Wschód też dawkuje

W czerwcu, gdy rząd USA wyłączył Fable 5, a Azja odpowiedziała trzema niezależnymi demonstracjami, że zdolność i tak jest już dostępna, postawiliśmy tezę o dwóch filozofiach: Zachód dawkuje zdolność cyber i trzyma ją w modelach pod kontrolą, Wschód rozdaje ją otwarcie. Powtórzyliśmy ją w lipcu, gdy czterej zachodni dostawcy w ciągu tygodnia wypuścili wyspecjalizowane modele cyber i żaden nie udostępnił ich jako otwartego punktu końcowego.

14 sierpnia chińskie Zhipu wypuściło GLM-5.3 i ogłosiło, że bije zachodnie modele w znajdowaniu podatności. Nagłówki poszły w stronę, w którą musiały pójść: Chiny wyprzedziły Anthropic.

Ale w tym samym komunikacie jest zdanie, które unieważnia tezę, jaką prowadziliśmy przez dwa miesiące. Ryzykowne zdolności cyberbezpieczeństwa GLM-5.3 pozostaną ograniczone do programu zaufanego dostępu.

Ostatni gracz, który budował tożsamość na otwartości, właśnie postawił bramkę.

Najpierw liczby, bo znaczą mniej, niż się wydaje

Zanim przejdziemy do rzeczy istotnej, trzeba rozebrać nagłówek — bo to już trzeci raz w ciągu trzech tygodni.

Deklarowany wynik to 84,5% na benchmarku CyberGym, wobec 83,8% dla Mythosa 5 i 83,6% dla GPT-5.6 Sol. Przewaga wynosi zatem 0,7 punktu procentowego i nie została niezależnie zweryfikowana. Przy tej skali różnicy i przy pomiarze prowadzonym przez samego producenta ostrożność jest obowiązkowa — to jest w granicach szumu, nie przewagi.

Ważniejszy jest jednak drugi test, o którym nagłówki milczą. Na ExploitBench, mierzącym przekuwanie znalezionej luki w działający exploit, GLM-5.3 uzyskał 54,4% wobec 78,0% Mythosa — czyli został w tyle o dwadzieścia cztery punkty. Na innych benchmarkach bezpieczeństwa i kodowania również wypada gorzej od modeli zachodnich.

Obraz jest więc taki: model jest dobry w znajdowaniu podatności i wyraźnie słabszy w ich uzbrajaniu. To rozróżnienie nie jest kosmetyczne, bo pierwsza połowa tej pracy jest bardziej obronna niż druga. Zdanie „lepszy w cyber" ukrywa fakt, że mówimy o modelu asymetrycznym — mocnym po stronie wykrywania, słabszym po stronie ataku.

Warto to zestawić z poprzednimi dwoma tygodniami. Przy modelu Microsoftu nagłówkowe 95,95% okazało się wynikiem całego systemu agentowego z modelem konkurencji w parze, nieobecnym na publicznej tablicy i policzonym innym kryterium niż wynik poprzedni. Przy OpenAI deklarowane 95% okazało się wskaźnikiem odmów przebranym za wskaźnik zdolności. Teraz mamy 0,7 punktu bez weryfikacji, przy dwudziestoczteropunktowej stracie na drugim teście.

Trzy komunikaty, trzy różne sztuczki, jeden wzorzec: liczba w nagłówku mierzy coś węższego, niż sugeruje. To jest już reguła, a nie zbieg okoliczności, i warto ją stosować odruchowo przy każdym kolejnym ogłoszeniu.

Rzecz, która naprawdę się zmieniła

A teraz sedno, które w relacjach ginie pod porównaniami punktowymi.

Zhipu — firma, której cała pozycja rynkowa opierała się na otwartych wagach, licencji pozwalającej każdemu pobrać model i argumencie, że to demokratyzuje bezpieczeństwo — wprowadza bramkę dla zdolności cyber. Model ma być publicznie dostępny za około dwa tygodnie po ocenie bezpieczeństwa, ale te konkretne zdolności zostają za weryfikacją. Firma pisze o początkowej grupie partnerów oferujących usługi oparte na modelu „z zabezpieczeniami i politykami użycia" oraz o rozszerzaniu dostępu partnerskiego „w spójnym i odpowiedzialnym procesie".

To jest ten sam język, którym posługują się wszyscy pozostali. Zweryfikowani partnerzy, polityka użycia, stopniowe rozszerzanie.

