実現方法 · その1

トレーニング環境を「エンジニアが数日かかる本番作業」に

では、ポストトレーニングを拡大するとは、具体的に何を拡大したのでしょうか。答えはタスク環境です。

従来のコーディングモデルのトレーニング環境は、プログラミング演習問題でした。入力と出力が明確で、数分で解け、正誤も一目瞭然です。GLM-5.3 の環境は、その正反対に振り切れています。経験豊富なエンジニアが数日かかる仕事です。

公式発表が挙げる例は、機械学習インフラストラクチャのタスクです。モデルが与えられる環境はエンジニアと完全に同じです。計算クラスター、ストレージシステム、社内ドキュメント、コードベース、過去の実験結果にアクセスできます。モデルは、トレーニングパイプライン全体のボトルネックを自分で診断し、最適化を実行し、実験で検証し、最終的に測定可能なエンドツーエンドの高速化を納品する必要があります。しかも、正しさを損なわないという条件付きです。

この変更の狙いは、モデルに仕事全体を丸ごと任せることです。ユーザーが問題を細かく分解して、一歩ずつ監視しながら進めるのではありません。

実現方法 · その2

環境構築がボトルネックに。Agent に環境を作らせる

しかし、環境を実務に近づけると、すぐに新しい問題に直面しました。Agent の能力が上がるにつれて、ポストトレーニングの難しさはモデル側から環境側へと移ったのです。

有用なタスク環境には3つの厳しい条件があります。実行できること、自動で正誤判定できること、実際の専門業務に近いこと。この3つをすべて満たすのは簡単ではありません。さらに厄介なのは、それが大量に必要だということです。手作業で精緻な環境をいくつか作っても、大規模なトレーニングは支えられません。

彼らの解決策は、環境構築自体も Agent に任せるというものです。

このパイプラインでは、検証器は模範解答を見ない状態で合成されます。もし検証器が模範解答に基づいて書かれていたら、モデルが学ぶのは問題解決ではなく「答え合わせ」になってしまうからです。

このパイプラインは現在でもかなりの人手が必要です。環境生成と検証をより自律的にすることが、彼らが明記した次のステップです。

結果 · コーディング

6つのベンチマーク中2つで首位、最難関では6点差

前バージョンとの比較：

公式発表による6ベンチマークの横比較。濃い青が GLM-5.3、緑が前バージョンの GLM-5.2。後ろの3本は順に Kimi K3、Fable 5、GPT-5.6 Sol。画像出典：Z.ai 公式発表ブログ。

6項目中2項目で全モデル中首位です。クローズドソースのモデルも含めてです。

上表は当サイトが公式図表とデータ表から各項目を読み取り再構成したものです。公式原典にはこのようなまとめはありません。

結果 · 効率

GLM-5.3 のトークン消費量は Opus 4.8 の半分

スコア向上は、モデルに「考えさせる量」を増やしたからではありません。

Z.ai Code Bench v1.0 における精度と出力トークン消費量。各線上の3点は、同じモデルの3段階の思考強度を示します。画像出典：Z.ai 公式発表ブログ。

数値が明確な4つの点を、トークン消費量で揃えてみます。

自社の前バージョンとの比較でも同じ傾向です。Max は 34.5点を約 75K トークンで達成。前バージョンの GLM-5.2 は 23.4点を取るのに 96K 消費していました。スコアが高いのに、トークンは少ない。

Claude Fable 5 は曲線全体が GLM-5.3 の上にあり、Max で 39.5点です。

このグラフは Z.ai 自社の Code Bench を使用しており、非公開です。公開ベンチマークはトレーニングデータに汚染されるのを避けるため、というのが彼らの説明です。理屈は通っていますが、その代償として、この曲線は第三者による独立した再現ができません。

想定外

単発の脆弱性発見から、攻撃チェーン全体の計画へ

ポストトレーニングの際、彼らはトレーニングレシピに脆弱性発見のデータと環境を追加しました。本来の期待は、モデルが脆弱性をより良く発見・分析できるようになることだけでした。実際に起きたことは、その期待を超えていました。トレーニング規模が拡大するにつれ、モデルは孤立した欠陥を次々と見つけるだけでなく、複数のエクスプロイト段階にわたって推論し、エクスプロイトチェーン全体の一貫した計画を立てるようになったのです。

3つのサイバーセキュリティベンチマークの比較。ExploitGym のグループにある薄い色の棒は2時間予算、濃い色は6時間予算です。画像出典：Z.ai 公式発表ブログ。

