Un modello di intelligenza artificiale capace di trovare vulnerabilità nel software e di avanzare lungo le diverse fasi necessarie per sfruttarle. Si chiama GLM-5.3 e lo ha sviluppato Z.ai; secondo l’azienda cinese, ha raggiunto risultati superiori agli altri modelli open-weight in alcuni test dedicati alla cybersecurity. Entro la fine di agosto Z.ai prevede di pubblicarne i pesi, dopo una fase di valutazione e rafforzamento delle misure di sicurezza.
È questo secondo elemento a rendere il lancio particolarmente rilevante. Un modello open-weight può essere scaricato, eseguito su infrastrutture private e modificato dagli utilizzatori. Le stesse caratteristiche che permettono a un’impresa di analizzare grandi quantità di codice senza inviarlo a un servizio esterno rendono più difficile imporre controlli centralizzati sull’impiego del modello.
GLM-5.3 arriva dopo una serie di esperimenti e incidenti che hanno mostrato quanto rapidamente stiano crescendo le capacità informatiche dei sistemi di AI: Anthropic ha documentato modelli capaci di sviluppare exploit su vulnerabilità reali; OpenAI ha riferito che alcuni suoi modelli, durante una valutazione interna, hanno concatenato vulnerabilità fino a raggiungere l’infrastruttura di Hugging Face.
Il problema non riguarda quindi la possibilità astratta che un modello scriva codice malevolo: riguarda la progressiva automazione di attività che fino a poco tempo fa richiedevano competenze specialistiche e molte ore di lavoro.
Indice degli argomenti:
Dal coding alla ricerca delle vulnerabilità
Z.ai presenta GLM-5.3 prima di tutto come un modello destinato alla programmazione. La società sostiene che il nuovo sistema abbia migliorato del 50% il risultato ottenuto da GLM-5.2 nel proprio Z.ai Code Bench e riporti prestazioni elevate anche in benchmark pubblici come Terminal Bench 3.0 e Agents’ Last Exam. I dati sono stati diffusi dalla stessa azienda e devono quindi essere distinti da valutazioni indipendenti.
La parte più significativa dell’annuncio riguarda però ciò che è successo durante il post-training, la fase nella quale un modello già addestrato viene ulteriormente specializzato attraverso esempi, feedback e reinforcement learning.
Z.ai scrive che le capacità cyber si sono sviluppate “faster than we expected”, più rapidamente del previsto. Il modello non avrebbe migliorato soltanto la capacità di individuare singoli difetti nel software: secondo l’azienda avrebbe imparato a ragionare attraverso più passaggi consecutivi, fino a costruire vere catene di sfruttamento delle vulnerabilità.
Su CyberGym, benchmark che parte dal codice sorgente e misura la capacità di identificare e verificare vulnerabilità, Z.ai attribuisce a GLM-5.3 un risultato dell’84,5%. GLM-5.2 si fermava al 77,2%. Nella stessa comparazione pubblicata dall’azienda, Mythos 5 raggiunge l’83,8% e GPT-5.6 Sol l’83,6%. Nei test più vicini allo sviluppo di exploit, Z.ai sostiene che il progresso rispetto alla precedente generazione sia ancora maggiore.
I numeri non dimostrano da soli che il modello sia superiore in ogni situazione reale. I benchmark utilizzano ambienti, criteri di valutazione e configurazioni specifiche. Indicano però la direzione dello sviluppo: i modelli generalisti più avanzati stanno diventando strumenti utilizzabili anche per analizzare software, verificare una falla e pianificare i passaggi necessari per sfruttarla.
Un modello che può lavorare anche per i difensori
Le capacità descritte da Z.ai possono avere un impiego immediato nella sicurezza difensiva. Un’impresa dispone spesso di milioni di righe di codice, applicazioni sviluppate in periodi diversi, dipendenze open source e configurazioni che cambiano continuamente. Cercare manualmente tutte le vulnerabilità è costoso e richiede personale altamente specializzato.
Un modello capace di leggere repository, individuare comportamenti anomali, verificare una vulnerabilità e proporre una correzione può ridurre una parte di questo lavoro.
Insieme a GLM-5.3, Z.ai ha infatti presentato OpenVuln, un servizio destinato alla scansione dei repository alla ricerca di falle.
Wired riferisce che anche Vercel ha sperimentato GLM-5.3 per cercare bug. Guillermo Rauch, amministratore delegato della società, ha indicato nel costo uno dei possibili vantaggi: “I expect this to be a boon for defensive security work”, ha scritto.
Il modello open-weight offre infatti un’altra possibilità: l’esecuzione su infrastrutture controllate dall’organizzazione che lo utilizza. Per aziende che gestiscono codice riservato o sistemi sensibili, mantenere dati e repository all’interno della propria rete può essere un requisito tecnico o normativo. Un modello disponibile localmente può inoltre essere utilizzato su grandi volumi di codice senza sostenere il costo di ogni singola chiamata a un servizio commerciale esterno.
Gli stessi vantaggi non appartengono però soltanto ai difensori.
Il problema del doppio uso
La ricerca delle vulnerabilità è un’attività intrinsecamente dual use. Per correggere una falla bisogna prima trovarla e comprenderla. Chi vuole violare un sistema parte dallo stesso punto e può utilizzare tecniche analoghe per arrivare a un obiettivo opposto.
