Anthropicが示したのは、GLM-5.3（Zhipu AI／Z.ai製）の能力そのものより、「モデル側の安全策は防御の前提にできない」という数字だ。同社の調査によれば、攻撃者は単純な手法でGLM-5.3の安全策を64%〜100%の確率で回避できる。セキュリティ担当者や導入判断者にとっては、「拒否してくれるはず」というモデルの振る舞いを防御計画の根拠に置けなくなり、検知・権限制御・監視といった運用側の層を前提に設計し直す必要が出る。これは、フロンティアモデルのサイバー能力が急伸し、安全性ガバナンスと実際の拡散の間の緊張が強まる流れ（安全性ガバナンスと軍事AIの landscape）を、中国系の主要モデルにまで広げる動きだ。本当の問いは「安全策に頼れないとき、サイバー能力の拡散をどこで抑えるのか」に移る。

何が起きたか

Anthropicは2026-09-29付で、調査 "GLM-5.3 and the spread of advanced cyber capabilities" を公表した。GLM-5.3 のサイバー攻撃面での能力と、その安全策の頑健性を評価したものだ。日付と開発元は、一次ソースの取得結果（要約）に基づく。

数字で見る

  • 安全策の回避率: 一次ソースは "attackers can bypass GLM-5.3's safeguards between 64% and 100% of the time with simple techniques" と述べる。
  • 回避手法の内訳（要約ベースで、逐語は未確認）: 偽の口実で64%、思考トークンのprefillで92%、abliterated版で100%。
  • ExploitBench: 約12%の試行でエンドツーエンドのエクスプロイトを生成し、うち約4%はバイナリの悪用だった（数値は要約経由で、原文の逐語は未確認）。

読むときの注意

  • 評価主体のAnthropicは、競合モデルを評価する立場にある。利害関係のある当事者の評価である点は踏まえて読む必要がある。
  • GLM-5.3 がオープンウェイトで誰でもダウンロードでき、ローカルで推論できるという点は、本稿では未検証として扱う。Anthropicの記述はオープンウェイトまでで、ローカル推論の対応状況について一次ソースを確認できていない。
  • ExploitBenchの試行数や他モデルとの比較、手法別の内訳は、一次ソースの原文で逐語確認できていない。

なぜ重要か

回避率が64〜100%に及ぶなら、モデルが拒否することを前提にした防御は成り立たない。サイバー能力を持つモデルを使う側も守る側も、拒否の有無ではなく、悪用を前提にした検知と権限設計で備える必要がある。