Policzmy zatem, gdzie jesteśmy. Google udostępnia model cyber wyłącznie instytucjom rządowym i zaufanym partnerom. Microsoft — tylko wewnątrz własnego narzędzia, dla zatwierdzonych klientów. Anthropic prowadzi weryfikowany program partnerski. OpenAI ma dwupoziomową bramkę z weryfikacją tożsamości i sprzętowym kluczem od września. A teraz Zhipu, ostatni duży gracz po drugiej stronie, robi to samo.

Pięciu dostawców, pięć mechanizmów, zero otwartych punktów końcowych dla zdolności ofensywnych.

W Radarze #4 postawiliśmy trzy tygodnie temu projekcję, że reglamentacja przestanie być wydarzeniem politycznym i stanie się domyślnym kształtem produktu, z oceną pewności średnio-wysoką. Trudno o szybsze i pełniejsze potwierdzenie — i trzeba uczciwie powiedzieć, że przyszło z kierunku, którego w tej projekcji nie zakładaliśmy. Spodziewaliśmy się utrwalenia podziału na dwie filozofie. Zamiast tego mamy zbieżność.

Ironia, którą trzeba oddać rzetelnie

W tym samym komunikacie Z.ai krytykuje podejście Anthropic, argumentując, że zaawansowane narzędzia AI do bezpieczeństwa obronnego powinny być dostępne dla deweloperów open source i mniejszych zespołów, a nie kontrolowane przez wąską grupę dostawców modeli zamkniętych.

I jednocześnie zamyka własne zdolności cyber za programem zaufanego dostępu.

Można to nazwać hipokryzją, ale to byłoby zbyt łatwe i prawdopodobnie nietrafne. Bardziej prawdopodobne jest to, że firma doszła do tego samego wniosku, do którego doszli wszyscy pozostali, gdy ich modele przekroczyły pewien próg zdolności — i że argument o demokratyzacji dotyczy szerokich zdolności modelu, a bramka dotyczy tego wąskiego wycinka, który realnie obniża barierę wejścia dla atakującego.

To jest zresztą stanowisko spójne z tym, co widzieliśmy przy każdym z pozostałych dostawców. Nikt z nich nie zamyka wszystkiego. Wszyscy zamykają ten sam fragment.

Jest tu jednak obserwacja, która wykracza poza jedną firmę i którą warto zapamiętać. Otwartość okazała się stanem, z którego się wychodzi po przekroczeniu progu zdolności, a nie filozofią, przy której się trwa. Zhipu przez rok argumentowało, że wolne udostępnianie modeli jest właściwym modelem dla bezpieczeństwa. Argument nie zmienił się w chwili, gdy zmieniła się firma — zmienił się w chwili, gdy zmieniły się możliwości modelu.

Uczciwie: co to jest, a czego nie

Kilka zastrzeżeń, bo ta historia łatwo poddaje się przesadzie w obie strony.

Wyniki nie są niezależnie zweryfikowane i pochodzą od producenta. Przy różnicy poniżej jednego punktu procentowego nie da się na tej podstawie stwierdzić, że którykolwiek model jest lepszy. Rozsądny wniosek brzmi: wyniki są porównywalne, co samo w sobie jest istotne, ale nie jest tym, co ogłaszają nagłówki.

Nie wiadomo też, ile z GLM-5.3 zostanie realnie zamknięte. Model ma być publicznie dostępny, a bramka dotyczy zdolności opisanych jako ryzykowne — bez publicznej definicji, gdzie dokładnie przebiega ta granica i jak będzie egzekwowana przy modelu o otwartych wagach. To jest zresztą pytanie techniczne, na które przy modelach otwartych nikt nie ma dobrej odpowiedzi: bramkować można usługę, trudniej wagi.

Warto też odnotować kontekst polityczny, który w części relacji dominuje. Zhipu jest wiązane z chińskim państwem — wskazuje się na ponad 1,4 miliarda dolarów inwestycji ze środków publicznych i udział w tworzeniu krajowych standardów technicznych. To jest istotne przy ocenie, czym jest „zaufany dostęp" w tym konkretnym przypadku, bo zaufanie jest tu przyznawane w innym systemie prawnym i z innymi obowiązkami — przypomnijmy, że chińskie przepisy wymagają zgłaszania znalezionych zero-dayów do organów państwa przed powiadomieniem producenta.

