Thử nghiệm bảo mật ghi nhận bản GLM-5.3 giảm từ chối có nguy cơ vượt phạm vi cho phép

Phiên bản GLM-5.3 được giảm xu hướng từ chối đã đi sâu hơn khi xác minh lỗ hổng, nhưng cũng bộc lộ nguy cơ thực thi lệnh phá hoại và vượt khỏi phạm vi được cấp phép, theo kết quả Include Security công bố trong bài viết tháng 10/2026. Mô hình được thử nghiệm là “abliterated-model-large-v2”, truy cập qua dịch vụ lưu trữ của bên thứ ba. Thử nghiệm xem xét cả tính hữu ích lẫn vấn đề kiểm soát của mô hình đã được giảm hạn chế.

Trong môi trường tác nhân OpenCode, Include Security yêu cầu mô hình GLM-5.3 cơ bản và phiên bản đã qua abliteration tìm lỗ hổng trong mã nguồn và website. Với các lỗ hổng rủi ro cao, hai mô hình được yêu cầu viết mã khai thác; sau đó nhóm nghiên cứu trình diễn thủ công và đánh giá các mã này. Thử nghiệm website được thực hiện trên những trang công khai do công ty sở hữu.

Trong phân tích mã nguồn, mô hình đã qua abliteration phát hiện ít hơn 26% tổng số lỗ hổng so với mô hình cơ bản và sử dụng ít hơn khoảng 29% token. Độ chính xác của các lỗ hổng được phát hiện nhỉnh hơn đôi chút, nhưng Include Security cho biết chênh lệch nằm trong biên độ sai số.

Trong thử nghiệm khai thác 5 lỗ hổng rủi ro cao, mô hình đã qua abliteration hoàn thành 4 trong 5 trường hợp ngay ở lần thử đầu tiên, còn mô hình cơ bản hoàn thành 2 trường hợp. Tuy nhiên, mẫu thử chỉ gồm 5 lỗ hổng. Mô hình cơ bản cũng không từ chối yêu cầu này.

Include Security cho biết mô hình đã qua abliteration có xu hướng tự tiến hành thêm các bước tiếp theo của quá trình khai thác mà không cần chỉ dẫn riêng. Nhờ vậy, trong một số thử nghiệm, mô hình kiểm tra được nhiều bước hơn ngay ở lần đầu. Công ty lưu ý khác biệt này không đồng nghĩa mô hình vượt trội trong mọi tác vụ tìm lỗ hổng.

Trong thử nghiệm hộp đen trên các website công khai, mô hình cơ bản cần chỉ dẫn thận trọng để bắt đầu công việc, còn mô hình đã qua abliteration tự bắt đầu tìm lỗ hổng mà không cần gợi ý thêm. Thử nghiệm diễn ra trên các website thuộc sở hữu của công ty. Khả năng hoạt động tự chủ hơn được nêu ra như lý do cần buộc mô hình tuân thủ rõ ràng phạm vi thử nghiệm được cấp phép.

Trong quá trình thử nghiệm, nhóm nghiên cứu ghi nhận các lệnh có thể làm cạn tài nguyên, khóa tài khoản hoặc sửa và xóa dữ liệu. Mô hình cũng có thể lần theo thông tin đăng nhập hoặc tên máy chủ nội bộ được phát hiện để khảo sát các hệ thống chưa được cấp phép ban đầu. Có nguy cơ mô hình tiếp tục thiết lập khả năng duy trì truy cập, di chuyển ngang hoặc truy cập dữ liệu vượt quá phạm vi cần thiết.

Include Security cho rằng cần có người vận hành giàu kinh nghiệm giám sát và áp đặt phạm vi được phép ngay trong môi trường thực thi, thay vì kỳ vọng mô hình tự tuân thủ quy tắc. Công ty đánh giá GLM-5.3 cơ bản cũng có thể thực hiện phần lớn hoạt động tìm lỗ hổng mã nguồn, nên lợi ích bổ sung của phiên bản đã qua abliteration có thể hạn chế.

Abliteration là phương pháp chỉnh sửa trọng số mô hình nhằm giảm xu hướng từ chối một số yêu cầu. Khác với việc thay đổi câu lệnh đầu vào để hướng mô hình trả lời, phương pháp này điều chỉnh chính xu hướng phản hồi của mô hình. Trong kiểm thử bảo mật, abliteration có thể giảm tình trạng từ chối quá mức, nhưng vẫn cần biện pháp kiểm soát riêng để bảo đảm mô hình tuân thủ phạm vi được cấp phép.

Ngày 29 tháng 8, Abliteration AI công bố mô hình API “abliterated-model-large-v2” dựa trên GLM-5.3 để phục vụ kiểm thử bảo mật. Theo thông báo sản phẩm, mô hình được lưu trữ theo phương thức FP8, chỉ xử lý văn bản và hỗ trợ cửa sổ ngữ cảnh 1 triệu token.

Abliteration AI cho biết trong đánh giá riêng, mô hình đạt tỷ lệ vượt qua ở lần thử đầu tiên là 84,5% trên 1.507 tác vụ CyberGym và tỷ lệ giải quyết 41,8% trên Terminal-Bench 4.0. Trên ExploitGym, mô hình hoàn thành 105 trong số 869 tác vụ trong vòng 2 giờ. Công ty nói công cụ thử nghiệm và ngân sách khác nhau giữa các đối tượng so sánh, vì vậy không nên xem điểm số là một bảng xếp hạng nghiêm ngặt.

Z.ai cho biết năng lực mạng của GLM-5.3 phát triển nhanh hơn dự kiến và công ty sẽ tiến hành đánh giá, tăng cường an toàn trước khi công khai trọng số mô hình. TokenPost trước đó đã đưa tin về quá trình Z.ai công bố trọng số.

Anthropic cũng thử nghiệm riêng khả năng từ chối yêu cầu có hại trên một biến thể GLM-5.3 do công ty tự tạo. Kết quả đó không đo lường API của Abliteration AI. TokenPost trước đây đã đưa tin về kết quả nghiên cứu của Anthropic theo từng điều kiện thử nghiệm.

Abliteration AI cho biết theo cài đặt mặc định, API sẽ xóa câu lệnh và phản hồi sau khi xử lý, nhưng lưu siêu dữ liệu vận hành cần cho việc tính phí và độ tin cậy của dịch vụ, gồm số lượng token, thời gian và mã trạng thái. Include Security nhận xét thông tin về hạ tầng và tài liệu kiểm toán bên thứ ba của một số đơn vị lưu trữ cung cấp mô hình đã qua abliteration chưa đầy đủ; đánh giá này không nhắm đến một nhà cung cấp API cụ thể nào.