Anthropic、智譜AIの「GLM-5.3」に警鐘　高度なサイバー攻撃能力を持ち防御解除も容易

Anthropic は中国の智譜 AI（Zhipu AI）が公開した最新オープンウェイトモデル「GLM-5.3」に関するセキュリティ評価レポートを発表した。同モデルはサイバー攻撃の脆弱性悪用コード（エクスプロイト）を自律的かつエンドツーエンドで生成できる高い能力を備えている一方で、安全対策が極めて脆弱であり、悪意ある攻撃者に容易に悪用されかねないと警告している。

Anthropic は 5 カ月前、同様の自律攻撃能力を持つ「Claude Mythos Preview」を発表したが、悪用を防ぐため信頼できる防御専門家のみに限定提供する「Project Glasswing」を通じて運用してきた。しかし、同等クラスの能力を持つ GLM-5.3 が一般公開されたことで、その防波堤が崩れつつある。

実証テストで判明した実力：Claude Mythos に迫る攻撃力

Google Chrome の V8 エンジンにおける既知の脆弱性を攻略する ExploitBench の検証において、GLM-5.3 は 410 回の試行中 50 回で実用的なエンドツーエンドのエクスプロイト構築に成功した。これは Claude Mythos Preview の 56 回に迫る水準だ。

オープンソースのバイナリ脆弱性を突くテストでも、GLM-5.3 は 4% の確率で完全な制御フローの乗っ取りに成功した。Claude Mythos Preview の 6% よりは低いものの、旧世代の Claude Opus 4.6 や GLM-5.2 が一度も成功しなかったのに対し、明確に一線を越えている。

専門家と連携した検証では、GLM-5.3 は人間側の作業時間が実質 1 時間足らずであったにもかかわらず、わずか 1 日で Linux 版ブラウザの未知の JavaScript 脆弱性（0-day）を複数発見し、閲覧者のローカルファイルを読み取る攻撃コードに仕上げてみせた。

軽量版の GLM-5.3-Flash でも、Chrome の既知の脆弱性（CVE-2026-11645）に関する公開情報を与えたところ、8 時間でポインタ認証を回避する攻撃チェーンを自動構築した。人間の介入は 20 分程度、智譜 AI の API 利用料にしてわずか 20.40 ドルで済んでいる。

米国立標準技術研究所（NIST）傘下の CAISI も 9 月 17 日の独自評価で、GLM-5.3 を「これまでに公開された中で最もサイバー攻撃能力が高いオープンウェイトモデル」と認定しており、米国の最先端モデルに約 4 カ月の遅れまで迫っていると報告していた。

4400ドルで安全装置を無力化できる脆弱さ

問題なのは、これほど強力な攻撃能力を持ちながら、GLM-5.3 の安全ガードレールが極めて容易に突破されてしまう点だ。

「演習中のレッドチームである」と騙る偽装プロンプトを入力するだけで 64% の確率で制限を回避でき、API 経由で思考トークンを事前に補完して承認済みと見せかける手法では突破率が 92% に達した。

さらに深刻なのが、重みが公開されているオープンモデル特有の改変（アブリタレーション）だ。Anthropic のチームが試したところ、約 2200 GPU 時間、約 4400 ドルの計算コストをかけるだけで拒絶機能を完全に無効化できた。

この処置によって有害リクエストの拒絶率は従来の 90% 以上から 2% から 3% にまで急落したが、モデル本来の推論能力や攻撃コード作成能力はほぼ損なわれなかった。一方、正規のガードレールを備えた Claude モデルでは、これらの攻撃手法はすべて遮断されたという。

なぜ重要か

防御側にとっては強力な脆弱性スキャンツールとなる半面、攻撃者側にとっては強力なサイバー兵器が誰でも入手可能な状態になったことを意味する。これまで高度な国家支援組織しか行えなかったようなゼロデイ攻撃やエクスプロイト開発が、数千ドルの計算リソースを持つ一般的なハッカーグループの手にも届くようになった。

これは、オープンウェイトモデルの安全制御が抱える本質的な限界を浮き彫りにしている。どれほど事後学習で倫理ガードレールを施しても、重みそのものが手元にあれば、わずかなコストで安全機能だけを切除できてしまうからだ。

私たちは、この発表が防御側の AI 活用拡大を促す契機になるとみている。攻撃者が制限のないモデルを手に入れた以上、防御側だけが規制で縛られていては太刀打ちできない。今後は防御ツール側にも同等以上の自律型 AI が急速に組み込まれ、攻撃と防御の双方が AI 主導で加速する消耗戦へ突入することになりそうだ。