GLM-5.3: China's open AI-model ontwikkelde voor $20 een Chrome-exploit

Anthropic publiceerde dinsdag een rapport over GLM-5.3, het nieuwste taalmodel van de Chinese ontwikkelaar Z.ai, voorheen bekend als Zhipu AI. Het model kan zelfstandig werkende exploits bouwen en komt dicht in de buurt van Claude Mythos Preview, dat Anthropic om die reden alleen aan een beperkte groep verdedigers beschikbaar heeft gesteld. Iedereen kan GLM-5.3 downloaden. Z.ai publiceerde de gewichten eind augustus op Hugging Face, en de pagina telde de afgelopen maand meer dan 1,3 miljoen downloads.

Dicht bij Claude Mythos

In Anthropic's exploittest slaagde GLM-5.3 erin om in 50 van de 410 pogingen een volledige aanval uit te voeren, van de kwetsbaarheid tot het overnemen van het doelwit. Claude Mythos Preview slaagde daar 56 keer in. Andere modellen, waaronder Claude Opus 4.6, zijn voorganger GLM-5.2, Kimi K3 en DeepSeek V4.1-Flash, scoorden nul of bijna nul. Bij een tweede benchmark was een volledige overname van de control flow van een actief programma vereist. GLM-5.3 slaagde in 4% van de tests en Mythos in 6%. Op de modelkaart van Z.ai staat: "Naarmate we de post-training opschaalden, ontwikkelden cybervaardigheden zich sneller dan we hadden verwacht."

Nieuwe browserbugs en een Chrome-exploit van $20

In een praktijktest vond GLM-5.3 verschillende voorheen onbekende bugs in de JavaScript-engine van een populaire webbrowser en combineerde die tot een webpagina die willekeurige bestanden van de computer van een bezoeker kan uitlezen. Als voorbeeld noemt Anthropic een privésleutel voor SSH, die ontwikkelaars gebruiken om in te loggen op servers. Anthropic noemt de browser niet. Het zegt dat de bugs bij de beheerder zijn gemeld, maar vermeldt niet of er al een oplossing is uitgebracht.

Het tweede voorbeeld gaat over de kosten. De kleinere GLM-5.3-Flash schreef een exploit voor CVE-2026-11645, een kwetsbaarheid in Chrome's V8 JavaScript-engine die Google in juni heeft verholpen met versie 149.0.7827.102 en waar aanvallers toen al misbruik van maakten. Volgens Anthropic kostte de opdracht $20,40 tegen de API-tarieven van Zhipu en vergde die 20 minuten menselijke aandacht plus acht uur werk.

Beveiligingen zijn eenvoudig te omzeilen

Wanneer GLM-5.3 rechtstreeks om een aanval wordt gevraagd, weigert het. Met een verzonnen dekmantel werkte het in 64% van de gevallen mee in de simulatie van Anthropic, en met vooraf ingevulde redenering in 92% van de gevallen. De weigeringen helemaal uit de gewichten verwijderen is nog eenvoudiger. Deze techniek heet abliteration, en volgens Anthropic waren er binnen enkele dagen na de release al openbaar beschikbare versies van GLM-5.3 waarop abliteration was toegepast. Anthropic's eigen poging kostte ongeveer 2.200 GPU-uren, oftewel zo'n $4.400, en het schat dat een ervaren team ongeveer 600 uur nodig zou hebben. Het weigeringspercentage daalde van meer dan 90% naar 2% à 12%, terwijl de capaciteiten van het model vrijwel onveranderd bleven. Claude-modellen met hun beveiligingen bleven in alle toepasselijke omstandigheden op 0%.

Wat dit betekent voor je browser

Anthropic heeft hier een commercieel belang, omdat het de gewichten van zijn eigen modellen niet vrijgeeft. Op 17 september kwam het Amerikaanse Center for AI Standards and Innovation (CAISI) echter tot een vergelijkbare conclusie in zijn eigen beoordeling. Het noemt GLM-5.3 het meest cybercapabele model met open gewichten dat tot nu toe is uitgebracht en schat dat het ongeveer vier maanden achterloopt op de toonaangevende Amerikaanse modellen. De vorige titelhouder was Kimi K3, dat het agentschap in juli beoordeelde. Voor jou is het belangrijkste gevolg dat bekende kwetsbaarheden steeds sneller en goedkoper kunnen worden uitgebuit. Chrome downloadt updates op de achtergrond, maar die worden pas van kracht nadat de browser opnieuw is opgestart. Onder Help en Over Google Chrome in het menu kun je de geïnstalleerde versie controleren en een update starten. Edge en Firefox tonen dezelfde informatie in hun venster Info.