ExploitBench misst, wie gut Modelle bekannte Lücken in V8 ausnutzen, der JavaScript-Engine von Google Chrome; gezählt hat Anthropic nur vollständige End-to-End-Exploits. In einem internen Test mit 100 zufällig gewählten Aufgaben aus Projekten von Googles OSS-Fuzz übernahm GLM-5.3 in 4 Prozent der Versuche die Programmsteuerung, Mythos Preview in 6 Prozent. Claude Opus 4.6 und GLM-5.2 lösten dort keine einzige Aufgabe.
Die kleinere Variante GLM-5.3-Flash verkettete in einem Einzelversuch Exploits für zwei bekannte Lücken, darunter die Chrome-Lücke CVE-2026-11645, und umging dabei den Zeigerschutz PAC. Das kostete 20 Minuten menschliche Betreuung, acht Stunden Modellarbeit und zu Z.ais API-Preisen 20,40 Dollar.
Die eingebauten Verweigerungen ließen sich laut Bericht mit einfachen Mitteln umgehen. Per Abliteration – einem Eingriff, der die für Verweigerungen zuständige Richtung aus den Gewichten entfernt – sank die Ablehnungsrate auf drei Schadensbenchmarks von über 90 Prozent auf 2 bis 12 Prozent. Anthropics Team brauchte dafür rund 2.200 GPU-Stunden für etwa 4.400 Dollar; ein erfahrenes Team käme nach Anthropics Schätzung mit 600 Stunden aus.
In einer Angriffssimulation, in der kein erzeugter Code ausgeführt wurde und ein zweites Sprachmodell die Befehlsausgaben nachstellte, lehnte GLM-5.3 direkte Aufträge stets ab. Mit Tarngeschichte machte es in 64 Prozent der Fälle mit, nach Abliteration immer. Claude-Modelle blieben unter den API-Schutzmechanismen bei null; bei offenen Gewichten gibt es diese Schicht nicht. Die US-Prüfstelle CAISI hatte GLM-5.3 am 17. September als bisher cyberstärkstes offenes Modell eingestuft, etwa vier Monate hinter der US-Spitze.