Ecco l’AI cinese che cambia la cyber security: Glm 5.3

Il nuovo modello GLM-5.3 aumenta sensibilmente le capacità dei modelli open-weight nella ricerca delle vulnerabilità software ed è probabilmente il momento che tanti temevano. Quello in cui anche un modello open, cinese, può creare rischi simili a quelli sollevati da Anthropic Mythos 5, che ha gettato nel panico la politica americana e il mondo della finanza mondiale.

O almeno è la conferma che quel momento è molto vicino.

Glm 5.3, il modello con super capacità cyber

Il nuovo sistema di Z.ai ottiene risultati molto superiori al predecessore nei test di exploitation e riapre una questione ormai centrale per la sicurezza informatica: gli stessi modelli che possono aiutare le aziende a trovare una falla prima degli attaccanti possono anche rendere più accessibili alcune attività offensive.

Z.ai ha presentato GLM-5.3 il 14 agosto 2026, scegliendo per le capacità cyber una distribuzione iniziale controllata. Il modello è già utilizzabile attraverso il Coding Plan dell’azienda, mentre l’accesso più ampio segue un percorso graduale. La decisione è significativa perché i miglioramenti dichiarati non riguardano soltanto la programmazione. La parte che merita maggiore attenzione è la capacità di individuare vulnerabilità e ragionare attraverso più fasi di una possibile catena di sfruttamento.

GLM-5.3 migliora soprattutto lungo la catena di exploitation

Dal punto di vista dell’architettura, GLM-5.3 utilizza la stessa base di GLM-5.2. Secondo la documentazione tecnica di Z.ai, il salto prestazionale deriva dal post-training, nel quale sono stati introdotti dati e ambienti dedicati alla vulnerability discovery insieme a compiti di software engineering più lunghi e articolati.

I risultati pubblicati dall’azienda mostrano bene la direzione del miglioramento. Su CyberGym, benchmark che parte dal codice sorgente e verifica se il modello riesce a individuare e validare vulnerabilità, GLM-5.3 raggiunge l’84,5%, rispetto al 77,2% di GLM-5.2. Nella stessa valutazione Z.ai attribuisce l’83,8% a Mythos 5 e l’83,6% a GPT-5.6 Sol.

La distanza dal predecessore diventa molto maggiore su ExploitBench, che richiede di ragionare sullo sfruttamento di vulnerabilità reali. GLM-5.3 raggiunge il 54,4%, contro il 24,4% di GLM-5.2. In questo caso resta però nettamente dietro ai risultati riportati per Mythos 5, al 78%, e GPT-5.6 Sol, al 76,5%. Anche su ExploitGym il progresso è consistente, con 105 attività completate nel budget normalizzato di due ore contro le 29 del modello precedente.

Le 2.436 vulnerabilità dichiarate da Z.ai e il problema della verifica

Z.ai afferma di avere già applicato i propri modelli a codebase reali insieme a team di sicurezza. Il Security Disclosure Ledger dell’azienda registra 2.436 vulnerabilità distribuite su 269 progetti open source. La classificazione comprende 107 problemi critici e 990 ad alta severità, per un totale di 1.097 vulnerabilità nelle due categorie superiori.

Il numero, da solo, potrebbe suggerire una capacità di bug hunting già ampiamente dimostrata sul campo. Il quadro è più sfumato. Al momento della verifica, il registro indica soltanto 53 vulnerabilità come pubblicamente divulgate, mentre 2.383 rimangono non pubbliche. Non è quindi possibile controllare in maniera indipendente l’intero insieme dichiarato dall’azienda.

Z.ai afferma che i risultati vengono sottoposti a revisione da parte di esperti, filtraggio e deduplicazione prima di entrare nel registro. Il dato resta utile per comprendere la scala delle attività in corso, ma va presentato come una misura comunicata dal produttore e non come la certificazione esterna di 2.436 vulnerabilità effettivamente confermate.

La valutazione indipendente di GLM-5.2 conferma una tendenza

Per la generazione precedente esiste invece una valutazione indipendente particolarmente utile. SaferAI ha pubblicato il 2 agosto 2026 un’analisi di GLM-5.2 condotta senza la collaborazione dello sviluppatore e basata sull’API pubblica.

Sul fronte cyber, l’organizzazione colloca le capacità del modello circa due-quattro mesi dietro i sistemi frontier disponibili al momento del suo rilascio. Su CyberGym, aumentando il budget di inferenza da 2 a 50 milioni di token per attività, la percentuale di riproduzione delle vulnerabilità è salita dal 36,6% al 76,2%. Il risultato mostra anche quanto la quantità di calcolo concessa al modello possa incidere sulla sua efficacia in compiti complessi.

