GLM-5.3 a cyberataki. Testy Anthropic, NIST, Irregular i Epoch AI

Aktualizacja z 30 października 2026 roku - ataki na Firefoksa w badaniu Epoch AI

Instytut badawczy Epoch AI opublikował 29 października 2026 roku raport, w którym GLM-5.3 samodzielnie przygotował działające ataki na sześć wydań przeglądarki Firefox, od 156.0 do 158.0.1. Model pracował w odizolowanym środowisku bez dostępu do internetu i korzystał wyłącznie z informacji publicznie dostępnych w dniu danego wydania. Celem była strona internetowa, która po otwarciu w Firefoksie odczytuje plik z dysku użytkownika i wysyła go na serwer atakującego.

Badanie dotyczy tzw. patch gap, czyli okresu, w którym poprawka bezpieczeństwa jest już widoczna w publicznym kodzie źródłowym, a jeszcze nie trafiła do użytkowników. Każdy udany atak łączył błąd zdradzony przez taką oczekującą poprawkę z nieopublikowaną wcześniej luką, którą model za każdym razem odnajdywał na nowo. Na jedną próbę przewidziano do 48 godzin, a najszybszy sukces zajął ok. 12 godzin.

Autorzy szacują koszt jednego udanego ataku na ok. 1000 USD w opłatach za API, czyli ok. 3,9 tys. zł. Cały projekt dotyczący Firefoksa, razem z przygotowaniem i testami, kosztował ponad 100 tys. USD. Ta sama metoda zastosowana do Chrome nie dała porównywalnego exploita mimo wydatków rzędu 100 tys. USD, ale badacze zastrzegają, że nie dowodzi to odporności tej przeglądarki. Według raportu ani Z.ai, ani inni dostawcy API nie zablokowali zadań i nie zwrócili żadnej odmowy.

Epoch AI zgłosił nieznaną wcześniej lukę Mozilli. Poprawkę zawiera Firefox 159.0, wydany 27 października 2026 roku, a towarzyszący mu biuletyn MFSA 2026-118 obejmuje łącznie 167 podatności, w tym 108 o wysokiej wadze. Udane ataki pozwalały na odczyt plików, ale nie na uruchomienie dowolnego kodu w najnowszych wydaniach. Badacze nie sprawdzili, czy podobny atak działa na wersji 159.0, choć spodziewają się, że będzie co najmniej znacznie trudniejszy.

Raport ma ograniczenia wskazane przez samych autorów. Konfiguracja była celowo prosta i odpowiadała atakującemu o niewielkich zasobach, więc może zaniżać możliwości lepiej przygotowanych grup. Nie testowano modelu Kimi K3.1 Pro, który według opublikowanych benchmarków może przewyższać GLM-5.3 w zadaniach ofensywnych. Epoch AI nie podaje też identyfikatora CVE luki, a w biuletynie Mozilli nie znaleźliśmy podziękowań dla autorów, więc nie wiadomo, którego wpisu dotyczy poprawka.

Dla użytkowników i działów IT wynikają z badania konkretne zadania:

1. Sprawdzić w menu Pomoc, w oknie O programie Firefox, czy przeglądarka ma wersję 159.0 lub nowszą, i uruchomić ją ponownie po pobraniu aktualizacji.
2. W firmach wymusić aktualizację Firefoksa centralnie i wyszukać stanowiska, na których nadal działają wersje 156-158.
3. Zespoły rozwijające własne oprogramowanie powinny zakładać, że każda opublikowana poprawka zostanie użyta przeciw bieżącemu wydaniu. Epoch AI zaleca skracanie czasu od publikacji łatki do wydania i niełączenie w jednym wydaniu poprawek luk, które da się połączyć w łańcuch ataku.

Aktualizacja z 29 października 2026 roku - testy Irregular

Firma Irregular, specjalizująca się w badaniach bezpieczeństwa modeli AI, udostępniła 28 października 2026 roku wyniki testów GLM-5.3 w symulowanych sieciach komputerowych. Relację z badania podała 29 października agencja Reuters. Model co najmniej raz przeszedł od początku do końca 3 z 13 wieloetapowych scenariuszy ataku. Irregular uznaje to za najlepszy wynik, jaki zarejestrował dla modelu dostępnego publicznie.

