14 серпня 2026 року китайська Zhipu AI випустила GLM-5.3 — і разом з моделлю оприлюднила цифру, яка за добу зібрала понад сто коментарів на Hacker News: на бенчмарку ExploitBench автономний агент навчився самостійно експлуатувати вразливості з результатом 54,4% проти 24,4% у попередньої версії GLM-5.2, а в шестигодинному прогоні розв'язує вже 130 задач на злом замість 39. Ані нової архітектури, ані більшої базової моделі за цим стрибком немає — Z.ai прямо каже, що GLM-5.3 стоїть на тій самій 743-мільярдній базі, що й GLM-5.2, а весь приріст узятий виключно з пост-тренування.

Тут і ховається питання, яке варто поставити раніше за будь-яке порівняння бенчмарків: що відбувається, коли вміння зламувати чужий код виявляється не заявленою фічею, а побічним ефектом навчання моделі краще програмувати? Z.ai назвала це прямо в заголовку релізу — «emergent cyber capabilities», можливості, що виникли самі, без окремого таргету в тренувальному пайплайні. Формулювання зручне для маркетингу, але за ним стоїть цілком перевірюваний факт: агент, натренований проходити довгі цикли «написав код → запустив → побачив помилку → виправив» у терміналі, автоматично стає непоганим агентом для циклу «прочитав чужий код → знайшов вразливість → написав експлойт → перевірив на живій цілі». Це одна й та сама навичка, застосована до двох різних цілей.

Момент для цього релізу вибраний не випадково. Американські лабораторії роками тримають можливості з «кібер-уплiфтом» під замком — Anthropic і OpenAI публічно звітують про додаткові запобіжники саме для моделей, здатних суттєво прискорити атаки, і обмежують до них доступ навіть платним корпоративним клієнтам. Z.ai натомість випускає модель з подібним профілем ризику одразу через відкритий API, а ваги обіцяє відкрити повністю вже за два тижні. Розкол у реакції спільноти на Hacker News це й відображає: одні бачать у цьому загрозу, інші — доказ того, що гейткіпінг з боку західних лабораторій просто підштовхує охочих до китайських альтернатив.

Розберімо, звідки насправді взявся цей стрибок, наскільки він реальний порівняно з Claude, GPT і DeepSeek, і що з цим сьогодні можуть — і не повинні — робити ті, хто будує продукти на LLM.

Звідки взялися ці «емерджентні» кіберможливості?

Формально GLM-5.3 — це не нова модель у сенсі архітектури, а новий чекпоінт пост-тренування поверх бази GLM-5.2. Z.ai описує процес як масштабування обчислень на більш різноманітному наборі агентних середовищ-задач, побудованих на власній інфраструктурі компанії — фреймворках IndexShare, SAO та Slime, які відповідають за генерацію та відбір тренувальних траєкторій для reinforcement learning. Це той самий підхід, який останні два роки рухає всю індустрію: не «вирощувати» модель більшою, а виснажливо доучувати вже готову базу на задачах з перевіркою результату виконанням — тести пройшли чи ні, термінальна сесія завершилась успіхом чи крахом.

Різниця в цифрах між GLM-5.2 і GLM-5.3 показує, наскільки далеко можна заїхати на самому пост-тренуванні без зміни бази. На Terminal-Bench 3.0 результат виріс із 4,6 до 28,3 — це не інкрементальне покращення, а зміна порядку величини. DeepSWE v1.1 піднявся з 46,2 до 66,9, Agents' Last Exam у CLI-режимі — з 23,8 до 28,5. За внутрішнім Z.ai Code Bench компанія заявляє 50-відсоткове покращення кодингу відносно GLM-5.2.

Кіберспроможність у цій історії — не окрема лінія тренування, а побічний продукт саме агентного кодингу. Задачі на пошук вразливостей і написання експлойтів структурно ідентичні задачам на дебаг: модель має прочитати великий обсяг незнайомого коду, побудувати гіпотезу про те, де саме логіка ламається, написати перевірку цієї гіпотези і виконати її в реальному середовищі, ітеруючи за результатом. Тренуй агента на мільйонах таких циклів у контексті «полагодь баг» — і він стає непогано вміти «знайди баг, якого там ще не помітили».

Як GLM-5.3 навчили ламати чужий код під капотом?

Пост-тренування без нової бази

Технічно GLM-5.3 працює у трьох режимах «думання» — low, high, max, — і, на відміну від попередніх версій GLM, повністю вимкнути ланцюжок міркувань тепер не можна. Це промовисте архітектурне рішення: для довгих агентних сесій, де модель сама вирішує, коли зупинити пошук і перейти до дії, керована верифікація власних кроків через reasoning-токени стає частиною механізму надійності, а не опційною надбудовою. Без неї автономний агент, що працює годинами без нагляду людини, значно частіше застрягає в петлях або видає хибнопозитивні «знахідки».

