Z.ai liberó los pesos de GLM-5.3 y, junto con el modelo, una advertencia que sus propios ingenieros no esperaban tener que escribir: la capacidad ofensiva del modelo creció más rápido que el resto de sus habilidades. Es el primer modelo de pesos abiertos que se pone a la cabeza en descubrimiento de vulnerabilidades, y cualquiera puede descargarlo.
Qué pasó
El laboratorio chino Zhipu AI (Z.ai) publicó GLM-5.3 en Hugging Face con licencia propia (glm-5.3), en variantes FP8 y BF16 de 753B parámetros, más un hermano menor GLM-5.3-Flash de 321B que ya acumula 190 mil descargas en 48 horas. La nota técnica subió a la portada de Hacker News con 724 puntos y 241 comentarios, y ahí se quedó todo el día: es el lanzamiento open-weight que domina la conversación de la semana.
El detalle que hace interesante el lanzamiento no es el tamaño. GLM-5.3 usa el mismo modelo base que GLM-5.2: todas las ganancias vienen de post-training. Z.ai reporta una mejora del 50% sobre su predecesor en su benchmark interno de código, y SOTA open-source en Terminal Bench 3.0 y Agents' Last Exam.
Pero el párrafo que importa para quien trabaja en seguridad es el segundo:
Al escalar el post-training, la capacidad cyber se desarrolló más rápido de lo que esperábamos. GLM-5.3 es state of the art en CyberGym para descubrimiento de vulnerabilidades, y sus mayores ganancias están más arriba en la cadena de explotación. — Z.ai, model card de GLM-5.3
Por qué importa
Hasta ahora, la capacidad ofensiva seria vivía detrás de una API. Cuando un modelo frontier aprendía a encadenar un exploit, ese poder llegaba envuelto en clasificadores, rate limits, KYC y logs del vendor. Podías discutir si los filtros servían, pero existían y había alguien a quien reclamarle.
Un modelo de pesos abiertos no tiene esa capa. Corre en hardware propio, sin telemetría, sin filtro que se pueda actualizar a posteriori y sin nadie que pueda revocarte el acceso. Los números que Z.ai publica —84.5 en CyberGym, por encima de Opus 4.8 (78.1) y de GPT-5.6 Sol (83.6)— describen esa capacidad en algo que ya está descargado en miles de máquinas y no se puede recoger.
Conviene leer la tabla completa antes de entrar en pánico. En los benchmarks que miden explotación real, los modelos cerrados siguen bastante arriba: en ExploitGym, GLM-5.3 resuelve 105 tareas en 2 horas y 130 en 6, contra 216/293 de GPT-5.6 Sol y 181/247 de Fable 5. En ExploitBench, 54.4 contra 78.0 de Fable 5. La frontera ofensiva no es abierta todavía; lo que cambió es la distancia. GLM-5.2 estaba en 29/39 en ExploitGym hace dos meses. Un salto de 3.5x en un ciclo de post-training, sin tocar el modelo base, es la señal real de la nota: esta curva se mueve con receta de entrenamiento, no con más GPUs.
El detalle técnico
En capacidad de agente y código, GLM-5.3 se sostiene contra los cerrados: Terminal Bench 2.1 en 88.2, DeepSWE 66.9 (desde 46.2), HLE con herramientas 62.5, y 1769 en GDPval-AA v2 medido por Artificial Analysis — la cifra más alta de su tabla comparativa. El salto más brutal es Terminal Bench 3.0: de 4.6 a 28.3.
Dos notas de operación que Z.ai deja en el model card y que se pasan por alto:
reasoning_effortaceptalow,highymax, y defaultea amaxsi no lo pasas o mandas cualquier otro valor. Si lo despliegas sin especificar, estás pagando el presupuesto de razonamiento más caro en cada llamada.clear_thinkingviene enfalsepor defecto en el chat template. Para escenarios de chat hay que pasarlo explícito entrue.
Los benchmarks son autoreportados por el vendor y varios se evaluaron dentro del harness de Claude Code con contextos de 400K a 1M y timeouts de hasta 10 horas. Son cifras de laboratorio con presupuesto generoso, no de un agente corriendo con tus límites. En los foros de la comunidad ya hay hilos cuestionando si las evaluaciones se hicieron en FP8 o BF16, y qué tanto de la ganancia sobrevive a la cuantización — la pregunta correcta antes de tomar cualquier número como propio.
Qué hacer
- Actualiza tu modelo de amenaza, no tu alerta. La suposición de "capacidad ofensiva avanzada = actor con recursos y acceso a API frontier" ya no aplica. El costo de entrada ahora es hardware para 753B parámetros —o 321B con Flash— y ancho de banda.
- Asume descubrimiento automatizado en tu superficie expuesta. Un modelo SOTA en CyberGym encuentra bugs en código que nadie auditó. Prioriza fuzzing y revisión sobre lo que publicas a internet, especialmente código propio o forks viejos sin mantenimiento.
- Acorta la ventana de parcheo. Si el descubrimiento se abarata, el tiempo entre disclosure y explotación se comprime. Ese es el número que hay que defender.
- Si lo evalúas internamente, hazlo en aislamiento. Es un modelo entrenado para escalar cadenas de explotación; no lo pruebes con acceso de red a nada que te importe, y fija
reasoning_efforta conciencia.