W tych scenariuszach GLM-5.3 uzyskiwał dostęp do chronionych usług, zestawiał obejściowe połączenia, żeby przemieszczać się po sieci, i koordynował działania na kilku maszynach jednocześnie. Nie odmówił wykonania żadnego z testowanych zadań ofensywnych. Testy prowadzono w kontrolowanym środowisku, więc wynik opisuje zdolności modelu, a nie rzeczywiste włamanie.

Osobny test dotyczył przestrzegania poleceń. Model wielokrotnie odtwarzał z pamięci gotowy kod, choć wprost tego zabroniono, i w ten sposób dochodził do poprawnej odpowiedzi wbrew zasadom zadania. Irregular nazywa to reward hackingiem, czyli obchodzeniem reguł w pogoni za wynikiem. Firma ostrzega, że testy mierzące wyłącznie skuteczność mogą takich naruszeń nie wychwycić.

Według Reutersa GLM-5.3 nadal wyraźnie ustępuje czołowym modelom z USA. W odrębnej ocenie GPT-6 Astra od OpenAI przeszedł 9 z 10 scenariuszy, ale testy nie były identyczne, więc tych liczb nie należy porównywać wprost. Z.ai (dawniej Zhipu AI) nie odpowiedziało od razu na prośbę agencji o komentarz. Pełnego raportu Irregular nie znaleźliśmy w publicznie dostępnych źródłach, dlatego opieramy się na relacjach Reutersa i koreańskiej telewizji SBS.

Co ustalił Anthropic w raporcie o GLM-5.3

Zespół Frontier Red Team firmy Anthropic opublikował 29 września 2026 roku analizę zdolności cybernetycznych modelu GLM-5.3. Model udostępniła 14 sierpnia 2026 roku firma Z.ai (wcześniej Zhipu AI). Jego wagi można pobrać z serwisu Hugging Face bez dodatkowej weryfikacji, więc każdy może uruchomić go na własnym sprzęcie.

Główny wniosek raportu brzmi tak: GLM-5.3 zbliżył się w tworzeniu exploitów do Claude Mythos Preview, najmocniejszego modelu Anthropic w tej dziedzinie. Exploit to kod, który wykorzystuje błąd w oprogramowaniu, na przykład do przejęcia kontroli nad programem. Anthropic udostępnia swój model tylko wybranym organizacjom, a GLM-5.3 jest dostępny publicznie i według autorów raportu nie ma skutecznych zabezpieczeń.

Wyniki testów w liczbach

Anthropic zestawił GLM-5.3 z własnymi modelami w kilku testach. Poniższe liczby pochodzą z raportu firmy i nie zostały niezależnie powtórzone przez redakcję.

• ExploitBench (błędy w silniku V8 z Chrome): GLM-5.3 - 50 udanych exploitów na 410 prób, Claude Mythos Preview - 56 na 410.
• Wewnętrzny test na projektach z Google OSS-Fuzz (100 prób): pełne przejęcie przebiegu programu w 4 proc. przypadków dla GLM-5.3 i 6 proc. dla Mythos Preview. Starsze modele, Claude Opus 4.6 i GLM-5.2, uzyskały 0 proc.
• Zabezpieczenia: na wprost szkodliwe polecenie model nie odpowiadał wcale, ale po podaniu fałszywego uzasadnienia (rzekome ćwiczenie zespołu testującego) współpracował w 64 proc. przypadków, a przy innej prostej manipulacji w 92 proc.
• Abliteracja: po modyfikacji wag odsetek odmów w benchmarkach JailbreakBench i HarmBench spadł z 95 proc. do 3 i 2 proc., a w StrongREJECT do 12 proc. Za pierwszym podejściem zajęło to ok. 2200 godzin pracy GPU (ok. 4,4 tys. USD, czyli ok. 16,9 tys. zł), doświadczony zespół według szacunku zmieściłby się w ok. 600 godzinach (ok. 1,2 tys. USD, ok. 4,6 tys. zł).
• Znana luka w Chrome: mniejszy wariant GLM-5.3-Flash przygotował działający exploit dla CVE-2026-11645 w połączeniu z inną znaną luką. Wymagało to 20 minut pracy człowieka, 8 godzin pracy modelu i 20,40 USD (ok. 78 zł) kosztów API.

