Repères de cybersécurité de GLM-5.3 : ce que cache le score de 84,5

Z.ai a lancé GLM-5.3 le 14 août 2026, et voici le titre qui circulera : au banc d’essai de cybersécurité CyberGym, il a obtenu 84,5, devant Claude Mythos 5 à 83,8 et GPT-5.6 Sol à 83,6. Un modèle à poids ouverts au sommet du classement, devant les deux modèles fermés les plus capables au monde de trouver des vulnérabilités.

Le résultat est réel et mérite l’attention. C’est aussi le moins instructif des trois graphiques de cybersécurité publiés par Z.ai. Le lire sans les deux autres donnera une idée complètement fausse de l’état réel des capacités cyber des modèles à poids ouverts.

Nous suivons ces bancs d’essai depuis la vague d’exploits visant Bitcoin, car après Coldcard, BTCPay Server et Boltz, la question des modèles capables de transformer un bogue soupçonné en bogue démontré a cessé d’être théorique pour notre secteur. GLM-5.3 est le premier modèle à poids ouverts à afficher des résultats sérieux aux trois évaluations. Voici ce qu’ils disent, ce qu’ils ne disent pas et le détail de la publication qui compte davantage que tous les scores.

D’abord : les poids ne sont pas publiés

GLM-5.3 est présenté comme le plus puissant modèle de programmation à poids ouverts disponible. Aujourd’hui, il ne l’est pas. Le modèle est offert aux abonnés du GLM Coding Plan ainsi que par les intégrations ZCode, Claude Code et OpenCode. Ses poids ne sont pas téléchargeables.

Z.ai affirme qu’ils seront publiés dans environ deux semaines et relie explicitement ce délai à l’évaluation et au renforcement de la sûreté. Ce détail mérite réflexion, car l’objet de ce renforcement est un modèle dont l’entreprise elle-même affirme que les capacités offensives en sécurité ont progressé plus vite que prévu.

À titre de comparaison, GLM-5.2 avait lui aussi été lancé discrètement dans le forfait de programmation, avant la publication de ses poids sous licence MIT sur Hugging Face quelques jours plus tard. GLM-5.3 suit une piste plus longue, explicitement conditionnée par la sûreté. Z.ai n’a pas précisé la licence de GLM-5.3; GLM-5.2 était sous MIT, mais il s’agit d’un précédent, pas d’un engagement.

Dans le dernier article, nous écrivions que l’attrait des poids ouverts exécutés localement tient à ceci : le modèle qui tourne sur votre machine ne peut pas être désactivé par un examen de confiance et de sûreté. Cela demeure vrai. Ce qui a changé, c’est que l’examen survient désormais plus tôt, au laboratoire, avant même que les poids soient publics. Le contrôle d’accès n’est plus une histoire propre aux laboratoires et au gouvernement américains. Il touche maintenant tout le secteur, et les poids ouverts le retardent sans y échapper.

Bien interpréter le score CyberGym

CyberGym provient de la Responsible AI Development Initiative de l’UC Berkeley : 1 507 vulnérabilités réelles dans 188 projets OSS-Fuzz, où l’agent doit produire une entrée de preuve de concept qui reproduit véritablement le bogue. La réussite est déterministe, sans jugement subjectif, et le banc d’essai a lui-même révélé 34 vulnérabilités inédites et 18 correctifs incomplets. C’est un instrument sérieux.

Il comporte aussi quatre niveaux d’information, qui transforment tellement la tâche que le même nom recouvre une plage de difficulté d’environ vingt fois :

• Niveau 0 — seulement la base de code antérieure au correctif. Découverte ouverte. L’article rapporte environ 3,5% de reproductions.
• Niveau 1 — base de code et description textuelle du bogue ciblé. C’est la tâche principale de l’article; le plafond atteint environ 20 à 22%, même pour les meilleures combinaisons de modèle et d’échafaudage.
• Niveau 2 — ajoute la trace de pile réelle du plantage.
• Niveau 3 — fournit en plus la différence du correctif réel et la base de code postérieure au correctif. C’est le contexte en boîte blanche.

Les résultats de Z.ai sont en boîte blanche. Un score de 84,5 dans ce contexte ne représente pas une amélioration quadruple par rapport au plafond d’environ 20% de la littérature; il s’agit d’un examen différent. Quiconque place le 84,5 de GLM-5.3 à côté du chiffre publié d’environ 20% de CyberGym et conclut que les modèles à poids ouverts viennent de dépasser la frontière de la recherche compare deux nombres incomparables.

L’écart le révèle. Cinq modèles de pointe terminent à moins de 7,3 points les uns des autres :

Lorsqu’un banc d’essai ne peut séparer cinq modèles par plus de sept points, cette configuration est saturée. Le remporter constitue un résultat légitime, mais sans valeur prédictive. Le pouvoir de discrimination s’est déplacé ailleurs.

