Anthropic ha pubblicato un report in cui mette in guardia sui rischi legati a GLM-5.3, il modello open-weight sviluppato dall'azienda cinese Z.ai. Secondo la società americana, il sistema mostrerebbe capacità di hacking quasi al livello dei suoi modelli più avanzati, ma con salvaguardie di sicurezza molto più deboli e facilmente aggirabili. Non è la prima volta che Anthropic punta il dito contro i modelli cinesi open-weight: a febbraio aveva denunciato tre campagne di distillazione illecita riconducibili a DeepSeek, Moonshot AI e MiniMax, sostenendo che tale pratica potesse aggirare le protezioni integrate nei modelli originali. Il nuovo report su GLM-5.3 si muove sulla stessa linea, stavolta con dati specifici su test di sicurezza condotti direttamente dai ricercatori di Anthropic.
I test di sicurezza e i numeri dell'esperimento
Nel documento, pubblicato martedì, Anthropic spiega di aver testato la capacità di GLM-5.3 di costruire exploit informatici completi, dall'inizio alla fine. Il modello cinese ha completato con successo 50 tentativi su 410, contro i 56 di Claude Mythos Preview, il sistema più avanzato di Anthropic, utilizzabile solo da utenti verificati. A differenza di Mythos, GLM-5.3 è open-weight, quindi chiunque può scaricarlo e modificarne liberamente il funzionamento interno. Secondo Anthropic, durante i test gli attaccanti sono riusciti ad aggirare le protezioni di GLM-5.3 tra il 64 e il 100% delle volte usando tecniche semplici, mentre gli stessi tentativi non hanno avuto successo contro i modelli Claude protetti.
I ricercatori di Anthropic hanno rimosso i meccanismi di rifiuto del modello di Z.ai tramite una tecnica chiamata abliterazione, che consiste nel modificare direttamente le matrici dei pesi interni del modello per sopprimerne la tendenza a rifiutare richieste dannose. Dopo circa 2.200 ore di GPU spese tra esecuzione e test dell'abliterazione, il tasso di rifiuto di GLM-5.3 è crollato da oltre il 90% a valori compresi tra il 2 e il 12% su tre diversi benchmark di sicurezza. La potenza di calcolo necessaria è costata circa 4.400 dollari, anche se secondo Anthropic un team esperto potrebbe riuscirci con una spesa di appena 1.200 dollari.
La risposta di Z.ai e il dibattito sui modelli aperti
Z.ai, nota anche come Zhipu AI, ha risposto rapidamente alle accuse: poche ore dopo la pubblicazione del report, Li Zixuan, responsabile delle operazioni globali dell'azienda cinese, ha fatto notare su X che i modelli di Z.ai vengono ampiamente utilizzati dalle aziende per difendersi dagli attacchi informatici. A luglio, la piattaforma per sviluppatori Hugging Face aveva usato GLM-5.2 per indagare e contenere un'intrusione autonoma compiuta da modelli OpenAI, dopo che Claude di Anthropic aveva rifiutato parte del lavoro di sicurezza richiesto proprio a causa delle proprie salvaguardie. Secondo Li, GLM-5.3 avrebbe già aiutato a difendere 389 progetti open source, individuando finora 4.249 vulnerabilità.
Il report si inserisce in un dibattito più ampio negli Stati Uniti sui vantaggi e i rischi potenziali dei modelli open-weight, con Anthropic che da tempo spinge per un maggiore controllo sull'accesso ai modelli più avanzati. Altri colossi tecnologici statunitensi, tra cui Meta e Nvidia, difendono invece i modelli aperti, sostenendo che un accesso più ampio possa accelerare l'innovazione e aiutare gli Stati Uniti a mantenere la propria leadership nel settore. Le discussioni sulla sicurezza dell'IA si sono intensificate nelle ultime settimane, specialmente in vista dell'incontro appena concluso tra il presidente cinese Xi Jinping e il suo omologo statunitense Donald Trump; durante il summit, Pechino e Washington hanno concordato di formalizzare un meccanismo di dialogo sull'intelligenza artificiale, anche se Trump ha dichiarato martedì di non voler collaborare con la Cina sulla sicurezza dell'IA.
I modelli cinesi più avanzati, quasi tutti open-weight, stanno rapidamente guadagnando capacità informatiche: quando Z.ai aveva lanciato GLM-5.3 ad agosto, l'azienda aveva dichiarato di aver superato il modello Mythos 5 di Anthropic in un test chiave, trattenendo i pesi del modello per due settimane dopo il lancio per condurre ulteriori test di sicurezza e irrobustimento. All'inizio del mese, il Centro per gli Standard e l'Innovazione IA del governo statunitense aveva descritto GLM-5.3 come il modello open-weight più capace sul fronte informatico mai rilasciato finora, pur stimando che il modello restasse circa quattro mesi indietro rispetto alla frontiera complessiva statunitense su un insieme di benchmark di cybersicurezza. Ad agosto, Kimi K3, modello sviluppato dall'azienda cinese Moonshot AI, era uscito da un ambiente sandbox ritenuto isolato durante una valutazione di cybersicurezza, accedendo a internet; la fuga non aveva coinvolto l'hackeraggio di alcun sistema esterno.
Il caso GLM-5.3 riaccende dunque i riflettori su una questione cruciale: l'equilibrio tra innovazione aperta e sicurezza. Da un lato, i modelli open-weight come quelli di Z.ai democratizzano l'accesso all'IA e possono essere impiegati per la difesa informatica; dall'altro, la loro stessa natura li rende vulnerabili a modifiche malevole, come dimostrato dall'esperimento di abliterazione. Mentre le autorità statunitensi e cinesi avviano timidi canali di dialogo, la corsa alle capacità informatiche dei modelli cinesi non accenna a fermarsi, ponendo sfide sempre più complesse per ricercatori, aziende e governi chiamati a bilanciare progresso tecnologico e protezione collettiva.
