Открытая модель GLM-5.2 почти сравнялась с GPT-5.5 — и ни разу не отказалась помогать хакерам

Пока OpenAI и Anthropic соревнуются в добавлении фильтров и классификаторов к своим топовым моделям, китайская GLM-5.2 от Z.ai подошла к их уровню возможностей — и обошлась почти без ограничений. Некоммерческая организация SaferAI протестировала модель на офенсив-кибератаках и биологических задачах двойного назначения: GLM-5.2 не отказала ни разу. Для сравнения — Claude Opus 4.7 отказывался настолько стабильно, что тест CyberGym на нём вообще не удалось довести до конца.

Разрыв между открытыми и закрытыми моделями в возможностях сокращается быстрее, чем ожидали. А вот разрыв в безопасности, наоборот, растёт.

Что показал тест SaferAI

SaferAI прогнала GLM-5.2 через открытое API Z.ai и сравнила результаты с GPT-5.5 и Claude Opus 4.7 по кибербезопасности и биологии. По кибер- и био-возможностям китайская модель отстаёт от лидеров всего на несколько месяцев — раньше такой разрыв измерялся годами.

Проблема не в способностях, а в том, что происходит дальше. GLM-5.2 согласилась выполнять все задачи из набора для тестирования наступательных кибератак и работы с опасной биологией. У Claude Opus 4.7 отказы были настолько частыми, что CyberGym (бенчмарк для оценки кибервозможностей, который OpenAI использовала перед недавним взломом Hugging Face) провести не удалось — модель просто блокировала слишком много запросов.

Здесь и заключён главный аргумент критиков открытых моделей: даже если разработчик встраивает защиту в свой публичный API, эта защита исчезает в тот момент, когда кто-то скачивает веса и запускает модель на своём железе. Систему промптов можно поменять, классификаторы — убрать, модель — дообучить под свои задачи. У закрытых моделей защита хотя бы теоретически контролируется поставщиком. У открытых — нет.

«Фронтир возможностей — не то же самое, что фронтир риска, поэтому нужно учитывать и состояние средств защиты, чтобы правильно оценить риск», — говорит Генри Пападатос, исполнительный директор SaferAI.

Почему закрытые модели тоже не панацея

Важная оговорка: защита в закрытых моделях далека от идеала. Некоммерческая организация Far.ai нашла сотни универсальных джейлбрейков — переиспользуемых приёмов, которые срабатывают на большинстве вредоносных запросов — во фронтир-моделях вроде Grok 4.5 от xAI и Gemini 3.1 Pro от Google DeepMind. Работают они через комбинацию приёмов: ролевые игры, имитация авторитетного источника, подделка истории диалога, серии уточняющих запросов, которые постепенно обходят защиту модели.

Разница в том, что для закрытых моделей это игра в кошки-мышки: разработчик патчит уязвимости по мере их обнаружения. Для открытых моделей такой игры нет вообще — защиту снимают один раз и навсегда, без возможности что-либо исправить со стороны компании-разработчика.

Что можно сделать до релиза, а не после

Один из рабочих подходов — фильтрация обучающих данных (pre-training data filtering): компания убирает опасную кибербезопасную и биологическую информацию из датасета ещё до тренировки модели. Для биологии это частично работает: исследования показывают, что можно снизить объём опасных знаний без потери общего качества модели.

С кибербезопасностью сложнее. Код и хакерство связаны настолько тесно, что почти невозможно обучить модель, которая отлично пишет софт, но не умеет искать в нём уязвимости. А поскольку программирование — главный источник дохода для AI-компаний сейчас, у них нет стимула резать эти возможности заранее.

Поэтому фронтир-разработчики выбирают точечные ограничения. Например, Opus 5 от Anthropic, судя по системной карточке модели, умеет искать уязвимости в исходном (некомпилированном) коде, но не в скомпилированном софте — так сложнее использовать модель для реальных атак. Другие меры — публикация оценок риска, обязательства по тестированию перед релизом, и в крайнем случае — отказ от выпуска весов, если модель признана слишком опасной.

Ничего из этого Z.ai по GLM-5.2 не сделала. SaferAI отмечает: компания не опубликовала ни safety framework, ни обязательства по предрелизному тестированию, ни оценку рисков. TechCrunch запросил у Z.ai комментарий о внутренних или внешних проверках безопасности перед выпуском модели — ответа не последовало.

Китайский взгляд на риск

На последней Всемирной конференции по ИИ председатель КНР Си Цзиньпин говорил о важности открытых моделей — и одновременно подчёркивал необходимость держать ИИ под строгим человеческим контролем. Формально позиция звучит сбалансированно, но на практике китайское регулирование ИИ исторически сфокусировано не на катастрофических рисках вроде кибератак и биологических угроз, а на политически чувствительном контенте, дезинформации и социальной стабильности — так объясняет Грэм Уэбстер, изучающий китайскую AI-политику в Stanford Cyber Policy Center.

По его словам, у части китайских исследователей политики другая логика: если где-то и возникнет по-настоящему катастрофический риск от ИИ, американские компании столкнутся с ним первыми — просто потому что они дальше на фронтире. Внутри же Китая система уверена в своей способности контролировать использование технологий: интернет там привязан к реальному имени пользователя, и компании, и отдельные люди несут ответственность за действия в сети.

Уэбстер отмечает интересную возможность: тот же механизм, которым модели отказываются обсуждать определённые политические темы в Китае, теоретически можно перенастроить и на отказы по офенсив-кибератакам или опасной биологии. Вопрос в том, станет ли это приоритетом раньше, чем открытые модели вроде GLM-5.2 разойдутся по миру без всякой фильтрации вообще.

Что дальше

Пока политики спорят, как регулировать закрытые фронтир-модели вроде GPT-5.6 Sol и Anthropic Mythos, открытые веса развиваются в параллельной реальности, где привычные рычаги контроля просто не работают. Как только модель уровня GLM-5.2 оказывается на диске у любого желающего, вопрос о безопасности API становится риторическим — веса можно перенастроить как угодно.

Дальнейшая траектория понятна: разрыв в возможностях между открытыми и закрытыми моделями продолжит сокращаться, потому что догонять всегда дешевле, чем быть первым. А вот появится ли у открытых разработчиков стимул вкладываться в безопасность так же серьёзно, как в возможности — большой открытый вопрос, ответ на который индустрия, судя по всему, будет искать методом проб и ошибок уже постфактум.

Источники

• TechCrunch: Open-weight AI models are catching up to the frontier. The safety gap remains.