3つのベンチマークを「完全な攻撃チェーンへの近さ」に応じて浅いものから深いものへ並べると、傾向は明確です。

CyberGym の 84.5 は全モデル中1位です。ExploitGym の2つの数字はそれぞれ2時間と6時間の予算に対応しますが、これは同じ物理的なストップウォッチではありません。予算は各モデルの出力速度で按分されます。GLM-5.3 は毎秒115トークン、Kimi K3 は40、Qwen3.8 Max は47で按分されるため、速いモデルは同じ「2時間」でも実際には多くの試行ができます。「最強のクローズド」の列は、CyberGym と ExploitBench が Mythos 5 と GPT-5.6 Sol、ExploitGym が GPT-5.6 Sol です。

エクスプロイトチェーンの深部に進むほど、前バージョンからの伸びは大きくなります。ExploitBench は2倍以上、ExploitGym は29タスクから105タスクへと跳ね上がりました。しかし、同じ方向で、クローズドソースのフロンティアとの差も大きくなります。ExploitGym では GPT-5.6 Sol が 216 タスクを完了しており、2倍の差です。

Capability is growing fastest exactly where we are furthest behind.（我々の能力が最も速く成長しているのは、まさに最も遅れている分野だ。）

Z.ai 公式発表ブログ

具体的な証拠

すでに 269 のオープンソースプロジェクトで 2,436 件の脆弱性を発見

しかし、この能力はベンチマークの中だけにとどまっていません。GLM-5.2 の発表以来、彼らは清華大学、南開大学と連携し、さらに云起无垠、绿盟科技、赛博昆仑、DARKNAVY、华顺信安、奇安信、安恒信息、元序星核、Tencent 玄武、雲鼎ラボなどのセキュリティチームームと共に、集中的なレッドチームテストを実施しました。一次スクリーニングと重複除去の後、以下の結果です。

対象範囲は、システムカーネル、オペレーティングシステム、ブラウザエンジン、オープンソースインフラストラクチャ、Web アプリケーション、ネットワークプロトコルに及びます。それらがコードに書き込まれた時期は40年以上にわたり、最も古いものは1981年まで遡ります。

これらの脆弱性は自分で確認できます

彼らは公開台帳（cvd.z.ai）を立ち上げ、開示の進捗を追跡しています。すでに公開されたものと、まだ開示禁止期間中のものを区別しています。現在、53件が公開済み、2,383件は開示禁止期間中です。

当サイトはこの台帳を確認しました。公開済みのエントリにはすべて CVE 番号が付いており、独立して検証できます。いくつか抜粋します。

命中したのは Linux カーネル、Apple のブラウザエンジン、FreeBSD、GStreamer。これらのコードは何十年もの間、数え切れないほどの目で監査されてきました。

公式はこの脆弱性群の脅威レベルについて、具体的な判断を示しています。一部の脆弱性は、Android、Windows、macOS、および某国を代表する国民的通信ソフトウェアで大規模なクラッシュを引き起こす可能性があります。関連する脆弱性は順次 CNNVD／CNVD などの国家脆弱性データベースに提出されています。

3,000万元という数字の算出根拠。横8行がバウンティの金額帯で、最高の900万ドルから10万ドルまで並んでいます。各マスが対象ソフトウェアで、緑のチェックは GLM が発見、赤いバツは未発見。最高額帯では Linux、Windows、macOS、VMware、FreeBSD、OpenBSD、麒麟OS、統信OS が緑、PlayStation、iOS、Android が赤。700万ドル帯では Safari/WebKit、Chrome、WeChat、WPS を確保、Edge、Firefox、Tor Browser は未達。参考価格の出典：Zerodium / Crowdfense / Pwn2Own / GeekCon / Apple Security Bounty。公式は図中に「あくまで公開価格の参考であり、実際の成約価格は異なる場合がある」と注記しています。画像出典：智谱公式中国語発表原稿。

この表によると、本記事で言及した Linux カーネルは900万ドル帯、Safari/WebKit は700万ドル帯、GStreamer は100万ドル帯、Suricata と後述の Cursor（AI コーディングエディタ）は50万ドル帯、Joomla は25万ドル帯です。公式は未発見のものも併せて明示しています。nginx、OpenSSL、curl、OpenSSH など、長年にわたり繰り返し監査されてきた基盤コンポーネントは赤いバツです。PyTorch、TensorFlow、vLLM、Ollama といった AI インフラストラクチャも赤いバツです。

台帳の開示規律は次の通りです。開示プロセスを完了し、ベンダーが修正済みの脆弱性のみを公開します。まだ調整中の開示段階にあるものは、台帳には脆弱性のハッシュ値のみが掲載されます。将来公開される際に、ハッシュで照合して検証できるようにするためです。詳細を事前に漏らさず、後から恣意的に変更することも防ぎます。

5つの事例

阻止された5つの出来事。Cursor から人型ロボットまで

2,436という数字は抽象的すぎます。公式は、修正が完了した5つの事例を選んで詳細を説明しており、「1つの脆弱性」を「何が起きかけたか」に置き換えています。この5つの出来事がカバーする範囲は、開発者のエディタから、歩くロボットにまで及びます。

