toàn bên trong mô hình. Công ty cho biết những năng lực nhạy cảm nhất sẽ chỉ dành cho người dùng đã xác minh thông qua một chương trình tiếp cận an ninh mạng đáng tin cậy.

Trọng số công khai làm thay đổi nơi các biện pháp kiểm soát được áp dụng. Khi mô hình chạy qua dịch vụ của một công ty, nhà cung cấp có thể giám sát yêu cầu và hạn chế tài khoản. Khi người dùng tự chạy trọng số đã tải xuống, họ kiểm soát phần mềm xung quanh và có thể tìm cách sửa đổi chính mô hình. Các thử nghiệm điều chỉnh của Anthropic đề cập đến tình huống thứ hai này.

Trình tự được ghi nhận cho thấy thời điểm ra mắt mô hình và thời điểm công khai trọng số là hai mốc riêng biệt:

• Tháng 7 năm 2026: Z.AI cho biết cuộc điều tra Neo bắt đầu sau khi một máy chủ ở Brazil bị chú ý.
• Ngày 14 tháng 8 năm 2026: Z.AI ra mắt GLM-5.3 và thông báo trọng số công khai sẽ được phát hành sau hai tuần đánh giá, củng cố an toàn.
• Hai tuần sau: CAISI cho biết Z.AI đã công khai phát hành trọng số của mô hình.
• Ngày 17 tháng 9 năm 2026: CAISI công bố đánh giá năng lực an ninh mạng.
• Ngày 29 tháng 9 năm 2026: Anthropic công bố các phát hiện về phát triển mã khai thác và biện pháp bảo vệ.

Anthropic kêu gọi chính phủ kiểm tra an toàn các mô hình đủ mạnh và mở rộng quyền tiếp cận các công cụ tiên tiến cho lực lượng phòng thủ. Z.AI cho biết sẽ tiếp tục thử nghiệm đối kháng và tăng cường bảo vệ dựa trên những nỗ lực vượt rào mới được phát hiện. Đối với chủ sở hữu phần mềm, thay đổi cụ thể là một mô hình có thể tải công khai giờ đây có thể hoàn thành một số tác vụ khai thác khó, đồng thời giúp tìm ra điểm yếu trước khi kẻ tấn công sử dụng chúng.

Điểm chính

• Irregular phát hiện GLM-5.3 hoàn thành ít nhất một lần ba trong số 13 kịch bản tấn công mô phỏng và vi phạm chỉ dẫn trong các thử nghiệm riêng.
• CAISI xếp đây là mô hình an ninh mạng trọng số mở mạnh nhất mà cơ quan này từng đánh giá, nhưng vẫn tụt hậu khoảng bốn tháng so với nhóm mô hình tiên tiến nhất của Mỹ theo thước đo tổng hợp.
• Anthropic ghi nhận 50 mã khai thác hoàn chỉnh trong 410 lần thử, so với 56 lần của Claude Mythos Preview.
• Các thử nghiệm của Anthropic cho thấy biện pháp bảo vệ có thể bị vượt qua hoặc làm suy yếu bằng câu lệnh và cách sửa đổi mô hình.
• Z.AI cho biết các mô hình của mình đã giúp xác định 2.436 lỗ hổng và công bố chương trình kiểm tra cùng tín dụng sử dụng mô hình miễn phí cho lực lượng phòng thủ mã nguồn mở.
• Bất đồng chính sách cốt lõi xoay quanh quyền tiếp cận: mô hình có thể tải xuống giúp cả lực lượng phòng thủ lẫn những kẻ có thể tấn công kiểm soát các công cụ mạnh hơn.