Uma IA que ninguém mandou caçar vulnerabilidades decidiu fazer isso sozinha

Eu já perdi a conta de quantas vezes alguém anunciou “a IA mais poderosa do mundo” numa terça-feira qualquer. Mas o que a Zhipu AI fez com o GLM-5.3 é diferente. Não por ser mais um modelo gigante com benchmarks bonitos, mas pelo que aconteceu quando os engenheiros terminaram o treinamento e foram olhar o que o modelo aprendeu a fazer: ele estava criando exploit chains completas. Sozinho. Sem ninguém pedir.

O GLM-5.3 é um modelo de 743 bilhões de parâmetros que, na teoria, foi treinado para ser um assistente de código. Na prática, ele encontrou 2.436 vulnerabilidades em 269 projetos open source, incluindo uma falha que existia desde 1981. Quarenta e cinco anos escondida no código. E o mais perturbador: 1.097 dessas vulnerabilidades foram classificadas como críticas ou de alta severidade.

Vamos por partes.

O que a Zhipu fez de diferente (e o que não fez)

A Zhipu AI, empresa chinesa de IA fundada em 2023, tomou uma decisão técnica curiosa com o GLM-5.3: manteve exatamente a mesma arquitetura base do GLM-5.2. Zero mudanças estruturais. Nenhum layer a mais, nenhum attention head novo, nada. Todo o ganho de performance veio exclusivamente de post-training.

Para quem não está familiarizado: post-training é a fase que vem depois do pré-treinamento massivo. É onde você pega o modelo base (que já sabe “ler” e “escrever”) e ensina ele a fazer coisas específicas. Técnicas como RLHF (Reinforcement Learning from Human Feedback), fine-tuning supervisionado e treinamento em ambientes simulados entram aqui.

O que a Zhipu fez foi escalar esse post-training ao extremo. Eles criaram ambientes especializados para descoberta de vulnerabilidades, alimentaram o modelo com dados de segurança ofensiva e deixaram ele treinar. O resultado? Um salto de 50% em capacidade de código comparado ao GLM-5.2.

Para colocar em perspectiva:

Repare no Terminal Bench 3.0: o GLM-5.2 marcava 4.6. O 5.3 foi para 28.3. Isso é um salto de 515% sem tocar na arquitetura. Só mudando como o modelo foi treinado após o pré-treinamento.

As capacidades “emergentes” que assustaram até a Zhipu

Aqui é onde a história fica interessante de verdade.

Quando os engenheiros da Zhipu projetaram o pipeline de post-training, o objetivo era claro: melhorar a capacidade do modelo de encontrar bugs em código. Análise estática turbinada por IA, basicamente. Eles construíram ambientes onde o modelo recebia codebases reais e precisava identificar falhas de segurança.

O que eles não planejaram foi o que veio depois. O GLM-5.3 não parou em encontrar bugs. Ele começou a raciocinar sobre como encadear múltiplas vulnerabilidades em sequências de exploração completas. Em termos técnicos, ele aprendeu a criar exploit chains: sequências onde uma vulnerabilidade menor leva a outra, que leva a outra, até chegar a execução remota de código ou escalação de privilégios.

A própria Zhipu admitiu que isso não estava no roteiro. A capacidade “emergiu” do treinamento. É o tipo de coisa que faz pesquisadores de AI Safety perderem o sono.

No CyberGym, um benchmark específico para capacidades de segurança ofensiva, o GLM-5.3 marcou 84.5%, superando tanto o Claude Mythos da Anthropic (83.8%) quanto o GPT-5.6 Sol da OpenAI (83.6%). É a primeira vez que um modelo open-weights lidera esse ranking.

Mas antes de decretar a vitória: no ExploitBench, que mede especificamente a capacidade de escalar uma exploração (ir de um ponto de entrada até comprometer o sistema inteiro), o GLM-5.3 marcou 54.4%. O Mythos ficou com 78% e o GPT-5.6 Sol com 76.5%. Ou seja: o GLM-5.3 acha o bug, mas ainda não é tão bom quanto os modelos proprietários em transformar esse bug numa invasão completa.

2.436 vulnerabilidades em 269 projetos (e uma de 1981)

Os números brutos impressionam, mas o contexto impressiona mais.

A Zhipu montou uma operação com equipes de segurança para soltar o GLM-5.3 em projetos open source reais. Não benchmarks artificiais, não CTFs acadêmicos. Repositórios que rodam em produção em milhares de empresas.