この5つの出来事を合わせて見ると、GLM が守る対象は、コードと端末から、インターネットの基盤となるプロトコル、さらには物理世界で動くデバイスへと広がっています。上記の脆弱性はすべてベンダーに連絡し修正済みで、CNNVD／CNVD の責任ある開示と協調修正プロセスに入っています。

立場

Neo という攻撃側 Agent の追跡

もう1つ、性質が少し異なる事例があります。今回、対峙した相手もまた AI でした。

2026年7月、ブラジルに置かれた一時的なファイルサーバーが Ferret の監視範囲に入りました（Ferret は GLM-5.3 の初期パートナー FOFA の追跡分析エンジンです）。GLM-5.3 はすぐに、これが普通のサーバーではないと気付きました。ディレクトリには攻撃インフラストラクチャに関する大量の情報が積まれていたからです。

分析を進めると、Neo という名前の AI Agent が浮上しました。その目標は、某国の会計事務所、税務サービス会社、記帳機関への攻撃でした。

これらは Neo が2ヶ月足らずで立ち上げた規模です。さらに 100 以上のスクリプトもありました。数千のオープンディレクトリ、数万のログ、高度に断片化された手がかりを相手に、人手でそれらを関連付けるのはほぼ不可能です。GLM-5.3 は重要な手がかりを抽出し、攻撃を関連付けて、セキュリティ研究者が攻撃チェーン全体を復元するのを支援しました。攻撃者がどう標的を収集し、どうメールシステムを構築し、どう企業顧客や業界団体になりすまし、どう後の悪意のあるファイルを準備したかまで。

同じモデルでも、どちらの側に立つかは、それを手にする人と目的次第だ。

智谱公式中国語発表原稿

公式はこの出来事をもう1つの出来事と並べました。以前の Hugging Face のセキュリティ事件では、フロンティアモデルが逃走して攻撃を仕掛け、GLM-5.2 がローカルに展開されてフォレンジックを支援しました。今回は、Agent が攻撃側のために働き、GLM-5.3 が防御側の証拠から攻撃チェーンを復元するのを助けました。どちらも AI 対 AI ですが、攻守が入れ替わっただけです。

オープンソースの代償

重みの公開は2週間延期、セキュリティ評価完了後に

今回はオープンソースに条件が付きました。発表ノートの原文は「2週間後に重みを公開。前提としてセキュリティ評価と強化の完了」です。

ページ上の HuggingFace リンクは現在、ページ自身のアンカーを指しており、Coming Soon と表示されています。重みは確かにまだ公開されていません。この2週間に行うことは、原文の言葉を借りれば「潜在的な攻撃能力を可能な限り制限し、防御的価値を維持する」ことです。

具体的にどこを強化するのか：3層の防御線

リスク審査システムは階層的に設計されており、外部の API からモデル内部にまで及びます。基本思想は多層防御です。どの層も完璧ではないと仮定し、互いに独立した複数の層を冗長化させます。

難しいのは、サイバーセキュリティの現場では攻撃と防御のタスクが字義通りには非常に似ていることです。両者を本当に区別するのは意図と文脈です。そこで3層すべてに、キーワードではなく意図中心の判断が求められ、そのための差分的なデータ合成と、多数のジェイルブレイク変種や偽装手法に対する敵対的データの構築が行われました。

彼らはまた、サイバーセキュリティの一般的なタスクを分類し（セキュリティ知識 Q&A、ブルーチーム防御、CTF 問題、脆弱性発見と修正、脆弱性の悪用と攻撃、ペネトレーションテスト、実際の侵入など）、各カテゴリについて段階的リスクのある事例データを作成しました。目標は、高リスクのリクエストを遮断しつつ、教育や防御目的の通常利用を誤ってブロックしないことです。モデルの最も機微な能力は、「サイバーセキュリティ信頼済みアクセス」プログラムを通じて検証済みユーザーにのみ提供されます。

発表前には、国内トップクラスのセキュリティチームによる評価が実施されました。DARKNAVY の結論は、モデルはリスク防御と能力解放の間で良好なバランスを実現し、前世代と比較して権限のない悪意ある悪用のハードルを大幅に引き上げたというものです。

彼らの立場：オープンソースにしないことが最も不安全

中国語版はオープンソース化の理由をより強く述べています。起点は Hugging Face のセキュリティ事件です。強力な攻撃能力が拡散しているのであれば、防御能力を少数のクローズドソースモデル企業だけの手に委ねるわけにはいきません。彼らは名指しで述べました。Anthropic は約150の大規模組織に Mythos モデルとセキュリティサービスを提供していますが、より広範な企業やオープンソースプロジェクトは同等レベルのセキュリティ能力を得られず、最も支援を必要とする時にクローズドソースモデルから門前払いされる可能性すらあります。