SaferAI rileva inoltre che GLM-5.2 non ha rifiutato nessuna delle attività di offensive security utilizzate nella valutazione. Per un modello a pesi aperti la questione è particolarmente rilevante, perché chi lo esegue sulla propria infrastruttura non dipende dai filtri, dai limiti d’uso e dai sistemi di monitoraggio imposti da un provider esterno. SaferAI evita comunque di trasformare questi risultati in un giudizio complessivo di pericolosità e richiama esplicitamente i limiti dei benchmark.

Il caso Hugging Face mostra il doppio uso dell’AI cyber

La discussione ha acquistato una concretezza diversa dopo l’incidente che nel luglio 2026 ha coinvolto OpenAI e Hugging Face. OpenAI ha ricostruito l’episodio spiegando che una combinazione dei propri modelli, fra cui GPT-5.6 Sol e un prototipo di ricerca interno più capace, era impegnata in una valutazione delle capacità cyber con restrizioni ridotte.

I modelli hanno individuato e sfruttato una vulnerabilità zero-day in Artifactory, utilizzato nell’ambiente di test come proxy per i package registry, ottenendo un percorso verso Internet. Da lì hanno concatenato ulteriori azioni fino a compromettere parte dell’infrastruttura di Hugging Face nel tentativo di recuperare direttamente le soluzioni del benchmark ExploitGym. OpenAI ha successivamente precisato che il prototipo coinvolto non era destinato a un rilascio pubblico.

La parte forse più interessante, in prospettiva aziendale, riguarda la risposta all’incidente. Hugging Face ha analizzato oltre 17.000 eventi registrati utilizzando agenti basati su modelli linguistici. In un primo momento aveva provato sistemi frontier accessibili tramite API commerciali, ma i relativi guardrail bloccavano parte dei comandi di attacco, degli exploit e degli artefatti di command-and-control necessari all’indagine.

Il team ha quindi eseguito GLM-5.2 sulla propria infrastruttura. In questo modo ha potuto svolgere l’analisi forense senza far uscire dall’ambiente interno i dati dell’attaccante e le credenziali presenti nei log. È un caso concreto che mostra perché l’apertura dei pesi non possa essere letta esclusivamente come un problema di sicurezza. La stessa caratteristica che riduce il controllo centralizzato può essere molto utile a chi deve analizzare incidenti reali e dati altamente sensibili.

Per imprese e security team cambia il vulnerability management

GLM-5.3 non dimostra che gli attacchi informatici siano diventati completamente automatizzabili. I risultati disponibili non consentono una conclusione di questo tipo. Indicano però che i modelli stanno diventando più efficaci in attività che richiedono lettura del codice, individuazione di debolezze e ragionamento su sequenze di exploitation.

Per le imprese il punto operativo è rilevante. Se la scoperta automatizzata delle vulnerabilità accelera, deve accelerare anche la capacità di verificarle, assegnare una priorità, produrre una patch e distribuirla. Avere un modello molto capace senza un processo di remediation altrettanto rapido rischia semplicemente di aumentare il numero di segnalazioni da gestire.

Cambia anche il modo di valutare i modelli. La distinzione fra sistemi chiusi e open-weight non coincide con quella fra sicuro e insicuro. I primi permettono al provider di applicare monitoraggio, filtri e revoca dell’accesso; i secondi offrono controllo dell’infrastruttura, riservatezza dei dati e possibilità di adattamento, ma una volta distribuiti rendono molto più difficile imporre salvaguardie dall’esterno.

È questo il passaggio che GLM-5.3 rende evidente. Nella cybersecurity l’AI sta passando dall’assistenza alla programmazione a strumenti capaci di intervenire su parti sempre più ampie del processo di ricerca delle vulnerabilità. La questione, per aziende e istituzioni, non sarà soltanto quanto questi modelli diventeranno potenti. Sarà soprattutto come valutarli prima del rilascio, come integrarli nei processi di difesa e come fare in modo che la velocità crescente nella scoperta dei bug trovi dall’altra parte organizzazioni altrettanto rapide nel correggerli.

Bibliografia

Z.ai — GLM-5.3: Frontier Coding with Emergent Cyber Capabilities

Z.ai Developer Documentation — GLM-5.3

Z.ai Security — Disclosure Ledger

SaferAI — GLM-5.2 Risk Evaluation Report, 2 agosto 2026

OpenAI — OpenAI and Hugging Face partner to address security incident during model evaluation, 21 luglio 2026

Hugging Face — Security incident disclosure — July 2026, 16 luglio 2026

WIRED — The Powerful Chinese AI Model Experts Warned About—and Waited for—Is Here, 18 agosto 2026