ExploitBench : là où se trouve le véritable bond

ExploitBench, créé par Seunghyun Lee et le professeur David Brumley de Carnegie Mellon avec Bugcrowd, mesure si un modèle peut mener une vulnérabilité jusqu’à un exploit fonctionnel — 41 CVE corrigées de V8 sur une échelle de 16 indicateurs, chacun validé par un oracle déterministe. Ce banc d’essai mesure le dernier kilomètre, et c’est là que se trouve la véritable réussite de GLM-5.3 :

Le passage de 24,4 à 54,4 est une véritable progression de 2,2 fois, obtenue uniquement par post-entraînement — GLM-5.3 utilise la même base de mélange d’experts d’environ 744 milliards de paramètres que GLM-5.2, dont environ 40 milliards sont actifs par jeton. Aucun nouvel entraînement initial. Cela révèle la quantité de capacité d’exploitation latente dans un modèle déjà publié.

Deux éléments corroborent ce tableau au-delà de la parole du fournisseur. Le 32,2 de Kimi K3 correspond au 32% mesuré par le UK AI Security Institute et le US Center for AI Standards and Innovation dans leur évaluation conjointe du 23 juillet 2026, tandis que le 24,4 de GLM-5.2 correspond à leur 24%. Lorsqu’un environnement du fournisseur reproduit deux résultats gouvernementaux indépendants, il ne semble probablement pas s’avantager.

Et l’écart demeure d’environ 24 points. C’est une conclusion fort différente de celle de CyberGym.

ExploitGym : des comptes, pas des pourcentages

ExploitGym est le pendant axé sur l’étendue, conçu par la RDI de l’UC Berkeley et le Max Planck Institute for Security and Privacy : 869 tâches conteneurisées — 502 en espace utilisateur, 181 dans V8 de Google et 186 dans le noyau Linux. À partir d’un bogue et d’une entrée prouvant la vulnérabilité, l’agent doit créer un exploit fonctionnel qui permet l’exécution de code non autorisée. Les scores sont le nombre brut d’instances exploitées par la voie prévue. Il faut diviser par 869 pour toute comparaison.

L’évaluation prévoit un budget par défaut de deux heures et un volet prolongé de six heures, car l’article constate que le résultat après deux heures sous-estime sensiblement les agents les plus puissants — Mythos Preview est passé de 127 à 204 sans plateau manifeste, alors qu’Opus 4.6 a plafonné autour de 15 dès la première demi-heure. On mesure donc la persévérance autant que la compétence.

GLM-5.3 fait environ 3,5 fois mieux que son prédécesseur et atteint à peu près 53% de Mythos 5 pour les deux budgets. Remarquons aussi qu’il profite moins des quatre heures supplémentaires que Kimi K3 (Kimi double presque, GLM-5.3 ajoute 24%), ce qui porte à croire que GLM-5.3 atteint son plafond plus vite, sans aller plus loin. Cette distinction compte sur un banc d’essai où l’exploitation du noyau Linux constitue le facteur de séparation le plus net.

Le registre est l’histoire dont personne ne parle

Parallèlement aux bancs d’essai, Z.ai a publié un registre de divulgation à cvd.z.ai. En collaboration avec des équipes de sécurité chinoises, ses modèles ont trouvé :

• 2 436 vulnérabilités dans 269 projets libres depuis GLM-5.2
• 1 097 jugées critiques ou élevées (107 critiques, 990 élevées)
• 53 divulguées publiquement avec une CVE — et 2 383 encore sous embargo
• Dans des noyaux de systèmes, systèmes d’exploitation, moteurs de navigateur et protocoles réseau, notamment Linux, WebKit, FreeBSD, GStreamer et Suricata
• La plus ancienne défaillance date de 1981, et le délai moyen entre l’introduction et la découverte d’un bogue est de 26,6 ans

Un délai moyen de vingt-six ans entre l’introduction et la découverte est le nombre le plus important de cette publication. Il mesure directement la réserve de vulnérabilités inconnues dans les logiciels que tout le monde utilise et montre que l’arriéré s’étend sur des générations.

Il reformule aussi, à plus grande échelle, le problème soulevé dans notre dernier article. La Bitcoin Red Team a produit 4 962 constats avec un taux de vérification de 21%, et la contrainte réelle n’a jamais été le débit du modèle — c’était le temps consacré par les responsables à réfuter les erreurs. Le registre de Z.ai compte 2 383 constats sous embargo. Chacun se trouve dans la file d’un responsable, et 269 projets représentent beaucoup de bénévoles.

À son crédit, Z.ai adopte ici la bonne structure : registre public, CVE attribuées et divulgation coordonnée, plutôt qu’un communiqué de presse rempli de chiffres invérifiables. Cette pratique surpasse réellement la plupart des annonces de capacité et mérite d’être soulignée clairement.

La capacité qui a dépassé son entraînement

Z.ai a ajouté des environnements de découverte de vulnérabilités au post-entraînement afin que le modèle trouve mieux des bogues individuels. Selon son propre récit, le résultat fut un modèle qui a commencé à raisonner sur plusieurs étapes d’exploitation et à former des plans cohérents pour des chaînes d’exploitation complètes.

