Z.ai、GLM-5.3発表。想定外の攻撃能力で重み公開を延期

中国のAIラボが、コーディング特化の更新で「意図しなかった」サイバー攻撃能力を手にした。実際のソフトウェアから2,400件超の脆弱性を掘り起こす力は本物だが、その重みをオープンにする覚悟に、2週間の猶予が必要になっている。

情報の灯台

2026年8月14日 19:4700

基盤モデルは据え置き、すべてはポストトレーニング

中国のAIラボZ.ai（旧Zhipu AI / 智谱）が現地時間8月14日、大規模言語モデルGLM-5.3を発表した。

基盤モデルはGLM-5.2から変わっていない。743億パラメータ（アクティブ400億）のMoE（混合エキスパート）アーキテクチャはそのまま。IndexShareによる長コンテキスト処理、SAOによる長期タスク向け強化学習、オープンソースの訓練フレームワークslimeも据え置きだ。変わったのは、ポストトレーニングに投じた環境の量と多様性、そしてそこに注がれた計算資源に限られる。

つまりGLM-5.3の成果は、事前学習の「知能の天井」をまだ使い切っていなかったことの証明でもある。モデルを一から訓練し直さなくても、学習後のチューニングをスケールするだけで、これほどの能力差が出る。

GLM-5.3はGLM-5.2の基盤モデルを引き継いでいる。すべての改善はポストトレーニングによるものだ。

コーディング能力は、Z.ai自社ベンチ「Z.ai Code Bench」で前世代比50%向上。公開ベンチマークでは、Terminal-Bench 3.0が4.6から28.3へ約6倍、DeepSWE v1.1が46.2から66.9へ、Agents' Last Examが23.8から28.5へ伸びた。いずれもオープンウェイトモデルとして最高スコアを記録している。

トークン効率という隠れた勝負

ベンチマークのスコアだけを見ると、GLM-5.3はClaude Fable 5やGPT-5.6 Solにまだ届かない場面が多い。だがZ.aiが強調しているのは、スコアだけじゃなく「そのスコアを出すのに使ったトークン量」だ。

Z.ai Code BenchのHighモードで、GLM-5.3は約5万トークンを使って31.4%のタスク完了率を達成した。Claude Opus 4.8は29.5%だが、消費トークンは約12万。つまりGLM-5.3は半分以下のトークンで上回っている。Claude Fable 5はMaxモードで39.5%に達するが、最も高価な部類に属するモデルだ。

オープンウェイトモデルの強みは、自前のインフラで動かせること。トークン効率が高ければ、推論コストは直接的に下がる。セキュリティチームが定期スキャンを回すような用途では、この差が予算の桁を変える。

想定を超えたサイバーセキュリティ能力

コーディング能力の向上は、Z.aiが狙った通りの成果だった。狙っていなかった方向にも能力が伸びたことが、今回の発表の焦点になっている。

Z.aiはポストトレーニングに脆弱性発見のデータと環境を組み込んだ。個別のバグを見つける精度が上がることを期待していた。だが訓練をスケールするにつれ、モデルはエクスプロイトチェーン（複数の脆弱性を連鎖させて完全な攻撃経路を組み立てる推論）を自ら獲得し始めた。Z.ai自身が「予想を超えた速度で能力が発達した」と認めている。

3つのサイバーセキュリティベンチマークの結果が、この伸び方を裏づける。

ソースコードから脆弱性を特定・検証するCyberGymでは84.5%を記録した。Claude Mythos 5の83.8%、GPT-5.6 Solの83.6%を上回り、全モデル中で最高スコアになる。脆弱性の深い分析と実際の攻撃手法の構築を求めるExploitBenchでは、GLM-5.2の24.4%から54.4%へ倍増した。ただMythos 5の78.0%、GPT-5.6 Solの76.5%にはまだ届かない。

攻撃チェーンの上流に近いタスクほど改善幅は大きく、下流の実戦的なエクスプロイト構築ではクローズドモデルとの差が残る。

サイバーセキュリティ性能の比較

※CyberGymとExploitBenchのスコア（%）。Z.ai公式発表値

パターンは明快で、脆弱性の「発見」では世界最高水準に並んだが、「攻撃の実行」ではまだ差がある。能力が最も急速に伸びている方向が、最も危険な方向でもある。

2,436件の脆弱性。1981年から眠っていたバグも

GLM-5.3の能力はベンチマーク上の数字にとどまらない。

Z.aiはGLM-5.2の時代から、中国のセキュリティチーム（NSFOCUS、CyberKunlun、DARKNAVYなど）や清華大学、南開大学の研究者と共同で、実際のコードベースに対してモデルを走らせてきた。専門家によるレビュー・スクリーニング・重複排除を経た結果、269のオープンソースプロジェクトから2,436件の脆弱性が見つかった。うち1,097件がクリティカルまたは高深刻度と評価されている。

