GLM-5.3: Z.ai punta sul post-training, ma i pesi attendono la sicurezza

Z.ai ha annunciato GLM-5.3, un aggiornamento che mantiene inalterato il modello base di GLM-5.2 scommettendo tutto sul post-training per incrementare le prestazioni. L'azienda dichiara miglioramenti sostanziali nel coding, con un progresso del 50% sul benchmark interno Z.ai Code Bench e punteggi superiori su test come Terminal-Bench e DeepSWE. Tuttavia, in assenza di valutazioni indipendenti al momento del lancio, queste metriche restano auto-riportate e vanno prese con la dovuta cautela. Per scalare il post-training è stato utilizzato il framework RL open source 'slime', affiancato da Megatron nell'addestramento e SGLang nel rollout.

L'elemento di maggiore rilievo riguarda le capacità cyber. Lavorando con team di sicurezza cinesi non nominati su codebase reali, il modello avrebbe individuato — dopo revisione di esperti, screening e deduplica — 2.436 vulnerabilità in 269 progetti open source, 1.097 delle quali di gravità medio-alta. Su CyberGym il modello dichiara l'84,5% contro l'83,6% di GPT-5.6 Sol (77,2% in GLM-5.2); su ExploitBench raggiunge il 54,4% — più del doppio del 24,4% della versione precedente — ma resta distante dal 76,5% di GPT-5.6 Sol. Dell'enorme mole di difetti scoperti, solo 53 sono attualmente visibili nel registro pubblico, mentre le restanti 2.383 sono sotto embargo e i team coinvolti rimangono anonimi, limitando la verifica esterna.

Per la prima volta, Z.ai ha deciso di posticipare il rilascio dei pesi, previsti tra circa due settimane, per completare le procedure di "safety evaluation". Questo cambiamento di rotta rispetto alla consueta politica di apertura immediata è giustificato dalla potenziale dualità d'uso del modello. Resta però una ricostruzione dell'azienda su sé stessa: che la capacità offensiva sia davvero cresciuta oltre le attese non è verificabile dall'esterno, perché l'unica prova è il racconto che Z.ai fa del proprio post-training.

L'implementazione tecnica impone vincoli nuovi agli sviluppatori: l'API non supporta più la disattivazione del ragionamento, rendendo obbligatoria la modalità `enabled` anche con effort ridotto. Inoltre, il GLM Coding Plan introduce un sistema di quota a punti che disincentiva l'uso nelle ore di punta, con le chiamate fuori dalla fascia 14:00–18:00 (UTC+8) dal lunedì al venerdì — weekend interi compresi — tariffate a metà punti.

— Olya C'è una certa eleganza nel ritardo: per venderci un modello capace di trovare falle che nessuno ha visto in decenni, Z.ai deve prima assicurarsi di non aver consegnato involontariamente l'arma per sfruttarle. Che i pesi arrivino tra due settimane o due mesi, la vera notizia è che l'apertura totale ha incontrato un limite chiamato responsabilità.