Від CTF-вправ до реальних CVE

Замість того щоб обмежитися синтетичними тестами, Z.ai прогнала GLM-5.3 по 269 реальних відкритих проєктах і отримала 2436 потенційних вразливостей, з яких 1097 оцінені як critical або high severity. 53 з них уже отримали публічні ідентифікатори CVE, решта перебуває під ембарго відповідального розкриття до моменту публікації патчів; найстаріший знайдений баг сидить у коді, написаному ще 1981 року. Це принципово інший тип доказу порівняно з абстрактним відсотком на бенчмарку — компанія показує не «модель вміє в теорії», а список реальних програмних продуктів, у яких вона знайшла реальні діри.

Саме тут працює бенчмарк ExploitGym — таймований тест на повний ланцюжок «знайти вразливість → написати робочий експлойт → підтвердити виконанням проти живої цілі» в межах фіксованого вікна часу. За два години GLM-5.3 закриває 105 задач проти 29 у GLM-5.2, за шість годин — 130 проти 39. Це вчетверо-вп'ятеро вищий темп при тому самому бюджеті часу, і саме ця крива, а не абсолютне число, найбільше турбує людей, які пишуть про ризики моделі.

Чим GLM-5.3 відрізняється від GPT, Claude і DeepSeek?

Найважливіше уточнення: GLM-5.3 — лідер серед відкритих моделей, а не серед моделей узагалі. На власному Z.ai Code Bench вона набирає 31,4% — це вище, ніж 29,5% у Claude Opus 4.8 за порівнюваних умов, але помітно нижче за 39,5% у Claude Fable 5. На Terminal-Bench 3.0 і DeepSWE вона все ще відстає від GPT-5.6 Sol. Тобто «frontier coding» у заголовку релізу означає «фронтир серед відкритих ваг», а не обхід закритих лідерів по всій лінійці.

У кіберпрофілі картина цікавіша. На CyberGym GLM-5.3 показує 84,5% — трохи вище за спеціалізовану Mythos 5 і GPT-5.6 Sol. Але на ExploitGym, тесті на повний цикл автономної експлуатації, Mythos 5 усе одно розв'язує 181–247 задач проти 105–130 у GLM-5.3 — розрив, який показує, що на найглибших offensive-задачах закриті фронтир-моделі поки тримають перевагу. Дещо незалежне підтвердження дає команда Semgrep, яка тестувала GLM-5.2 (попередника) на власному бенчмарку виявлення IDOR-вразливостей: серед моделей без спеціального інструментального обвісу відкрита GLM-5.2 обійшла Claude Opus 4.8 за F1-метрикою (39% проти 53% у мультимодального Semgrep-харнеса на Opus, але вище за «голий» Claude Code) при ціні приблизно $0,17 за знайдену вразливість — приблизно вшестеро дешевше фронтир-моделей. Semgrep сама застерігає: порівняння не зовсім apples-to-apples, бо їхній кастомний харнес давав перевагу власним інтеграціям, а відкриті моделі тестувалися майже без обвісу — і все одно виграли.

Ширший контекст: поле відкритих китайських моделей у середині 2026 року вже не про одинокого DeepSeek. У порівняльні таблиці Z.ai потрапляють DeepSeek-V4 Pro і Kimi K3 від Moonshot — це вже конкурентний ринок з кількома командами, які женуться за одним і тим самим показником «максимум agentic-можливостей на долар обчислень». Структурна відмінність GLM-5.3 від Claude і GPT — не в цифрах бенчмарків, а в тому, що її ваги стануть публічно завантажуваними приблизно через два тижні після релізу, тоді як фронтир-моделі американських лабораторій залишаються доступні лише через контрольований API з можливістю модерації запитів і відкликання доступу.

Що це дає тим, хто будує на GLM-5.3 просто зараз?

Поки ваги не опубліковані, доступ є тільки через API Z.ai та GLM Coding Plan — саме туди модель і викотили всім наявним підписникам одразу в день релізу. Але вже зараз проглядаються три практичні сценарії використання.

Безперервне сканування власного стеку

Команди безпеки можуть прогнати GLM-5.3 пакетно по своєму дереву залежностей або внутрішньому кодовому репозиторію — доказова база у вигляді 2436 знахідок у 269 реальних проєктах і економіка на кшталт $0,17 за вразливість (з попередньої версії, за оцінкою Semgrep) роблять таку безперервну перевірку суттєво дешевшою за регулярний ручний пентест або дорогі API-виклики до Claude чи GPT у великому обсязі.

Довгі агентні CLI-сесії

Стрибок на Terminal-Bench 3.0 з 4,6 до 28,3 напряму мапиться на автономних кодинг-агентів, які годинами тримають один термінальний сеанс: збірка, тести, дебаг, знову збірка. Команди, що будують власні coding-агенти на відкритих вагах — з міркувань комплаєнсу, локалізації даних або просто вартості — отримують базу, яка в цьому конкретному навику підтягнулася значно ближче до Claude і GPT, ніж рік тому.

