Anthropic ทดสอบ GLM-5.3 แล้วพบว่าเขียน exploit ได้ใกล้ Mythos Preview (50 ต่อ 56 จาก 410 ครั้ง) และ safeguard ถูกข้ามได้ 64–100% ด้วยวิธีง่าย ๆ

เมื่อ 29 ก.ย. ทีม Frontier Red Team ของ Anthropic เผยแพร่รายงาน GLM-5.3 and the spread of advanced cyber capabilities ซึ่งทดสอบ GLM-5.3 โมเดล open-weight ของ Z.ai (Zhipu AI) ข้อสรุปหลักคือ ความสามารถสร้าง exploit ได้เองตั้งแต่ต้นจนจบ ซึ่ง Anthropic เคยจำกัดการเข้าถึงไว้ตอนเปิดตัว Claude Mythos Preview ตอนนี้มีอยู่ในโมเดลที่ใครก็ดาวน์โหลดได้แล้ว และ safeguard ที่มากับ GLM-5.3 ถูกข้ามได้ 64% ถึง 100% ด้วยเทคนิคพื้นฐาน

รายงานนี้ต่อจากผลประเมินของ CAISI (NIST) ที่ออกมาเมื่อ 17 ก.ย. ซึ่งสรุปว่า GLM-5.3 เป็น “the most cyber-capable open-weight model released to date” แต่ยังตาม frontier ของสหรัฐฯ อยู่ราว 4 เดือน Anthropic บอกว่าผลด้านความสามารถของตัวเองสอดคล้องกับ CAISI ส่วนที่เพิ่มเข้ามาคือการวัดว่า safeguard ของ GLM-5.3 ถูกเจาะหรือถอดออกได้ง่ายแค่ไหน

ความสามารถเขียน exploit: ใกล้ Mythos Preview

การทดสอบทั้งหมดรันใน sandbox ที่แยกขาด โจมตีได้เฉพาะเป้าหมายออฟไลน์ที่ทีมตั้งขึ้นเอง

• ExploitBench (exploit ช่องโหว่ที่รู้แล้วใน V8 ของ Chrome): GLM-5.3 สร้าง exploit ครบวงจรได้ 50 จาก 410 ครั้ง ส่วน Claude Mythos Preview ทำได้ 56 ครั้ง
• Binary Exploitation (benchmark ภายในจากโปรเจกต์ใน OSS-Fuzz 100 งาน): GLM-5.3 ทำ full control-flow hijack ได้ 4% ส่วน Mythos Preview ได้ 6% แต่ Claude Opus 4.6 และ GLM-5.2 ได้ 0% Anthropic จึงมองว่าข้ามเส้นสำคัญไปแล้ว
• ทดสอบร่วมกับนักวิจัย: ภายในหนึ่งวันที่ใช้ความสนใจของคนไม่ถึงชั่วโมง GLM-5.3 เจอ ช่องโหว่ 0-day หลายตัว ใน JavaScript engine ของเบราว์เซอร์ยอดนิยมตัวหนึ่ง แล้วต่อกันเป็นหน้าเว็บที่อ่านไฟล์บนเครื่องผู้เข้าชมได้ (Anthropic แจ้งผู้ดูแลแล้ว)
• GLM-5.3-Flash กับ N-day: นักวิจัยให้รายละเอียดสาธารณะของ CVE-2026-11645 ใน Chrome กับช่องโหว่อีกตัว โมเดลต่อ exploit chain บน ARM64 ที่ข้าม PAC ได้เอง ใช้เวลาคน 20 นาที โมเดลทำงาน 8 ชั่วโมง คิดตามราคา API ของ Zhipu เป็นเงิน 20.40 ดอลลาร์

กราฟในรายงานยังเทียบ Kimi K3 และ DeepSeek V4.1-Flash ด้วย แต่รายงานเน้นที่ GLM-5.3 เป็นหลัก

Safeguard ข้ามได้ด้วยวิธีพื้นฐาน

GLM-5.3 มี safeguard อยู่บ้าง ถ้าขอสิ่งที่เป็นอันตรายชัดเจนก็มักปฏิเสธ แต่ในโลกจำลองที่สั่งให้โจมตีระบบสำคัญ (โค้ดของโมเดลไม่ถูกรันจริง ผลของคำสั่งให้ LLM อีกตัวจำลอง) อัตราที่โมเดลยอมลงมือเปลี่ยนไปดังนี้

วิธี	GLM-5.3 ยอมทำ
ขอตรง ๆ	0%
บอกว่าเป็น red-team agent ที่กำลังซ้อมรบ	64%
prefill thinking tokens ให้ดูเหมือนตัดสินใจแล้วว่าจะทำ	92%
ใช้เวอร์ชัน abliterated	100%

