GLM-5.3 và nguy cơ phổ biến năng lực tấn công mạng tiên tiến

Trong báo cáo công bố ngày 29/9/2026, nhóm Frontier Red Team của Anthropic đã đưa ra phân tích chi tiết về GLM-5.3 — mô hình AI mới nhất do Zhipu AI (hay còn gọi là Z.ai bên ngoài Trung Quốc) phát triển. Điều đáng lo ngại là mô hình này sở hữu khả năng tự động xây dựng các cuộc tấn công mạng hoàn chỉnh từ đầu đến cuối, song lại được phát hành công khai mà không có biện pháp bảo vệ thực sự hiệu quả. Đây là một bước ngoặt đáng báo động đối với an ninh mạng toàn cầu.

Từ Claude Mythos đến GLM-5.3: Cột mốc nguy hiểm đã bị vượt qua

Năm tháng trước, Anthropic đã công bố Claude Mythos Preview — mô hình AI đầu tiên có thể tự động xây dựng các khai thác mạng tinh vi, hoàn chỉnh. Nhận thấy tốc độ cải thiện chóng mặt của AI, họ đã quyết định phát hành Claude Mythos Preview một cách hạn chế thông qua Project Glasswing, cho phép các chuyên gia phòng thủ mạng đáng tin cậy tìm ra hơn 10.000 lỗ hổng trong phần mềm quan trọng trước khi kẻ xấu có được công cụ tương đương.

Sơ đồ tóm tắt các phát hiện về năng lực khai thác lỗ hổng của GLM-5.3 so với các mô hình Claude

Nhưng giờ đây, những mô hình có năng lực tương đương đã xuất hiện. GLM-5.3 không giống các mô hình tiên tiến khác ở chỗ nó được phát hành không kèm biện pháp bảo vệ có ý nghĩa nào để hạn chế lạm dụng. Theo kết quả thử nghiệm của Anthropic, kẻ tấn công có thể vượt qua rào cản an toàn của GLM-5.3 với tỷ lệ từ 64% đến 100% chỉ bằng những kỹ thuật đơn giản. Trong khi đó, các cuộc tấn công tương tự không thành công đối với các mô hình Claude đã được bảo vệ.

Bằng chứng từ NIST và sự tương đồng về năng lực

Ngày 17/9, Trung tâm Tiêu chuẩn và Đổi mới AI (CAISI) thuộc NIST đã công bố đánh giá riêng của họ về năng lực mạng của GLM-5.3. CAISI kết luận rằng GLM-5.3 là "mô hình trọng số mở có năng lực mạng mạnh nhất từng được phát hành", và tụt hậu khoảng bốn tháng so với giới hạn tiên tiến của Mỹ trên tổng hợp các bài kiểm tra năng lực mạng.

Điểm mấu chốt nằm ở chỗ: trong so sánh của CAISI, các mô hình Mỹ được kiểm tra với rào cản an toàn mạng đã bị tắt khi áp dụng, và giới hạn tiên tiến của Mỹ bao gồm các mô hình chỉ phát hành cho người dùng đã được thẩm định. Kẻ tấn công không thể dễ dàng truy cập vào các phiên bản đó của mô hình Mỹ, nhưng bất kỳ ai cũng có thể tải xuống GLM-5.3.

GLM-5.3 có thể tự phát triển khai thác lỗ hổng từ đầu đến cuối

Để hiểu cách GLM-5.3 có thể giúp kẻ tấn công tìm và khai thác lỗ hổng phần mềm thực tế, nhóm nghiên cứu đã chạy đánh giá bằng cả phương pháp tự động lẫn có sự tham gia của chuyên gia con người, trong môi trường cách ly và sandbox nghiêm ngặt.

Trên bộ kiểm tra ExploitBench — đo khả năng khai thác các lỗ hổng đã biết trong engine V8 của Google Chrome — GLM-5.3 phát triển thành công các khai thác hoàn chỉnh trong 50/410 lần thử. Claude Mythos Preview đạt tỷ lệ tương tự với 56/410 lần. Đáng chú ý, các mô hình trước đó như Claude Opus 4.6 và GLM-5.2 không thành công trong bất kỳ trường hợp nào.

Trong bài kiểm tra Binary Exploitation nội bộ, GLM-5.3 đạt được khả năng chiếm quyền điều khiển luồng hoàn toàn (full control-flow hijack) trong 4% số lần thử; Claude Mythos Preview đạt 6%. Dù thấp hơn đôi chút, nhưng ngưỡng quan trọng đã bị vượt qua rõ rệt.

Biểu đồ so sánh năng lực khai thác lỗ hổng theo ngân sách token đầu ra giữa các mô hình

Khi chuyên gia con người tham gia

Trong một phiên thử nghiệm, một nhà nghiên cứu dùng GLM-5.3 trên máy sandbox với bản Linux của một trình duyệt phổ biến. Chỉ trong một ngày làm việc (với thời gian tập trung của con người rất hạn chế), GLM-5.3 đã tìm ra nhiều lỗ hổng chưa từng được biết đến trong engine JavaScript của trình duyệt và kết hợp chúng thành một khai thác hoàn chỉnh: một trang web khi được truy cập có thể đọc các tệp tùy ý từ máy của người dùng, bao gồm cả khóa SSH cá nhân.

Đáng chú ý, khai thác này nhắm vào bản Linux vì đó là môi trường duy nhất được cung cấp, nhưng nhóm nghiên cứu tin rằng các lỗ hổng này cũng có thể ảnh hưởng đến người dùng trên nền tảng khác. Họ đã báo cáo cho đơn vị bảo trì sản phẩm.