Il faut traiter cela comme une affirmation du fournisseur, car c’en est une. Mais les données des bancs d’essai concordent avec elle : la découverte de bogues isolés correspond à l’axe CyberGym, où GLM-5.3 gagne 7,3 points sur GLM-5.2. L’exploitation en chaîne correspond aux axes ExploitBench et ExploitGym, où il progresse de 2,2 et de 3,5 fois. La capacité s’est déplacée exactement là où l’affirmation l’indique.

Voilà aussi pourquoi le délai de deux semaines avant la publication des poids paraît cohérent plutôt que théâtral. Un laboratoire qui entraîne un modèle à trouver des bogues, mesure sa capacité à enchaîner des exploits, puis marque une pause avant d’en publier les poids agit conformément à ce qu’il dit avoir observé.

Ce que cela signifie si vous sécurisez l’infrastructure Bitcoin

Voici la lecture pratique pour quiconque audite un micrologiciel de portefeuille, un logiciel de nœud ou une infrastructure de paiement :

• L’écart d’exploitation des modèles à poids ouverts a diminué de moitié en cinq semaines. Il ne s’est pas refermé. Pour terminer un exploit, la meilleure option à poids ouverts demeure à environ 24 points sur ExploitBench et à près de la moitié du compte ExploitGym de la frontière fermée. Pour le triage à grande échelle de nombreux dépôts, c’est maintenant manifestement suffisant. Pour prouver un bogue difficile dans du code renforcé, ce ne l’est pas encore.
• L’auto-hébergement devient une véritable option dans environ deux semaines. Un MoE d’environ 744 milliards de paramètres à 54,4 sur ExploitBench, exécuté sur votre matériel sans qu’un fournisseur puisse vous couper l’accès en plein audit, représente une proposition fondamentalement différente de GLM-5.2 à 24,4. C’est la réponse au problème de révocation d’accès décrit dans cette série — sous réserve de disposer de matériel considérable et que Z.ai publie réellement les poids.
• La discipline de vérification compte davantage, et non moins. Un modèle 2,2 fois meilleur en exploitation produit aussi davantage de constats plausibles. Le taux de vérification de 21% constituait déjà le goulot d’étranglement, et cette publication n’y change rien. Accroître la génération sans accroître la capacité de vérification ne fait que déplacer la pile.
• Ne choisissez pas un banc d’essai à la carte à partir d’un seul graphique. Le même modèle occupe la première, la troisième et la deuxième place dans trois évaluations de cybersécurité publiées dans la même annonce. Citer une seule d’entre elles relève du marketing.

Ce que nous avons modifié dans le carrefour des bancs d’essai

Notre carrefour des bancs d’essai de LLM a été mis à jour le 14 août 2026 :

• CyberGym a été ajouté à la catégorie Sécurité et exploitation, avec ses quatre niveaux d’information documentés — parce qu’un score CyberGym sans niveau n’est pas un score.
• Le nombre de tâches d’ExploitGym a été corrigé à 869 (502 en espace utilisateur / 181 dans V8 / 186 dans le noyau). Nous en indiquions auparavant 898. C’était erroné; la répartition par domaine figure maintenant à côté du total.
• La note selon laquelle aucun modèle à poids ouverts n’avait été évalué sur ExploitGym a été retirée — GLM-5.3, GLM-5.2 et Kimi K3 ont maintenant des résultats, les premiers à poids ouverts de ce classement.
• Tous les résultats de l’ère GLM-5.3 portent la mention autodéclaré par le fournisseur dans le texte, parce qu’ils le sont, et que nous ne présentons pas l’environnement d’un fournisseur comme un résultat indépendant.

La catégorie compte désormais trois bancs d’essai plutôt que deux, et l’ensemble de données du carrefour passe de 39 à 40 lignes suivies.

Le résumé honnête

GLM-5.3 est le modèle à poids ouverts le plus compétent en cybersécurité jamais mesuré, et devance largement son propre prédécesseur sans nouvel entraînement initial. C’est un résultat réel et impressionnant. Les modèles à poids ouverts ont maintenant comblé tous les écarts que le secteur disait hors de leur portée — celui-ci compris, et plus vite que nous le pensions lorsque nous en parlions il y a cinq semaines.

Ce n’est pas, aujourd’hui, le modèle le plus compétent en cybersécurité. Il n’est pas, aujourd’hui, téléchargeable. Et son propre créateur en a retardé les poids parce que sa capacité a progressé plus vite que prévu par l’entraînement.

Ces trois affirmations sont vraies en même temps, tandis que le graphique de l’annonce ne montre que la première.

Voici le quatrième volet de notre série sur l’IA et la sécurité de Bitcoin. Commencez par ce qui est arrivé à Coldcard, BTCPay Server et Boltz, puis découvrez ce que la Bitcoin Red Team a fait en réponse, et enfin pourquoi ces bancs d’essai sont devenus ceux qui comptent.