Un modelo de inteligencia artificial de pesos abiertos ha demostrado una capacidad que antes requería un desarrollador de exploits experimentado y mucho tiempo: convertir parches de seguridad aún no distribuidos a los usuarios en exploits funcionales de navegador. Según una investigación del Frontier Red Team de Anthropic, GLM-5.3 —un modelo de pesos abiertos lanzado por Z.ai— explotó seis versiones del navegador Firefox tomando como base parches de seguridad que habían sido escritos pero aún no liberados al público. Mozilla parcheó una vulnerabilidad relacionada después de que se conocieran los hallazgos.

Lo que encontró el equipo red team

Los detalles se presentan en un informe del 29 de septiembre del Frontier Red Team de Anthropic, que evaluó GLM-5.3, un modelo que Z.ai lanzó el 14 de agosto de 2026. En esta ronda de pruebas, la especialidad del modelo resultaron ser los motores de JavaScript: los componentes dentro de un navegador que ejecutan el código de cada sitio web que visita un usuario. Dado que procesan código no confiable de la web abierta, los motores de JavaScript históricamente han sido un objetivo principal para el desarrollo de exploits, un patrón que se refleja en la falla de Chrome V8 que el informe menciona más adelante.

En el benchmark ExploitBench de Anthropic, GLM-5.3 produjo exploits funcionales en 50 de 410 intentos, lo que equivale a una tasa de éxito de 12.2%. Como comparación, el propio modelo de Anthropic, Claude Mythos Preview, logró 56 exploits en el mismo benchmark.

Los resultados de Firefox son el elemento más llamativo del informe. Según los hallazgos, GLM-5.3 explotó seis versiones de Firefox usando correcciones de seguridad que habían sido escritas pero aún no distribuidas; en la práctica, convirtió parches no publicados en código de ataque funcional. El momento importa para los defensores: hasta que una corrección se distribuye, la falla que aborda sigue presente en las versiones del navegador que los usuarios ejecutan realmente.

Sesiones guiadas y un hermano más económico

La evaluación del equipo red team fue más allá de las puntuaciones del benchmark. Durante sesiones de investigación guiadas, GLM-5.3 identificó, según los informes, múltiples vulnerabilidades nuevas y luego las combinó en un exploit significativo: uno capaz de leer archivos arbitrarios de una máquina objetivo, incluidas claves SSH.

Una variante más pequeña, GLM-5.3-Flash, también mostró capacidad ofensiva. Encadenó fallas conocidas, incluido el bug de Chrome V8 registrado como CVE-2026-11645, para construir un exploit ARM64. El costo de API de ese trabajo fue de aproximadamente $20.40, un dato concreto de lo económico que puede ser el acceso al modelo subyacente, aunque la cifra corresponde al trabajo de la variante Flash sobre fallas ya conocidas y no a los hallazgos de Firefox del informe.

En cuanto al modelo insignia, GLM-5.3 cuenta con una ventana de contexto de 1 millón de tokens y es una evolución de GLM-5.2, con sus nuevas capacidades atribuidas al post-entrenamiento en lugar de a una reconstrucción desde cero.

Salvaguardas que en su mayoría no se sostienen

Anthropic informó que las salvaguardas del modelo pudieron ser eludidas en entre 64% y 100% de los casos mediante técnicas básicas.

La amplitud de la distribución del modelo le da a esas cifras un peso adicional. Los pesos de GLM-5.3 se han descargado más de 1.3 millones de veces desde Hugging Face y, como el modelo es de pesos abiertos, esas copias pueden ejecutarse en cualquier lugar, fuera del alcance de cualquier política de uso o sistema de monitoreo. Un modelo cerrado con salvaguardas débiles puede ser corregido por su desarrollador; un modelo de pesos abiertos con salvaguardas débiles, una vez descargado 1.3 millones de veces, no puede ser retirado.

Por qué esto importa más allá de Firefox

La respuesta de Mozilla demuestra que el sistema funciona, al menos en esta ocasión. Los hallazgos llevaron a un parche coordinado en las versiones de Firefox afectadas.

También vale la pena señalar quién realizó las pruebas. Anthropic desarrolla un modelo competidor, Claude Mythos Preview, que comparó directamente contra GLM-5.3. Las cifras son las propias de Anthropic, y los lectores deben ponderarlas con ese contexto en mente. El seguimiento natural a observar, entonces, es si evaluaciones independientes fuera de Anthropic corroboran las tasas de exploit reportadas.

Divulgación: este artículo fue editado por Diego Almada Lopez.

Fuente: CryptoBriefing