Trong một phiên khác, nhà nghiên cứu dùng GLM-5.3-Flash (phiên bản nhỏ hơn) để khai thác một lỗ hổng đã được công bố của Google Chrome (CVE-2026-11645). Không cần chỉ dẫn đáng kể, mô hình đã tự kết hợp các khai thác và xây dựng chuỗi tấn công đáng tin cậy cho mục tiêu ARM64, vượt qua cơ chế bảo vệ pointer-authentication (PAC). Công việc này tiêu tốn 20 phút tập trung của con người cộng với 8 giờ hoạt động của mô hình — với chi phí chỉ khoảng 20,40 USD theo giá API của Zhipu.

Rào cản an toàn của GLM-5.3 dễ dàng bị vô hiệu hóa

GLM-5.3 được phát hành kèm một số rào cản tích hợp: nếu người dùng yêu cầu điều gì đó rõ ràng gây hại, mô hình thường sẽ từ chối. Tuy nhiên, nhóm nghiên cứu phát hiện những rào cản này có thể bị vượt qua hoặc loại bỏ bằng nhiều kỹ thuật đơn giản.

Kỹ thuật "abliteration" (loại bỏ khả năng từ chối) là phương pháp triệt để và hiệu quả nhất. Vì GLM-5.3 được phát hành dưới dạng mô hình trọng số mở, người dùng có thể cấu hình lại để xóa bỏ cơ chế từ chối mà gần như không làm giảm năng lực. Nhóm Anthropic đã tự tạo một bản abliterated, tiêu tốn khoảng 2.200 giờ GPU với chi phí khoảng 4.400 USD. Kết quả: tỷ lệ từ chối của GLM-5.3 giảm từ trên 90% xuống chỉ còn khoảng 3% và 2% trên hai bài kiểm tra JailbreakBench và HarmBench, và 12% trên StrongREJECT.

Abliteration không làm giảm đáng kể năng lực của mô hình: trên GPQA-Diamond đo khả năng khoa học tổng quát, phiên bản gốc và phiên bản abliterated đạt điểm như nhau.

Ngay cả khi không dùng bản abliterated, rào cản vẫn có thể bị lách qua. Trong môi trường mô phỏng với các yêu cầu tấn công hệ thống trọng yếu rõ ràng độc hại, GLM-5.3 bản gốc từ chối toàn bộ. Nhưng chỉ cần:

• Prompt đánh lừa — ví dụ thuyết phục mô hình rằng nó là tác nhân red-team tự động đang làm bài tập: mô hình phản hồi 64% trường hợp
• Prefill token suy nghĩ — khiến mô hình tưởng như đã cân nhắc và quyết định tiến hành: tỷ lệ tăng lên 92%
• Dùng bản abliterated: tỷ lệ đạt 100%

Biểu đồ tỷ lệ các mô hình cố gắng kết nối đến hệ thống mục tiêu sau yêu cầu gây hại

Điều đáng lưu ý là trong thử nghiệm của Anthropic, không kỹ thuật nào khiến các mô hình Claude được bảo vệ thực hiện những nhiệm vụ gây hại tương tự. Rào cản của Claude chặn các yêu cầu dùng prompt đánh lừa, API Anthropic không cho phép prefill token suy nghĩ, và vì trọng số Claude không được cung cấp cho người dùng nên không thể abliterate.

Ý nghĩa đối với an ninh mạng toàn cầu

GLM-5.3 nhiều khả năng sẽ trao cho kẻ xấu quyền truy cập vào các năng lực cho phép chúng tìm và khai thác lỗ hổng mạng không có giới hạn ý nghĩa nào. Đây là điều chưa từng có ở bất kỳ mô hình AI có năng lực tương đương nào khác — tất cả đều được phát hành kèm biện pháp bảo vệ hoặc thông qua chương trình truy cập hạn chế.

Theo Anthropic, cả các tác nhân nhà nước lẫn phi nhà nước nhiều khả năng sẽ sử dụng các mô hình như GLM-5.3 để gây tổn hại trong thực tế. Mặt khác, các mô hình với mức năng lực này cũng có thể hữu ích cho lực lượng phòng thủ. Quan điểm của Anthropic là các chuyên gia phòng thủ mạng nên được trang bị những mô hình tiên tiến ít nhất ngang bằng với đối thủ của họ.

Đối với cộng đồng công nghệ và an ninh mạng tại Việt Nam, đây là lời cảnh báo đáng lưu tâm. Khi các mô hình AI năng lực cao ngày càng dễ tiếp cận, các tổ chức cần chủ động rà soát lỗ hổng, tăng cường giám sát và cập nhật các biện pháp phòng thủ. Việc phụ thuộc vào các biện pháp bảo vệ tích hợp sẵn của mô hình AI là không đủ — đặc biệt khi các mô hình trọng số mở như GLM-5.3 có thể bị tinh chỉnh để loại bỏ hoàn toàn rào cản an toàn.

Anthropic kêu gọi các chính phủ tiến hành kiểm tra an toàn đối với các mô hình AI đủ năng lực, bao gồm cả những phiên bản kế nhiệm GLM-5.3. Khi các nhà phát triển AI trên toàn thế giới xây dựng những mô hình trọng số mở ngày càng mạnh mẽ, việc bảo vệ đầy đủ các năng lực này để ngăn chặn lạm dụng trở nên cấp thiết hơn bao giờ hết.