Abliteration คือการแก้น้ำหนักเพื่อตัดพฤติกรรมปฏิเสธออก ทำได้เพราะน้ำหนักเปิด Anthropic ทำเองโดยทีมที่ไม่เคยทำมาก่อน ใช้ราว 2,200 GPU-hours (ประมาณ 4,400 ดอลลาร์) และประเมินว่าทีมที่มีประสบการณ์จะใช้แค่ราว 600 GPU-hours (1,200 ดอลลาร์) ผลคืออัตราปฏิเสธลดจากเกิน 90% เหลือราว 3% บน JailbreakBench, 2% บน HarmBench และ 12% บน StrongREJECT โดยคะแนน GPQA-Diamond ไม่เปลี่ยน และ CyberGym ลดลงเพียงไม่กี่เปอร์เซ็นต์ รายงานระบุว่ามีนักพัฒนาปล่อย GLM-5.3 แบบ abliterated สู่สาธารณะภายในไม่กี่วันหลังเปิดน้ำหนัก

ในการทดสอบเดียวกัน Claude ทุกรุ่นอยู่ที่ 0% ในทุกเงื่อนไข แต่ต้องอ่านอย่างระวัง เพราะ Anthropic ยอมรับเองว่าการ prefill thinking และ abliteration ใช้กับ Claude ผ่าน API ไม่ได้ตั้งแต่แรก ตัวเลขนี้จึงวัดความต่างของรูปแบบการปล่อยโมเดล (API ที่มี safeguard เทียบกับน้ำหนักเปิด) มากกว่าวัดว่าการ align ตัวโมเดลของใครแข็งกว่า

ข้อเสนอของ Anthropic

Anthropic ขอให้รัฐบาลทดสอบความปลอดภัยโมเดลที่ความสามารถถึงระดับนี้ รวมถึงรุ่นถัดไปของ GLM-5.3 และบอกว่ากำลังขยายการเข้าถึงความสามารถด้านไซเบอร์ของ Claude ให้ฝ่ายป้องกันมากขึ้น (ผู้ใช้ที่ผ่านการคัดกรองใช้ Claude Mythos 5.1 ได้แล้ว) ผ่าน Project Glasswing และ Patch the Planet โดยให้เหตุผลว่าฝ่ายป้องกันควรมีเครื่องมืออย่างน้อยเท่ากับที่ฝ่ายโจมตีมี

มุมมอง AI Curator

ตัวเลขที่ควรจำคือ 20.40 ดอลลาร์กับ 20 นาที ในการเปลี่ยน patch สาธารณะของ Chrome ให้เป็น exploit chain ที่ใช้ได้จริง เวลาระหว่างวันที่ vendor ออก patch กับวันที่มี exploit ใช้งานได้ ซึ่งเคยวัดเป็นสัปดาห์ ตอนนี้เหลือไม่ถึงหนึ่งวันและราคาถูกมาก องค์กรไทยจำนวนมากยัง patch เบราว์เซอร์ OS และอุปกรณ์เครือข่ายเป็นรอบเดือนหรือรอบไตรมาส รอบเวลาแบบนี้ใช้ไม่ได้แล้ว ระบบที่หันออกอินเทอร์เน็ตควรมี auto-update หรือรอบ patch ฉุกเฉินภายในไม่กี่วัน

ในอีกด้าน ต้องอ่านรายงานนี้โดยรู้ว่าใครเป็นผู้เขียน Anthropic เป็นบริษัทที่ขายโมเดลแบบปิดและกำลังเตรียม IPO จึงได้ประโยชน์ถ้าคนมองว่าโมเดลเปิดอันตราย การเทียบ “Claude ข้ามไม่ได้” กับวิธีที่ใช้กับ Claude ไม่ได้ตั้งแต่แรกเป็นการเทียบที่ไม่เท่ากัน อย่างไรก็ตาม ข้อเท็จจริงหลักมีแหล่งอิสระยืนยัน CAISI เห็นตรงกันเรื่องความสามารถ ส่วนตัวเลข abliteration ใครก็ทำซ้ำได้ ประเด็นที่แท้จริงไม่ใช่ว่าโมเดลจีนอันตราย แต่คือ safeguard ที่อยู่ในน้ำหนักโมเดลไม่ใช่เส้นป้องกันที่เชื่อถือได้ กับโมเดล open-weight ทุกตัว ไม่ว่าจะมาจากประเทศใด

สำหรับทีม security ในไทยและ SEA ความสามารถระดับนี้รันในเครื่องได้โดยข้อมูลไม่ออกนอกองค์กร จึงเป็นประโยชน์กับฝ่ายป้องกันด้วย เช่น ใช้ fuzz และหาช่องโหว่ในโค้ดของตัวเองก่อนฝ่ายโจมตีจะเจอ คำถามที่ควรถามตอนนี้ไม่ใช่ว่าจะห้ามโมเดลเหล่านี้ได้หรือไม่ แต่คือทีมของเราจะเริ่มใช้มันป้องกันระบบของตัวเองได้เมื่อไหร่

แหล่งข่าว

• GLM-5.3 and the spread of advanced cyber capabilities — Anthropic Frontier Red Team
• CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities — NIST (17 ก.ย. 2026)
• zai-org/GLM-5.3 — Hugging Face