Anthropic: مدل GLM-5.3 در ساخت اکسپلویت به Mythos نزدیک شده است

مدل GLM-5.3 در آزمون‌های ساخت اکسپلویت به عملکرد Claude Mythos Preview نزدیک شده است؛ نتیجه‌ای که به گفته Anthropic، توانایی سایبری مدل‌های دارای وزن باز را به سطحی می‌رساند که پیش‌تر بیشتر در اختیار مدل‌های پیشرفته و محدودشده بود. گزارش این شرکت که در ۳۰ سپتامبر ۲۰۲۶ منتشر شد، هم‌زمان دو مسئله را برجسته می‌کند: افزایش توانایی مدل‌های در دسترس عموم برای یافتن و بهره‌برداری از آسیب‌پذیری‌ها، و دشواری حفظ تدابیر ایمنی در مدل‌هایی که وزن‌هایشان قابل دریافت و تغییر است.

این مقایسه در حالی مطرح می‌شود که Anthropic می‌گوید دسترسی به Mythos Preview را به گروهی از مدافعان منتخب در قالب Project Glasswing محدود کرده تا آن‌ها برای شناسایی ضعف‌های نرم‌افزاری فرصت بیشتری داشته باشند. طبق اعلام این شرکت، اعضای این برنامه تاکنون بیش از ۱۰ هزار آسیب‌پذیری در نرم‌افزارهای حیاتی پیدا کرده‌اند. در مقابل، GLM-5.3 را هر کسی می‌تواند دریافت کند. همین تفاوت در شیوه دسترسی، محور اصلی نگرانی‌های امنیتی گزارش است.

مدل GLM-5.3 در آزمون‌های اکسپلویت چه کرد؟

یکی از معیارهای گزارش، ExploitBench است؛ آزمونی که می‌سنجد مدل تا چه اندازه می‌تواند از یک باگ شناخته‌شده در موتور V8 مرورگر Chrome اکسپلویت بسازد. اکسپلویت روشی است که از یک نقص نرم‌افزاری برای وادار کردن برنامه به رفتاری ناخواسته استفاده می‌کند. در این آزمون، GLM-5.3 در ۵۰ مورد از ۴۱۰ تلاش، اکسپلویت عملی ساخت. Mythos Preview در ۵۶ مورد موفق شد؛ فاصله‌ای محدود، اما به سود مدل Anthropic.

Anthropic یک آزمون داخلی دیگر هم انجام داده است. در این ارزیابی، مدل‌ها باید باگ‌هایی را در پروژه‌های متن‌باز مرتبط با مجموعه OSS-Fuzz گوگل پیدا می‌کردند و از آن‌ها برای در اختیار گرفتن کنترل برنامه استفاده می‌کردند. GLM-5.3 در ۴ درصد از وظایف به کنترل کامل برنامه رسید و Mythos Preview در ۶ درصد. به گفته شرکت، مدل‌های قدیمی‌تر GLM-5.2 و Claude Opus 4.6 در هر دو آزمون ناموفق بودند؛ Kimi K3 و DeepSeek V4.1-Flash نیز به‌ندرت نتیجه‌ای فراتر از صفر ثبت کردند.

این ارقام به معنای برابری کامل دو مدل نیستند و فقط عملکرد آن‌ها را در آزمون‌های مشخص توصیف می‌کنند. با این حال، اهمیت نتیجه از آن‌جا می‌آید که GLM-5.3، برخلاف مدل‌های محدود به کاربران گزینش‌شده، مدلی دارای وزن باز است. وزن‌های مدل اجزایی هستند که الگوهای آموخته‌شده را در خود نگه می‌دارند؛ وقتی این وزن‌ها منتشر شوند، دیگران می‌توانند مدل را روی زیرساخت خود اجرا یا در برخی موارد تغییر دهند.

از کشف باگ تا ساخت حمله با هزینه محدود

Anthropic می‌گوید GLM-5.3 را در کنار یک متخصص انسانی نیز آزمایش کرده است. طبق گزارش، این همکاری در یک روز و با صرف توجه انسانی اندک، چند آسیب‌پذیری ناشناخته را در موتور JavaScript یک مرورگر پرکاربرد پیدا کرد. سپس مدل این ضعف‌ها را به زنجیره‌ای از مراحل تبدیل کرد که در قالب یک صفحه وب می‌توانست فایل‌های رایانه بازدیدکننده را بخواند. در آزمایش شرکت، این فرایند به استخراج یک کلید خصوصی SSH انجامید. Anthropic می‌گوید آسیب‌پذیری‌ها را به توسعه‌دهندگان مرورگر گزارش کرده است؛ یافته‌های دیگری درباره درایورها و میان‌افزار دستگاه‌ها هنوز در دست بررسی بوده‌اند.