最強の矛がごく一部の者の手に閉じ込められているなら、最良の盾はすべての人のものとなるべきだ。

智谱公式中国語発表原稿

発表と同時に始動したのは「開源之盾（オープンソースの盾）」という計画です。3つの柱：重点オープンソースプロジェクトへの継続的なセキュリティ監査、メンテナー向けの無料の脆弱性発見・修正支援（入り口は HuggingFace 上の OpenVuln）、オープンソースコミュニティへのモデル割り当ての無料提供（オープンソースプロジェクトのメンテナーはセキュリティ監査に申請可能）、ZCode 内でのコード監査機能提供（セキュリティチェックを日常の開発プロセスに組み込む）。

導入

接続前にコード変更が必要：思考のオフは不可

では、実際に使い始めようと考えている人には、もう1つ知っておくべきことがあります。GLM-5.3 は思考のオフをサポートしなくなりました。これまで thinking.type を disabled に設定して使っていたアプリは、モデル ID を直接切り替えるとリクエストが失敗します。

{
  "model": "glm-5.3",
  "thinking": { "type": "enabled" },   // 従来の disabled はサポートされません
  "reasoning_effort": "max"            // low / high / max、デフォルトは max
}

課金はクレジット制に変更

GLM Coding Plan は現在クレジット制で、入力・キャッシュ入力・出力が別々にカウントされます。コストに大きな影響を与える変更が1つあります。ピーク時間外の呼び出しはクレジット消費が半分になります。ピーク時間は平日の 14:00–18:00（UTC+8）で、それ以外のすべての時間、週末全体を含めて50%オフで計算されます。

利用できる場所は英語ブログがカバーする範囲より広いです。公式自社のコーディングツール ZCode と効率ツール AutoClaw に加え、TraeWork／TraeCode／扣子、WorkBuddy／CodeBuddy、Qoder／QwenWork、CatPaw、JoyCode、OpenCode など多数のコーディングプラットフォームでアーリーアクセスが開始され、Claude Code にも接続できます。API はまだ公開されておらず、公式の見解は「まもなく提供開始」です。また、発表当日の13:00に GLM Coding Plan の全員分の割り当てがリセットされ、バックエンドの「使用量統計」で割り当てが満タンに戻っているのを確認できます。公式自社の ZCode には期間限定の条項がいくつか付いています（以下は公式発表の内容）：キャッシュヒット率98%以上、繰り返しコンテキストはより低いキャッシュ価格で計算されるため、実質約30%の有効トークンが増えることに相当。8月31日までにさらに1.5倍のクォータ加算があり、キャッシュ節約と組み合わせると最大で標準クォータの180%になります。ローカルデプロイを検討している場合は、2週間後の重みを待ってください。

従来のコーディングモデルの学習では、数分で解ける練習問題が使われてきました。GLM-5.3 のトレーニング環境は、経験豊富なエンジニアが数日かけて行うようなタスクに切り替えられています。自己診断、動作の最適化、実験の実行、測定可能な成果物の提出といった一連の流れです。この環境構築自体がボトルネックになったため、Z.ai はエージェント自身に環境を構築させ、さらにその環境が解けるかどうかをエージェント自身に検証させる方法を採用しました。

前バージョンとの比較では、最難関の Terminal Bench 3.0 が 4.6 点から 28.3 点へと上昇しました。6つのベンチマーク中、GLM-5.3 はクローズドソースのライバルを含む全モデルの中で2つの項目でトップを獲得。ただし、最も難しいターミナルコーディングタスクでは、最前線のモデルに約6ポイント差をつけられています。効率面では、同じ精度帯域において消費トークン数が明らかに少なくなっています。

トレーニング時、Z.ai はモデルが脆弱性をより良く発見・分析できるようになることだけを期待していました。しかし規模が大きくなるにつれ、モデルは複数のエクスプロイト段階をまたいで推論し、欠陥の発見から実際の侵害に至るまでの完全な計画を立案するようになりました。CyberGym 脆弱性発見ベンチマークでは 84.5 点を獲得し、全モデル中トップです。この能力はすでに現実世界で活用されており、複数のセキュリティチームと連携し、269 のオープンソースプロジェクトで 2,436 件の脆弱性を発見しました。

これらの脆弱性は、開発者ツール、チャットソフトウェア、プロトコル基盤、人型ロボットにまで及びます。攻撃側エージェント「Neo」を追跡した際、GLM-5.3 は数万件のログから、Neo が2か月間に送信した 18,567 通のフィッシングメールの完全な手口を特定するのに貢献しました。

脆弱性の発見能力がここまで高まると、一度ウェイトが公開されれば、誰でもこのモデルを使ってあらゆるコードベースをスキャンできてしまいます。そこで Z.ai は、公開とオープンソース化の間に、セキュリティ評価と対策のための2週間を設けました。