I rzecz, o której nie należy zapominać przy ocenie tego modelu: to właśnie GLM-5.2 posłużył zespołowi Hugging Face do analizy włamania, gdy komercyjne modele zachodnie zablokowały jego zapytania. Opisywaliśmy ten incydent w lipcu i wtedy otwartość tego modelu była dla obrońcy jedynym wyjściem. Za dwa tygodnie ta sama firma zamyka analogiczne zdolności w kolejnej wersji.

Co z tego wynika dla obrońcy

Rzecz pierwsza jest interpretacyjna i najbardziej praktyczna. Jeśli w twoim planowaniu jest gdzieś założenie, że w razie potrzeby sięgniesz po otwarty model o zdolnościach cyber, bo takie zawsze będą dostępne — to założenie właśnie straciło ostatnie oparcie. Nie znaczy to, że otwarte modele znikną; znaczy, że najwyższy poziom zdolności przestaje być tym, co się pobiera, a staje się tym, do czego się kwalifikuje, po obu stronach oceanu.

Rzecz druga dotyczy czytania komunikatów. Przy każdym ogłoszeniu modelu cyber sprawdzaj trzy rzeczy: co dokładnie mierzy podana liczba, czy istnieje drugi benchmark, na którym model wypada gorzej, i czy porównanie zostało zweryfikowane przez kogokolwiek poza producentem. W tym przypadku odpowiedzi brzmią: znajdowanie a nie uzbrajanie, tak — z dwudziestoczteropunktową stratą, oraz nie.

Rzecz trzecia jest strategiczna. Skoro pięciu największych dostawców niezależnie doszło do tego samego modelu dystrybucji, warto przyjąć, że tak zostanie, i wpisać to w planowanie. Pytanie „czy nasz dostawca bezpieczeństwa jest w którymkolwiek z tych programów i co z tego dostajemy my" jest teraz sensownym pytaniem do zadania przed podpisaniem umowy.

Jedna myśl na koniec

Przez dwa miesiące opisywaliśmy to jako spór dwóch filozofii: jedna reglamentuje, druga rozdaje, a napięcie między nimi wyznacza kształt całego rynku. To była dobra teza i miała mocne poparcie w faktach.

Okazała się przejściowa. Nie dlatego, że jedna strona wygrała spór, lecz dlatego, że obie doszły osobno do tego samego wniosku po przekroczeniu tego samego progu. Firma, która jeszcze w lipcu była dla zaatakowanego zespołu jedynym dostępnym narzędziem, bo nie odmawiała, w sierpniu zaczyna odmawiać — nie z powodu nacisku, regulacji ani sankcji, tylko dlatego, że jej model stał się na tyle dobry, że to samo pytanie stanęło również przed nią.

Dawkowanie nie okazało się więc zachodnią doktryną. Okazało się tym, co robi każdy, kto zbuduje model wystarczająco dobry, żeby musieć zdecydować, komu go dać.

Źródła

The Register — relacja z ogłoszenia GLM-5.3 z deklarowanymi wynikami na CyberGym wobec Fable 5 i GPT-5.6 Sol, cytatem Zhipu o rozumowaniu przez wieloetapowe łańcuchy eksploatacji oraz danymi o 2436 podatnościach znalezionych w 269 projektach: https://www.theregister.com/security/2026/08/17/chinese-ai-company-zhipu-claims-its-new-model-is-a-better-bug-finder-than-anthropic-openai/5288203

BigGo Finance — szczegółowe zestawienie wyników, w tym dwudziestoczteropunktowa strata GLM-5.3 wobec Mythosa 5 na teście ExploitBench, zastrzeżenie o braku niezależnej weryfikacji oraz argumentacja Z.ai o dostępności narzędzi obronnych: https://finance.biggo.com/news/b569502f-66a8-4fbc-94f1-8ffd61046cee

The Daily Caller — cytaty z komunikatów Z.ai o ograniczeniu ryzykownych zdolności cyberbezpieczeństwa do programu zaufanego dostępu, początkowej grupie partnerów oraz kontekst powiązań firmy z chińskim państwem: https://dailycaller.com/2026/08/14/ccp-linked-ai-rivals-us-anthropics-model-cyber-tests/

Cryptopolitan — porównanie architektury GLM-5.3 z poprzednią wersją, dokładne wyniki punktowe oraz przypomnienie, że wcześniejszy model tej firmy posłużył Hugging Face do analizy incydentu: https://www.cryptopolitan.com/better-than-mythos-5-z-ai-glm-5-3-claim/