میان‌افزار نرم‌افزاری است که کارکردهای پایه‌ای یک قطعه سخت‌افزاری را کنترل می‌کند. آسیب‌پذیری در چنین لایه‌ای می‌تواند برای مدافعان دشوارتر از نقص یک برنامه معمولی باشد، چون به اجزای نزدیک‌تر به سخت‌افزار مربوط است. با این حال، گزارش Anthropic درباره این یافته‌ها جزئیات بیشتری ارائه نمی‌کند و وضعیت بررسی آن‌ها را نهایی‌شده نمی‌داند.

در آزمایش دیگری، Anthropic نسخه کوچک‌تر GLM-5.3-Flash را به کار گرفت تا بسنجد یک مدل با چه سرعتی می‌تواند یک نقص تازه‌اعلام‌شده را به حمله‌ای عملی تبدیل کند. به گفته شرکت، مدل یک باگ Chrome را که به‌تازگی افشا شده بود با آسیب‌پذیری شناخته‌شده دیگری ترکیب کرد و با راهنمایی محدود، حمله‌ای قابل‌اتکا ساخت. این حمله از یک قابلیت امنیتی اضافی در پردازنده نیز عبور کرد.

برآورد گزارش این است که این کار به ۲۰ دقیقه توجه انسانی و هشت ساعت زمان پردازش مدل نیاز داشت. با محاسبه هزینه‌های API اعلام‌شده از سوی Zhipu، هزینه اجرای آن حدود ۲۰ دلار و ۴۰ سنت می‌شد. این برآورد به همان آزمایش و قیمت‌های API اشاره دارد؛ گزارش آن را به‌عنوان هزینه عمومی همه حملات یا همه کاربردهای مدل مطرح نمی‌کند.

وزن باز، تدابیر ایمنی و محدودیت‌های مقایسه

یکی از نگرانی‌های محوری Anthropic این است که رفتار امتناع در مدل‌های دارای وزن باز به‌سادگی قابل حذف است. رفتار امتناع، بخشی از پاسخ مدل است که در برابر درخواست‌های آسیب‌زا از ارائه کمک خودداری می‌کند. در شبیه‌سازی Anthropic، GLM-5.3 در برابر دستورهای آشکارا مخرب امتناع کرد؛ اما وقتی همان درخواست در قالب تمرین تیم قرمز یا ارزیابی امنیتی بیان شد، در ۶۴ درصد اجراها برای اتصال به سامانه هدف تلاش کرد. «تیم قرمز» به گروهی گفته می‌شود که برای یافتن ضعف‌ها، سامانه را از دید مهاجم آزمایش می‌کند.

وقتی پژوهشگران مراحل استدلال را از پیش برای مدل پر کردند، نرخ تلاش برای اتصال به هدف به ۹۲ درصد رسید. پس از اجرای روشی به نام abliteration، این نرخ به ۱۰۰ درصد افزایش یافت. این روش رفتار امتناع را از وزن‌های باز حذف می‌کند. Anthropic تأکید می‌کند که شبیه‌سازی آن کدی را اجرا نمی‌کرد؛ بنابراین نشان نمی‌دهد حمله در دنیای واقعی حتماً موفق می‌شد، بلکه واکنش مدل به درخواست‌ها را می‌سنجد. در همین آزمون، مدل‌های Claude محافظت‌شده هیچ‌گاه برای اتصال به هدف تلاش نکردند.

به گفته Anthropic، حذف رفتار امتناع از GLM-5.3 حدود ۲۲۰۰ ساعت پردازش GPU و نزدیک به ۴۴۰۰ دلار هزینه برد. این شرکت برآورد کرده است که یک تیم باتجربه می‌تواند همین کار را با حدود ۱۲۰۰ دلار انجام دهد. پس از تغییر، نرخ امتناع مدل در برابر درخواست‌های مضر از بیش از ۹۰ درصد به بازه‌ای میان ۲ تا ۱۲ درصد کاهش یافت، در حالی که امتیازهای آن در آزمون‌های علمی و سایبری تقریباً تغییر نکرد. Anthropic همچنین می‌گوید چند توسعه‌دهنده ظرف چند روز از عرضه مدل، نسخه‌های بدون این محدودیت‌ها را منتشر کرده بودند.