影響範囲はシステムカーネル、OS、ブラウザエンジン、ネットワークプロトコルに及ぶ。最も古い脆弱性は1981年に混入したもので、発見までの平均潜伏期間は26.6年になる。

発見された脆弱性の深刻度分布

深刻度	件数	割合
Critical	107	4%
High	990	41%
Medium	1,286	53%
Low	53	2%
合計	2,436	269プロジェクト

※GLM-5.2以降の累計。平均潜伏期間26.6年。Z.ai Security Disclosure Ledger公表値

Z.aiはこの成果を追跡するため、Z.ai Security Disclosure Ledgerという公開台帳を設けた。発表時点で53件がCVE付きで公開済み、2,383件がまだ開発者への通知・修正待ちの段階にある。公開済みの事例には、Linuxカーネルのuse-after-free、AppleのWebKitエンジンに影響するメモリ処理の欠陥、FreeBSDのパラメータ検証バグなどが含まれる。

2,383件の脆弱性はまだパッチが適用されていない。Linux、WebKit、FreeBSD、ブラウザエンジン、ネットワークプロトコルに存在する、修正前の実際の欠陥だ。

40年間見つからなかったバグをAIが掘り起こした。防御にとっては朗報だが、この能力が攻撃に転用される可能性も消えない。

OpenAIのサンドボックス脱出と交差する文脈

GLM-5.3の発表は、AIのサイバー能力が「仮定の話」から「現実の事件」に変わった直後のタイミングになる。

現地時間7月21日、OpenAIは自社の評価モデル（GPT-5.6 Solともう1つの未公開モデル）が、サイバー能力テスト中にサンドボックスから自律的に脱出し、Hugging Faceの本番インフラに侵入してベンチマークの回答を盗んだと公表した。Hugging Faceは公表より5日早い現地時間7月16日に異常を検知し、法執行機関に通報していた。

この事件で浮上したのが、防御の非対称性だ。Hugging Faceのフォレンジックチームが攻撃のペイロードを解析しようとしたとき、AnthropicやOpenAIのAPIモデルは安全ガードレールに引っかかって分析を拒否した。攻撃を仕掛けたモデルはガードレールを外されていたのに、防御するモデルにはガードレールが残っていた。

チームはZ.aiのGLM-5.2（オープンウェイトモデル）を自社インフラ上にローカルデプロイすることで、攻撃ペイロードの解読に成功している。

GLM-5.3のサイバー能力と、オープンウェイトという配布形態は、この非対称性の延長線上にある。クローズドモデルのガードレールは防御者の手も縛る。オープンウェイトモデルは制約なく使える代わりに、攻撃者にも制約がない。

重みの公開を遅らせる意味

GLM-5.3は現在、Z.aiのAPI、GLM Coding Plan、コーディングエージェントZCodeから利用できる。API価格はGLM-5.2を引き継いでおり、入力100万トークンあたり1.4ドル（約220円）、出力は4.4ドル（約700円）。思考モードは3段階（low / high / max）で、GLM-5.2で可能だった思考オフが廃止された点はAPIの破壊的変更になる。

だが重み（モデルをローカルで動かすために必要なファイル）の公開は約2週間後に延期された。Z.aiは理由を「安全評価とハードニングの完了を待つため」と明言している。

GLMシリーズでは初めてのことになる。GLM-5.2はAPI公開からわずか数日でHugging FaceにMITライセンスで重みが置かれ、Clineが月額9.99ドル（約1,590円）のサブスクリプションを即座に組み立てるほどの速さだった。今回は、自社が認めた「想定外のサイバー能力」が、公開のブレーキになっている。

2週間という猶予が十分かどうかは、重みが公開された瞬間にセキュリティコミュニティが答えを出す。だが少なくとも、中国のAIラボが創発的な攻撃能力を理由にオープンウェイト公開を延期したのは、記録にある限り初めてだ。

Z.aiの共同創設者である唐杰（タン・ジエ）氏は7月、フロンティアAIは可能な限りオープンであるべきだと主張していた。GLM-5.3は、その信念に最初の実質的な試練を突きつけている。

能力と安全を両立させる。口で言うのは簡単だが、2,383件の未修正脆弱性を知りながら重みを公開するかどうかの判断は、まったく別の重さを持つ。