Z.ai riconosce esplicitamente il problema. Nell’annuncio del modello scrive che queste capacità possono aiutare i difensori a individuare prima le debolezze e accelerare le correzioni, ma “they also create clear dual-use risks”. Per questo l’azienda ha scelto una distribuzione progressiva: inizialmente GLM-5.3 viene sottoposto a valutazione da parte di partner selezionati in ambienti controllati; i pesi dovrebbero essere pubblicati due settimane dopo il lancio, una volta concluse le verifiche previste.
La pubblicazione dei pesi cambia le possibilità di controllo. Un servizio chiuso può analizzare le richieste degli utenti, applicare filtri, sospendere account o aggiornare rapidamente le proprie misure di sicurezza. Quando un modello viene eseguito autonomamente da terzi, il produttore perde una parte significativa di quella capacità di intervento.
Il rischio cresce se il modello riesce a passare dall’individuazione della vulnerabilità alla costruzione di sequenze operative più lunghe. Un criminale informatico non deve necessariamente affidare all’AI l’intero attacco. Anche l’automazione delle fasi più lente — analisi del codice, selezione delle falle promettenti, adattamento di un exploit — può aumentare il numero di bersagli che una singola persona riesce a esaminare.
Gli esperimenti di Anthropic
Le capacità annunciate da Z.ai trovano precedenti nei test condotti da altri laboratori. Anthropic ha dedicato diversi studi del 2026 all’uso dei modelli nella cybersecurity e allo sviluppo automatico di exploit.
Nel maggio 2026 l’azienda ha pubblicato risultati ottenuti su ExploitBench ed ExploitGym, due benchmark accademici che misurano la capacità dei modelli di sviluppare exploit. Secondo Anthropic, Mythos Preview ha superato gli altri sistemi sottoposti alla stessa valutazione. L’azienda ha collegato questi risultati a una possibile riduzione delle competenze e del lavoro necessari per sviluppare exploit quando modelli della stessa classe diventeranno più disponibili.
Nei mesi precedenti Anthropic aveva inoltre documentato attività su vulnerabilità reali. In collaborazione con Mozilla, Claude Opus 4.6 aveva individuato 22 vulnerabilità di Firefox nell’arco di due settimane. Gli esperimenti pubblicati dall’azienda comprendevano anche la ricostruzione e lo sfruttamento di vulnerabilità già rese note.
Questi test mostrano perché l’arrivo di un modello aperto con capacità cyber avanzate viene seguito con attenzione dagli esperti di sicurezza. Il passaggio decisivo non consiste nella capacità di spiegare che cosa sia una vulnerabilità, funzione disponibile da anni nei chatbot, ma nell’esecuzione autonoma di sequenze sempre più lunghe: esaminare il programma, formulare un’ipotesi, testarla, correggere gli errori e proseguire fino a ottenere un risultato verificabile.
La corsa cinese ai modelli open-weight
GLM-5.3 appartiene anche a una fase di forte avanzamento dei laboratori cinesi nei modelli open-weight. Z.ai aveva già pubblicato GLM-5.2 a giugno. Nello stesso periodo Moonshot AI e Alibaba hanno portato sul mercato nuove generazioni delle famiglie Kimi e Qwen, rafforzando un’offerta che compete in diversi benchmark con sistemi statunitensi chiusi.
La disponibilità dei pesi è diventata anche un elemento della competizione industriale. Startup, sviluppatori e università possono adottare un modello aperto senza dipendere integralmente dall’interfaccia e dai prezzi stabiliti dal produttore. Possono modificarlo, specializzarlo e installarlo su hardware proprio.
Le restrizioni americane sull’esportazione verso la Cina dei chip più avanzati non hanno impedito ai laboratori del Paese di continuare a migliorare le prestazioni. Wired ricorda che Z.ai ha già dichiarato di avere utilizzato processori Huawei per addestrare alcuni dei propri modelli.
La cybersecurity rende questa competizione più delicata rispetto alla normale corsa ai benchmark di coding o ragionamento. Quando un modello acquisisce capacità operative nella ricerca e nello sfruttamento delle vulnerabilità, la scelta fra apertura e controllo riguarda direttamente la sicurezza delle infrastrutture.
Una corsa tra correzione e sfruttamento
La pubblicazione prevista dei pesi di GLM-5.3 mette quindi sullo stesso terreno due gruppi con interessi opposti. Le aziende possono utilizzare l’AI per controllare il proprio software prima che una falla venga scoperta da altri. Ricercatori e manutentori di progetti open source possono aumentare il numero di vulnerabilità analizzate. Gli aggressori possono usare capacità analoghe per cercare sistemi esposti.
Il vantaggio dipenderà anche dalla velocità di risposta. Se un modello trova una vulnerabilità in pochi minuti ma correggerla, testare la patch e distribuirla richiede giorni, l’automazione può favorire chi attacca. Se invece gli stessi strumenti vengono integrati nei processi di sviluppo e controllano il codice prima della pubblicazione, possono ridurre lo spazio disponibile agli aggressori.
GLM-5.3 rende questa competizione meno teorica. Z.ai prevede di trasformare un modello con capacità dichiarate di vulnerability discovery ed exploitation in un sistema i cui pesi potranno essere eseguiti fuori dalla propria infrastruttura. Da quel momento il problema non sarà soltanto quanto bene l’AI sappia trovare una falla, ma chi riuscirà a trovarla per primo e quanto rapidamente riuscirà a intervenire.
Partecipa alla community