Пентест і red-team там, де немає бюджету на фронтир-контракт

Саме цей сценарій найгучніше обговорювали на Hacker News: організації й дослідники, у яких немає доступу до розширених можливостей закритих моделей (через ціну, юрисдикцію або політику постачальника), отримують відкриту альтернативу, яку можна самостійно розгорнути для симуляції атак на власну інфраструктуру. Це легальний і корисний кейс — але саме він же є дзеркальним ризиком, про який нижче.

Що може піти не так із моделлю, яка сама шукає експлойти?

Головна проблема — не сьогоднішні 54,4% на ExploitBench, а траєкторія. За один цикл релізу показник подвоївся, кількість розв'язаних задач ExploitGym зросла в 3–4 рази при тому самому бюджеті часу. Дослідники з ThreatLocker, які раніше аналізували профіль ризику GLM-5.2, описують конкретний перелік можливостей автоматизації: генерацію фішингового контенту, модифікацію шкідливого коду, автоматизацію розвідки цілі, збірку ланцюжків експлойтів і планування бокового руху всередині вже скомпрометованої мережі. Важливо чесно сказати: жодних задокументованих масових атак із використанням GLM у відкритих джерелах поки немає — ризик наразі попереджувальний, а не реалізований. Але аргумент ThreatLocker простий: ШІ тут — примножувач наявної навички зловмисника, а не її замінник, і фундаментальні захисти (Zero Trust, обмеження того, що атакуючий може зробити вже опинившись у мережі) не втрачають актуальності незалежно від того, наскільки розумний інструмент атакує.

«Introducing GLM-5.3: Built to Code. Ready for Cyber Defense» — так Z.ai сформулювала позиціонування релізу у власному анонсі, свідомо обравши оборонну рамку для можливості, яка технічно симетрична для атаки й захисту.

На Hacker News скепсис спрямований інакше — на саму методологію заявлених результатів. Частина коментаторів характеризує GLM-5.3 просто як «GLM-5.2 з post-training магією» і ставить питання, чи не є заявлені відсотки результатом підгонки під власні бенчмарки компанії, яка контролює і тренування, і публікацію цифр. За даними HN 100+, спільнота водночас визнає модель «вільною» і економічно вигіднішою за платних конкурентів, але наголошує, що для реального самостійного запуску потрібні серйозні обчислювальні ресурси — 743-мільярдна база не поміщається на споживацьке залізо.

Окрема проблема — керованість після публікації ваг. Z.ai обіцяє випустити відкриту версію «після оцінки безпеки та додаткового зміцнення», але на відміну від закритих API, де провайдер може відкликати доступ або модерувати запити пост-фактум, відкриті ваги такого механізму не мають у принципі: щойно файл опубліковано, будь-яке подальше рішення про безпечне використання лягає на того, хто модель запускає локально, а не на розробника. Зовнішнього аудиту цього процесу, порівнянного з публічними Responsible Scaling Policy у Anthropic, у Z.ai поки не існує.

Висновок AiiN

GLM-5.3 — не поодинокий інцидент, а підтвердження тренду, який варто відстежувати уважніше за конкретну модель: reinforcement learning на довгих агентних циклах виконання коду системно виробляє офензивні можливості як побічний продукт, незалежно від того, чи ставила лабораторія собі за мету навчити модель хакерству. Це означає, що «емерджентні кіберможливості» перестануть бути винятковою новиною вже за кілька релізних циклів — і Z.ai, судячи з формулювання власного анонсу, це прекрасно розуміє й свідомо обирає рамку «готова до кіберзахисту», а не «здатна до атаки».

Практична порада для тих, хто будує продукти зараз: використовувати GLM-5.3 сьогодні варто саме за доведеною сильною стороною — агентний кодинг і дешеве масове сканування власного коду на вразливості, — а не як готовий інструмент офензивної безпеки, бо на найглибших задачах (ExploitGym) вона все ще помітно відстає від Mythos 5 і закритих фронтир-моделей. Справжня точка перегину настане не сьогодні, а орієнтовно наприкінці серпня 2026 року, коли ваги стануть публічно завантажуваними — саме цей момент варто моніторити, бо він змінює модель загроз із «доступ через контрольований API» на «будь-хто з достатнім залізом запускає модель локально без жодної модерації».

На горизонті 6–12 місяців редакція AiiN очікує трьох речей одразу. По-перше, подібні заяви про «емерджентні» офензивні здібності стануть регулярним пунктом реліз-нотаток великих лабораторій — це вже не сенсація, а очікуваний побічний ефект, про який варто звітувати превентивно. По-друге, тиск із боку спільноти розробників (видимий уже зараз на Hacker News) підштовхуватиме закриті американські лабораторії або послаблювати гейткіпінг навколо кіберспроможностей для перевірених корпоративних клієнтів, або чіткіше пояснювати, чому цього не роблять, — інакше потік power-users до відкритих китайських альтернатив лише прискориться. По-третє, розрив між відкритими й закритими моделями на найглибших offensive-бенчмарках (ExploitGym, ExploitBench) звузиться, але навряд чи повністю зникне за рік: пост-тренування без зміни бази вже дало найлегші перемоги, а для наступного стрибка знадобиться або новіша база, або принципово інший підхід до тренувальних середовищ.