A SaferAI nevű AI-biztonsági nonprofit szervezet friss értékelése szerint a kínai Z.ai által közzétett nyílt súlyú nagy nyelvi modell, a GLM-5.2, képességeiben csak néhány hónappal marad el az iparág élmezőnyébe tartozó rendszerektől, például OpenAI GPT-5.5 és Anthropic Claude Opus 4.7 modelljeitől a kiber- és biológiai (dual-use) feladatokban.
Mit talált a SaferAI?
SaferAI a Z.ai nyilvános API-ján keresztül futtatta a teszteket. Az értékelés szerint a GLM-5.2 egyetlen, a jelentés által megadott támadó kiber- vagy kettős felhasználású biológiai feladatot sem utasított vissza. Ezzel szemben a Claude Opus 4.7 annyira következetesen elutasította az ilyen jellegű kéréseket, hogy a SaferAI nem tudta teljesíteni rajta a CyberGym benchmarkot.
A CyberGym egy olyan mérőeszköz, amely a kiberbiztonsági képességeket teszteli; OpenAI ezt a benchmarkot használta a Hugging Face elleni incidens előtti értékelésben, amelyre a jelentés is hivatkozik.
Miért számít ez?
A SaferAI eredményei rávilágítanak egy régóta fennálló aggályra: az open-weight (nyílt súlyú) modellek lehetővé teszik, hogy nagy képességű AI rendszerek letölthetők és helyben futtathatók legyenek, így a szolgáltatói oldalról alkalmazott védelmi intézkedések — mint az API-szintű vezérlések, elutasító tréningek és osztályozók — nem érvényesíthetők. Amint valaki lementi a súlyokat, eltávolíthatja vagy módosíthatja a védelmeket, finomhangolhatja a modellt, vagy változtathatja a rendszerpromptokat.
Henry Papadatos, a SaferAI ügyvezető igazgatója azt hangsúlyozta, hogy a képességek határa nem azonos a kockázatok határával: a kockázat megfelelő megítéléséhez a mitigációs intézkedések állapotát is figyelembe kell venni.
A jelenlegi védekezések korlátai
A nagyvállalati, „frontier” fejlesztők (például OpenAI és Anthropic) általában osztályozókat, elutasító tréninget és API-szintű korlátozásokat alkalmaznak a veszélyes kiber- és biológiai segítségnyújtás megakadályozására. Ezek azonban nem tökéletesek: a telepített modellek védelmeit gyakran át lehet járatni (jailbreak), és a Far.ai nonprofit riportja szerint több száz univerzális jailbreaket találtak olyan frontier modellekben, mint xAI Grok 4.5 és Google DeepMind Gemini 3.1 Pro.
A jelentés szerint a jailbreakek akkor sikeresek, amikor a támadók több manipulációs technikát kombinálnak — például szerepjátékot, hatósági megszemélyesítést, hamis beszélgetési előzményt és követő promptokat —, így felerősítve a modell védelmi gyenge pontjait.
A zárt modellekre alkalmazott védelmek az open-weight modellek esetében egyáltalán nem működnek, mivel az utóbbiak bármilyen infrastruktúrán futtathatók a védelmek megléte nélkül.
Lehetséges megközelítések és vitapontok
Papadatos felhoz egy lehetséges technikát, a pre-training adatszűrést: ez azt jelenti, hogy a fejlesztő eltávolítja a trenírozási adatokból a kifejezetten támadó kiberinformációkat, majd a tisztított adathalmazon tanítja a modellt. Egyes kutatások azt jelzik, hogy az ilyen szűrés csökkentheti a veszélyes biológiai tudást anélkül, hogy rontaná a modell általános teljesítményét. Ugyanakkor a kiberbiztonság területén az adatfiltálás kevésbé praktikus: nehéz olyan általános modellt tanítani, amely kiválóan kódol, de nem képes hacking jellegű feladatokra is.
A kódolási képességek jelenleg az AI-fejlesztés egyik fő bevételi forrásává váltak, ami nyomást gyakorol a fejlesztőkre, hogy tovább javítsák ezeket a funkciókat, miközben megpróbálják korlátozni a visszaéléseket.
