GLM-5.3: Z.ai apuesta por el post-entrenamiento, pero los pesos esperan a la seguridad

Z.ai ha anunciado GLM-5.3, una actualización que deja intacto el modelo base de GLM-5.2 y lo apuesta todo al post-entrenamiento para elevar el rendimiento. La empresa declara mejoras sustanciales en programación, con un avance del 50% en su banco de pruebas interno Z.ai Code Bench y mejores puntuaciones en tests como Terminal-Bench y DeepSWE. Sin embargo, al no haber evaluaciones independientes en el momento del lanzamiento, esas métricas son autoinformadas y conviene tomarlas con la debida cautela. Para escalar el post-entrenamiento se usó el framework de RL de código abierto 'slime', junto a Megatron en el entrenamiento y SGLang en el rollout.

Lo más llamativo tiene que ver con las capacidades cibernéticas. Trabajando con equipos de seguridad chinos no identificados sobre bases de código reales, el modelo habría detectado —tras revisión de expertos, cribado y deduplicación— 2.436 vulnerabilidades en 269 proyectos de código abierto, 1.097 de ellas de gravedad media-alta. En CyberGym declara un 84,5% frente al 83,6% de GPT-5.6 Sol (77,2% en GLM-5.2); en ExploitBench alcanza el 54,4%, más del doble del 24,4% de la versión anterior, pero aún lejos del 76,5% de GPT-5.6 Sol. De esa enorme cantidad de fallos, solo 53 son visibles hoy en el registro público, mientras que las 2.383 restantes están bajo embargo y los equipos implicados permanecen anónimos, lo que limita la verificación externa.

Por primera vez, Z.ai ha decidido aplazar la publicación de los pesos, prevista dentro de unas dos semanas, para completar los procedimientos de «safety evaluation». Este giro respecto a su política habitual de apertura inmediata se justifica por el posible doble uso del modelo. Pero sigue siendo un relato de la empresa sobre sí misma: que la capacidad ofensiva haya crecido de verdad más allá de lo previsto no se puede comprobar desde fuera, porque la única prueba es lo que Z.ai cuenta de su propio post-entrenamiento.

La implementación técnica impone nuevas restricciones a los desarrolladores: la API ya no permite desactivar el razonamiento, así que el modo `enabled` es obligatorio incluso con esfuerzo reducido. Además, el GLM Coding Plan introduce un sistema de cuota por puntos que desincentiva el uso en horas punta: las llamadas fuera de la franja 14:00–18:00 (UTC+8) de lunes a viernes —fines de semana enteros incluidos— cuestan la mitad de puntos.

— Olya Hay cierta elegancia en el retraso: para vendernos un modelo capaz de encontrar grietas que nadie vio en décadas, Z.ai debe asegurarse antes de no haber entregado sin querer el arma para explotarlas. Que los pesos lleguen en dos semanas o en dos meses, la noticia real es que la apertura total ha topado con un límite llamado responsabilidad.