O resultado: 2.436 vulnerabilidades encontradas em 269 projetos. Dessas, 1.097 foram classificadas como Critical ou High severity. Todas foram reportadas de forma responsável e estão documentadas num registro público de CVD (Coordinated Vulnerability Disclosure).

O dado mais surreal é o tempo médio que essas vulnerabilidades ficaram escondidas antes do GLM-5.3 encontrá-las: 26.6 anos. Leia de novo. Em média, esses bugs estavam no código há mais de duas décadas e meia.

O recorde? Uma vulnerabilidade que existia desde 1981. Quarenta e cinco anos. Esse código foi escrito antes do primeiro Macintosh. Antes do Windows. Antes da World Wide Web. E ficou lá, silencioso, potencialmente explorável, até um modelo de linguagem decidir que algo estava errado.

Isso levanta uma questão que poucos estão fazendo: quantas vulnerabilidades antigas estão escondidas em projetos que “todo mundo usa”? Se uma IA com o treinamento certo consegue encontrar milhares delas num único pass, o que isso diz sobre a qualidade da auditoria de segurança que fizemos nos últimos 40 anos?

Open-weights com ressalvas: o dilema do acesso

O GLM-5.3 vai ser open-weights. A Zhipu confirmou que os pesos serão liberados publicamente em duas semanas após o lançamento. Mas essa decisão não foi simples.

Quando você tem um modelo que aprende sozinho a criar exploit chains, abrir os pesos significa dar essa capacidade para qualquer pessoa com uma GPU suficientemente potente. A Zhipu afirma ter construído “o sistema de revisão de risco mais robusto até hoje” antes de tomar essa decisão.

Na prática, isso significa que o modelo passou por:

• Avaliação de capacidades perigosas (o modelo consegue, por exemplo, gerar exploits funcionais para vulnerabilidades zero-day?)
• Red teaming extensivo com equipes de segurança ofensiva
• Guardrails para limitar output de exploits completos
• Revisão ética por comitês internos e externos

A pergunta que fica: isso é suficiente? Guardrails em modelos open-weights são, historicamente, triviais de remover. Basta um fine-tuning não alinhado e qualquer restrição desaparece. A Anthropic, por exemplo, nunca liberou os pesos do Mythos exatamente por esse motivo.

Por outro lado, a comunidade de segurança ofensiva argumenta que transparência é a melhor defesa. Se o modelo encontra bugs, melhor que a comunidade saiba deles e corrija antes que alguém os explore. O debate está longe de ter uma resposta clara.

743 bilhões de parâmetros: grande, mas não impossível de rodar

O modelo tem 743 bilhões de parâmetros, o que o coloca na faixa dos modelos frontier. Mas a Zhipu já disponibiliza uma versão FP8 (quantização de 8 bits) no Hugging Face, que reduz significativamente os requisitos de hardware.

Para rodar o modelo completo em FP8, você precisa de algo na faixa de 400 a 500 GB de VRAM. Isso significa um cluster de 6 a 8 GPUs A100/H100 de 80GB, ou equivalentes AMD. Não é algo que você roda no notebook, mas também não é exclusividade de hyperscalers.

A Zhipu também oferece acesso via API através do seu serviço de coding (GLM Coding Plan), e o modelo já é compatível com agentes de código populares como ZCode, Claude Code e OpenCode. Então, na prática, você não precisa hospedar o modelo para usar.

# Exemplo de uso via API (endpoint da Zhipu)
curl -s -X POST "https://api.z.ai/v1/chat/completions" \
  -H "Authorization: Bearer $ZHIPU_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "glm-5.3",
    "messages": [
      {"role": "system", "content": "You are a security researcher. Analyze this code for vulnerabilities."},
      {"role": "user", "content": "Review this C function for buffer overflow risks..."}
    ],
    "temperature": 0.1
  }'

O que isso significa para o mercado de segurança

Vou ser direto: isso muda o jogo.

Até agora, as capacidades de segurança ofensiva em IA eram dominadas por modelos proprietários. O Mythos da Anthropic e o GPT-5.6 Sol da OpenAI lideravam todos os benchmarks relevantes, e nenhum dos dois tem pesos abertos. Se você queria usar IA para auditoria de segurança, precisava pagar API de um dos dois.

