Anthropic、GLM-5.3のサイバー攻撃能力を警告

誰でも入手可能なオープンウェイトモデルで高度なエクスプロイト自動生成が可能に

米Anthropic（安全性に配慮したAIモデルClaudeを開発する米国のAI研究企業）の研究チームは、中国Zhipu AI（智譜AI / Z.ai）が公開したオープンウェイトモデル「GLM-5.3（中国Zhipu AIが公開した大規模オープンウェイト基底モデル）」に関するセキュリティ調査レポートを発表した。GLM-5.3はソフトウェアの深刻な脆弱性を自律的に探索し、エンドツーエンドで実動するエクスプロイト（ソフトウェアの脆弱性を悪用して不正な動作を行わせるための実証攻撃プログラム）を生成できる高度な能力を持つ一方、悪用を防ぐためのセーフガードが容易に回避可能であると警告している。

ベンチマーク評価と実証実験で確認された攻撃能力

Anthropicの検証によると、GLM-5.3の攻撃コード作成能力は、同社がProject Glasswingを通じて限定公開した「Claude Mythos Preview」に匹敵する水準に達している。

• ExploitBench（Google Chrome V8脆弱性）​: 410回の試行中50回（12%）でエンドツーエンドのエクスプロイト構築に成功（Mythos Previewは56回/14%）。旧世代モデル（Claude Opus 4.6やGLM-5.2）はほぼ0%であったのに対し、明確な性能の飛躍が確認された。
• ​未知の脆弱性（0-day）の連鎖攻撃​: 人間のセキュリティ専門家が支援する環境下で、Linux版WebブラウザのJavaScriptエンジンに潜む複数の未知の脆弱性を発見し、訪問者のコンピュータからSSH秘密鍵（id_rsa）を窃取する実動攻撃コードを1日足らずで構築した。
• ​既知の脆弱性（N-day）の高速兵器化​: 軽量版モデル「GLM-5.3-Flash」を用い、Chromeの既知脆弱性（CVE-2026-11645）のパッチ情報からARM64向けの攻撃チェーンを生成。人間の作業時間はわずか20分、APIコストは約20.40ドルにとどまった。

回避手法とセーフガード耐性の比較

Anthropicは、GLM-5.3の安全対策が簡単な手法で無力化できる実態を明らかにした。

回避・攻撃手法	GLM-5.3の攻撃指示実行率	対策内容・Claudeとの差異
​直接的な攻撃指示​	0%（標準で拒絶）	基本的なセーフガードにより拒否
​虚偽の目的（レッドチーム演習等）​	64%が指示を実行	Claudeモデルは虚偽プロンプトを検知して遮断
​思考トークンの事前入力（Prefill）​	92%が指示を実行	Anthropic APIでは思考トークン事前入力は不可
​重み修正（アブリタレーション）​	100%が指示を実行	重み非公開のClaudeではアブリタレーション不可

米国立標準技術研究所（NIST）のCAISIも「GLM-5.3はこれまでリリースされたオープンウェイトモデルの中で最もサイバー能力が高い」と評価しており、米国最先端モデルからわずか約4ヶ月遅れの位置にあると報告している。

サイバー防御への影響と安全ガバナンスの課題

編集部注: 先端モデルのサイバー能力は、システムの脆弱性を修復する「防御側（ディフェンダー）」にとっても不可欠な武器となる。しかし、オープンウェイト形式で提供されるモデルは、一度重みが出回るとアブリタレーション等の手法で制約を完全に除去できるため、悪意ある攻撃者の参入障壁を劇的に引き下げる諸刃の剣となる。政府機関による独立した安全性評価の制度化と、防御側が最先端の防衛AIツールへ早期アクセスできる枠組みの整備が急務となっている。

引用元：Anthropic | GIGAZINE | The Decoder