Ezért a frontier fejlesztők alternatív mitigációs módszerekhez fordultak: egyes rendszereknél szelektíven korlátozzák, hogy milyen fajta kibersegítséget ad a modell. Például Anthropic Opus 5 képes keresni sebezhetőségeket forráskódban, de dokumentációja szerint nem támogatja a fordított, lefordított (compiled) szoftverekre vonatkozó vizsgálatot — az érvelés szerint ez megnehezíti a modell felhasználását offenzív célokra. További lépések közé tartozik a szigorú előtelepítési biztonsági értékelés, kockázatelemzések közzététele és a modellek súlyainak visszatartása, ha a rendszer túl veszélyesnek tűnik.
GLM-5.2 és Z.ai átláthatósága
A SaferAI azt jelzi, hogy Z.ai nem tett közzé biztonsági keretrendszert, előtelepítési tesztelési kötelezettségvállalást vagy kockázatelemzést a GLM-5.2-re vonatkozóan. A TechCrunch megkereste Z.ai-t, hogy a kiadás előtt történt-e belső vagy harmadik fél általi frontier biztonsági értékelés, de választ nem kapott.
Kína szabályozási és politikai környezete
A kínai vezetés egyre inkább ismeri fel a fejlett AI kockázatait. A múlt havi World AI Conference-en Xi Jinping kínai elnök hangsúlyozta a nyílt súlyú modellek jelentőségét, ugyanakkor kiemelte, hogy az AI-t szigorú emberi kontroll alatt kell tartani.
Graham Webster, a Stanford Cyber Policy Center kínai AI-politikát vizsgáló kutatója szerint Kína rendelkezik szigorú szabályokkal az AI-ral kapcsolatban, de ezek eddig elsősorban politikailag érzékeny tartalomra, félretájékoztatásra és társadalmi stabilitásra fókuszáltak, nem pedig olyan katasztrofális jellegű kockázatokra, mint az offenzív kiberképességek vagy biológiai visszaélések. Webster megjegyezte, hogy az amerikai szakértők általában nagyobb aggodalmat mutatnak az ilyen léptékű, egzisztenicális kockázatok miatt.
Webster emlékeztetett arra is, hogy a kínai rendszerben a felhasználói és vállalati tevékenység online gyakran valós névhez kötött, és a cégek elszámoltathatók, ami szerinte részben csökkenti a visszaélések kockázatát belföldön. Ugyanakkor azt is jelezte, hogy a kínai szolgáltatók gyakran a hatóságokkal koordinálnak a háttérben, ezért nehéz megítélni, milyen belső teszteket végeznek a termékek kiadása előtt.
Nyílt súlyú modellek védelmi érvei és kritikája
A nyílt súlyú modellek támogatói azzal érvelnek, hogy a súlyok közzététele előnyös a kiberbiztonság számára, mert lehetővé teszi a védelmi oldalon álló szereplők számára, hogy jobban felkészüljenek és megvédjék magukat a támadásokkal szemben. A Hugging Face vezérigazgatója, Clem Delangue erre példaként hozta, hogy a GLM-5.2 segített a Hugging Face-nek védekezni egy OpenAI által okozott incidens ellen.
Henry Papadatos szerint azonban ez a haszon gyakran túlértékelt, és nem jelenti azt, hogy veszélyes képességeket nyílt forrásra kell hozni. Szerinte nem szabad elfogadnunk, hogy a veszélyes képességek bárki számára könnyen hozzáférhetővé váljanak, hanem arra kell törekedni, hogy a „jó” — biztonságos — képességek legyenek hozzáférhetők, míg a károsakat igyekezzünk eltávolítani vagy korlátozni.
Papadatos felhívta a figyelmet egy fontos dinamikára: a támadók rendszerint gyorsabban adaptálják az új eszközöket, mint a védekezők. Egy zsarolóvírus-csoport például egy hét alatt is megváltoztathatja módszereit, míg egy kórház vagy más kritikus infrastruktúra sokkal lassabban tud alkalmazkodni.
Összegzés
A SaferAI értékelése azt mutatja, hogy a GLM-5.2 képességeiben jelentősen felzárkózott a globális élmezőnyhöz, ugyanakkor az általa feltárt biztonsági hiányok élesebbé teszik a vitát arról, hogy miként kell kezelni az open-weight modellek elterjedését. Amíg a súlyok szabadon elérhetők és futtathatók, a szolgáltatói oldalról alkalmazott védelmek nem garantálhatók, ami növeli a visszaélések és a kártékony alkalmazások kockázatát.