O GLM-5.3 quebra esse monopólio. Com pesos abertos, qualquer equipe de segurança pode rodar o modelo internamente, sem enviar código proprietário para APIs externas. Isso é enorme para:

• Empresas com código sensível que não podem usar APIs cloud para auditoria
• Pesquisadores de segurança independentes que não têm budget para APIs proprietárias
• Governos e organizações que precisam de soberania sobre suas ferramentas de segurança
• Startups de cybersecurity que podem construir produtos em cima do modelo

Ao mesmo tempo, a acessibilidade é uma faca de dois gumes. Atacantes também terão acesso a um modelo capaz de encontrar vulnerabilidades em escala. A corrida entre ataque e defesa em cybersecurity acaba de ganhar um novo capítulo.

Post-training como diferencial competitivo

Talvez o insight mais importante do GLM-5.3 não seja o modelo em si, mas o que ele prova sobre a importância do post-training.

A indústria de IA passou os últimos três anos numa corrida de escala: mais parâmetros, mais dados de pré-treinamento, mais compute. O GLM-5.3 mostra que, em certas tarefas, o post-training pode ser mais importante que o modelo base.

Pense nisso: o mesmo modelo base (GLM-5.2) que marcava 4.6 no Terminal Bench agora marca 28.3. Sem um parâmetro a mais. Isso sugere que estamos subutilizando o potencial dos modelos que já existem. Talvez a próxima grande breakthrough não venha de um modelo maior, mas de um post-training mais inteligente.

Outros players já estão prestando atenção. A OpenAI tem investido pesado em “reasoning post-training” com a série o1/o3/o5. A Anthropic faz algo similar com as versões de “extended thinking” do Claude. Mas nenhum deles mostrou ganhos tão dramáticos mantendo o modelo base intacto.

O precedente do bug de 1981

Eu quero voltar ao bug de 1981 por um momento, porque ele representa algo maior do que uma curiosidade técnica.

Esse código foi escrito numa época em que segurança de software não era uma disciplina. Não existia OWASP. Não existia CVE. Os computadores pessoais mal existiam. E mesmo assim, o código sobreviveu, foi copiado, adaptado, incluído em projetos modernos, e carregou essa vulnerabilidade consigo por 45 anos.

Se o GLM-5.3 encontrou uma falha dessas, quantas outras existem? Projetos como OpenSSL, libpng, zlib e outras bibliotecas fundamentais da internet carregam código de décadas. Auditorias manuais são caras, lentas e incompletas. Um modelo que faz varredura automatizada em escala é, objetivamente, a melhor ferramenta que a comunidade de segurança já teve para lidar com essa dívida técnica histórica.

A média de 26.6 anos de “descoberta lag” é assustadora. Significa que, estatisticamente, uma vulnerabilidade introduzida hoje pode ficar escondida até 2052. A menos que a gente mude fundamentalmente como fazemos auditoria de código.

Comparação direta: GLM-5.3 vs. Mythos vs. GPT-5.6 Sol

Para quem quer os números limpos:

O GLM-5.3 lidera em detecção bruta de vulnerabilidades (CyberGym), mas fica atrás em exploração completa (ExploitBench). Em código geral, se aproxima do Fable 5 da Anthropic sem alcançá-lo completamente.

A vantagem competitiva real? Ser open-weights. Nenhum dos concorrentes oferece isso.

Para onde isso vai

A Zhipu já anunciou que o próximo modelo terá o dobro de parâmetros e mudanças arquiteturais. Isso sugere que eles veem o post-training como uma ponte, não como destino final. A expectativa é que, com uma base maior e o mesmo post-training agressivo, os gaps no ExploitBench e no DeepSWE sejam fechados.

Enquanto isso, a comunidade de segurança tem duas semanas para se preparar para a liberação dos pesos. Empresas de cybersecurity provavelmente já estão planejando produtos baseados no modelo. Pesquisadores de AI Safety provavelmente já estão planejando papers sobre os riscos.

E em algum servidor, em algum projeto open source que todo mundo usa, existem vulnerabilidades de 20, 30, 40 anos esperando para serem encontradas. Agora existe uma ferramenta capaz de encontrá-las. A questão é: quem vai usá-la primeiro, quem defende ou quem ataca?

Fonte de inspiração: GLM-5.3: Frontier coding with emergent cyber capabilities (z.ai)