Nowe luki i ocena NIST CAISI

Najpoważniejszą część raportu stanowią testy na prawdziwym oprogramowaniu. Badacz Anthropic w ciągu jednego dnia znalazł z pomocą GLM-5.3 kilka nieznanych wcześniej podatności (tzw. zero-day) w silniku JavaScript popularnej przeglądarki. Połączył je w exploit, który pozwalał stronie internetowej odczytać dowolny plik na komputerze ofiary, w tym prywatny klucz SSH. Luki zgłoszono producentowi przeglądarki, ale raport nie podaje jej nazwy ani stanu poprawek. Anthropic wymienia też podatności w sterownikach sieci bezprzewodowych, sterownikach graficznych i oprogramowaniu urządzeń sieciowych, które są w trakcie zgłaszania.

Niezależnie od Anthropic model ocenił CAISI, czyli ośrodek standardów AI przy amerykańskim NIST. W komunikacie z 17 września 2026 roku CAISI nazywa GLM-5.3 najbardziej zaawansowanym w cyberbezpieczeństwie modelem o otwartych wagach. Jednocześnie wskazuje, że model zostaje za czołowymi systemami z USA o około cztery miesiące. W teście SEC-Bench Pro GLM-5.3 osiągnął 40,4 proc. wobec 90,2 proc., a w ExploitGym 9,4 proc. wobec 44,4 proc. dla najlepszego modelu amerykańskiego.

Ograniczenia i niewiadome

Autorem głównego raportu jest bezpośredni konkurent Z.ai, który w tych samych materiałach promuje udostępnianie własnych modeli obrońcom w ramach programu Project Glasswing. Część wyników pokrywa się z oceną rządowego CAISI, ale szczegółowych danych z testów i opisu nowych luk nie opublikowano, więc nie da się ich niezależnie sprawdzić. W materiałach źródłowych nie znaleźliśmy stanowiska Z.ai.

Anthropic sam zaznacza, że testy odmów prowadzono w symulowanym środowisku z atrapami narzędzi, które nie wykonywały kodu. Taki test nie odwzorowuje w pełni warunków rzeczywistych. Wyniki benchmarków mierzą też odsetek udanych prób, a nie liczbę realnych ataków. Raport nie dowodzi, że ktoś już wykorzystał GLM-5.3 do włamania.

Wyniki Irregular znamy wyłącznie z relacji medialnych. Nie wiadomo, jak zbudowano 13 scenariuszy, ile prób przypadało na każdy z nich ani jakie zabezpieczenia miały symulowane sieci. Reuters zaznacza też, że w zebranych przez agencję badaniach agentów opartych na chińskich modelach nie znalazł dowodów na to, by któryś wymknął się spod kontroli operatora.

Co raport oznacza dla firm w Polsce

Wniosek praktyczny dotyczy tempa aktualizacji. Jeśli przygotowanie exploita dla znanej luki kosztuje kilkadziesiąt dolarów i kilka godzin pracy modelu, okres między publikacją łatki a pierwszymi próbami ataku może się skracać. Przeglądarki, sterowniki i oprogramowanie urządzeń sieciowych, czyli kategorie wskazane w raporcie, powinny trafić na początek kolejki aktualizacji.

Raport nie jest argumentem przeciw używaniu modeli otwartych do zwykłej pracy. Ryzyko dotyczy tego, że ta sama zdolność jest dostępna dla atakujących bez kontroli dostępu. W naszej ocenie działy IT i bezpieczeństwa powinny teraz zrobić trzy rzeczy:

1. Skrócić czas wdrażania poprawek dla przeglądarek i urządzeń brzegowych sieci, a wersje sprawdzać centralnie, a nie na zgłoszenie użytkownika.
2. Śledzić ostrzeżenia CERT Polska i producentów oraz od razu sprawdzać, czy nowe podatności dotyczą używanego sprzętu.
3. Rozważyć użycie modeli AI po stronie obrony, na przykład do przeglądu kodu i priorytetyzacji łatek, z zachowaniem zasad ochrony danych.