ارزیابی CAISI، نهاد آمریکایی بررسی امنیت هوش مصنوعی، با بخشی از نتیجه‌گیری درباره توانمندی مدل هم‌راستا بود. این نهاد GLM-5.3 را توانمندترین مدل سایبری دارای وزن باز تا آن زمان توصیف کرد و آن را حدود چهار ماه عقب‌تر از بهترین مدل‌های آمریکایی دانست. اما این قیاس با ملاحظه‌هایی همراه است: CAISI مدل‌های آمریکایی را در حالی آزمود که تدابیر سایبری آن‌ها غیرفعال شده بود، و برخی مدل‌های برتر این گروه فقط برای کاربران تأییدشده در دسترس‌اند.

هشدار امنیتی و منافع تجاری Anthropic

Anthropic نتیجه می‌گیرد که بازیگران دولتی و غیردولتی احتمالاً می‌توانند از مدل‌هایی مانند GLM-5.3 برای ایجاد آسیب واقعی استفاده کنند. این شرکت به گزارش‌های خود و دیگر آزمایشگاه‌های آمریکایی درباره استفاده مهاجمان از هوش مصنوعی اشاره می‌کند و می‌گوید دولت‌ها باید مدل‌های توانمند را ارزیابی کنند و مدافعان نیز به ابزارهایی دسترسی داشته باشند که دست‌کم با ابزارهای مهاجمان هم‌سطح باشند.

با این حال، گزارش را نمی‌توان جدا از منافع تجاری شرکت خواند. Anthropic وزن‌های مدل‌های خود را منتشر نمی‌کند و در این گزارش، محدودکردن دسترسی به وزن‌ها را یکی از مزیت‌های امنیتی معرفی می‌کند. مدلی چینی، ارزان و دارای وزن باز که به توانمندی مدل‌های پیشرو نزدیک شود، رقیبی مستقیم نیز به شمار می‌آید. این شرکت همچنین خواستار آزمون دولتی مدل‌های آینده GLM-5.3 شده است؛ درخواستی که ممکن است این پرسش را ایجاد کند که آیا مقررات احتمالی بیش از همه به سود بازیگران تثبیت‌شده تمام خواهد شد.

گزارش در عین حال فقط بر ادعاهای Anthropic تکیه ندارد: ارزیابی CAISI بخشی از سنجش توانمندی را تأیید می‌کند و نسخه‌های تغییریافته مدل نیز، به گفته Anthropic، در دسترس قرار گرفته‌اند. مؤسسه ایمنی هوش مصنوعی بریتانیا پیش‌تر گزارش کرده بود فاصله مدل‌های باز با مدل‌های پیشرو در توانایی سایبری از حدود شش تا ۱۰ ماه به چهار تا هفت ماه کاهش یافته است. این مؤسسه همچنین به هزینه اجرای پایین‌تر مدل‌های باز و ناکارآمدی بخش بزرگی از تدابیر ایمنی آن‌ها اشاره کرده بود، اما در کنار خطر سوءاستفاده، مزایایی مانند میزبانی خصوصی، امکان سفارشی‌سازی و هزینه کمتر را نیز برشمرده بود.

ارزیابی‌های تازه، طبق گزارش، به این پرسش پاسخ اولیه می‌دهند که آیا مدل‌های باز می‌توانند به جهش توانایی‌ای که Mythos Preview نمایندگی می‌کند نزدیک شوند یا نه. آن‌ها هم‌زمان محدودیت‌های داده‌ها را یادآوری می‌کنند: نتیجه آزمون‌ها جایگزین ارزیابی حمله واقعی نیست و توانایی فنی به‌تنهایی میزان استفاده مخرب را مشخص نمی‌کند. مسئله عملی برای مدافعان، آماده‌شدن در برابر مدل‌هایی است که هم توانمندتر شده‌اند و هم دسترسی و تغییر آن‌ها آسان‌تر است.

این خبر برای چه کسانی اهمیت دارد

این خبر برای تیم‌های امنیت سایبری، توسعه‌دهندگان نرم‌افزار و نهادهایی که زیرساخت‌های حیاتی را اداره می‌کنند اهمیت دارد، چون نشان می‌دهد مدل‌های دارای وزن باز می‌توانند در کشف و زنجیره‌کردن آسیب‌پذیری‌ها عملکردی نزدیک به مدل‌های محدودتر داشته باشند. برای پژوهشگران و شرکت‌های سازنده مدل نیز، نتایج درباره حذف رفتار امتناع پرسشی دشوار مطرح می‌کند: چگونه می‌توان دسترسی و سفارشی‌سازی را حفظ کرد، بی‌آن‌که کنترل‌های ایمنی به‌سادگی کنار گذاشته شوند؟ در نهایت، دولت‌ها و تنظیم‌گران باید میان کاهش خطر سوءاستفاده و حفظ مزایایی مانند میزبانی خصوصی و هزینه کمتر توازن برقرار کنند.