GLM-5.2 tidak sekadar mengejar ketertinggalan. Ia melewati garis finis untuk mendapatkan kemampuan mentah sambil mengabaikan rem keselamatannya.
Hal ini penting karena model dari Z.ai—pengembang open-weight terkemuka di Tiongkok—kini hanya tertinggal beberapa bulan dari GPT-6.6 Sol OpenAI dan Claude Opus dari Anthropic dalam bidang spesifik dan berisiko tinggi seperti penelitian siber dan biologi. Perpecahan ini bukan terletak pada apakah model terbuka ini dapat bersaing. Ini tentang siapa yang mengendalikan detonator setelah beban tersebut beredar di internet.
Data dari SaferAI tidak jelas. Saat diuji melalui API publik Z.ai di CyberGym—sebuah tolok ukur yang dirancang untuk menguji pertahanan keamanan siber—GLM-5.2 sama sekali tidak menolak apa pun. Tidak ada satupun tugas cyber yang ofensif. Tidak ada satu pun permintaan biologi penggunaan ganda. Bandingkan dengan Claude Opus, yang menolak secara konsisten sehingga evaluator bahkan tidak dapat menjalankan keseluruhannya. Kontrasnya sangat mencolok. Ini adalah modus kegagalan yang telah diperingatkan oleh para kritikus selama bertahun-tahun, namun kecepatan melebarnya kesenjangan ini memerlukan perhatian segera.
Bagaimana Model Open-Weight Mengabaikan Perlindungan Tradisional
Masalah inti dengan arsitektur bobot terbuka sederhana saja: setelah Anda mengunduh bobot, Anda memiliki mesinnya. Perlindungan yang diandalkan oleh model tertutup terdepan seperti Anthropic atau Google DeepMind—filter tingkat API, pelatihan penolakan, pemblokir pengklasifikasi—hilang.
Anda tidak dapat mengawasi instalasi lokal.
Pengguna yang menjalankan GLM-5.2 pada perangkat kerasnya sendiri dapat menghilangkan lapisan keamanan apa pun. Mereka dapat menyempurnakan model tersebut untuk tujuan jahat. Mereka dapat menulis ulang perintah sistem untuk mengabaikan semua batasan etika. Teknologi tidak membedakan antara peneliti defensif dan penyerang.
“Pemfilteran data pra-pelatihan” adalah salah satu solusi teoretis. Dengan menghapus data cyber dan bio yang menyinggung dari set pelatihan sebelum model tersebut dipelajari, pengembang berharap dapat menghilangkan pengetahuan yang berbahaya dari model tersebut. Hal ini menunjukkan beberapa harapan dalam konteks biologis. Dalam pengkodean dan keamanan siber? Ini hampir mustahil. Anda tidak dapat melatih model untuk menulis kode yang efisien dan aman tanpa secara bersamaan mengajarkan logika yang diperlukan untuk mengeksploitasi kode tersebut. Kedua kemampuan tersebut adalah dua sisi dari mata uang yang sama.
Jadi, pengembang model tertutup mencoba membatasi cakupan bantuan. Model Anthropic, misalnya, akan memindai kode sumber yang belum dikompilasi untuk mencari kerentanan tetapi tidak akan menyentuh perangkat lunak yang dikompilasi, seolah-olah untuk memblokir eksploitasi yang menyinggung. Tapi ini adalah ember yang bocor.
Far.ai baru-baru ini menemukan ratusan jailbreak universal—kunci yang dapat digunakan kembali yang melewati pertahanan di sebagian besar permintaan berbahaya—dalam model seperti Grok dan Gemini. Penyerang tidak hanya membutuhkan satu trik. Mereka menggabungkan permainan peran, peniruan identitas otoritas, sejarah palsu, dan petunjuk tindak lanjut untuk memperkuat titik lemah hingga pagar pembatas runtuh. Ini adalah permainan kucing dan tikus dimana kucing sudah menyerah.
Posisi Perdebatan Kebijakan
Konteks geopolitik memperumit narasi keselamatan. Para pemimpin Tiongkok telah mengakui risiko AI yang canggih, dan Presiden Xi Jinping menekankan pada Konferensi AI Dunia baru-baru ini bahwa teknologi harus tetap berada di bawah kendali manusia yang ketat. Namun, fokus peraturannya masih berbeda.
Menurut Graham Webster dari Stanford Cyber Policy Center, peraturan Tiongkok secara historis memprioritaskan stabilitas politik, pengendalian misinformasi, dan keharmonisan sosial. Kekhawatirannya tidak sama dengan postur ancaman eksistensial yang terlihat di kalangan kebijakan AS. Banyak peneliti Tiongkok percaya bahwa jika risiko-risiko baru muncul, maka perusahaan-perusahaan Amerikalah yang akan terkena dampaknya terlebih dahulu. Sistem domestik bergantung pada lingkungan online yang dikontrol dengan ketat—akuntabilitas nama asli dan tanggung jawab perusahaan—untuk memitigasi penyalahgunaan di dalam negeri.
“Para pemikir AI di AS, secara umum, lebih peduli dengan gagasan bencana eksistensial ini dibandingkan dengan komunitas Tiongkok.”
— Graham Webster, Pusat Kebijakan Siber Stanford
Hal ini menciptakan titik buta yang berbahaya. Ketika perusahaan-perusahaan AS berupaya menerapkan pengujian pra-penerapan yang ketat dan mempublikasikan penilaian risiko, GLM-5.2 memasuki pasar tanpa kerangka kerja semacam itu. SaferAI mencatat bahwa Z.ai tidak menerbitkan kerangka keselamatan, tidak ada komitmen pra-penerapan, dan tidak ada penilaian risiko publik. Ketika TechCrunch bertanya kepada Z.ai tentang evaluasi keamanan internal, mereka tidak mendapat tanggapan.
Argumen Pembelaan vs. Realitas Penyalahgunaan
Para pendukung AI open-weight berpendapat bahwa aksesibilitas adalah sebuah fitur, bukan bug. Dalam keamanan siber, argumennya adalah, Anda perlu memahami alat penyerang untuk membangun pertahanan yang efektif.
Clem Delangue, CEO HuggingFace, baru-baru ini menyebut GLM-5.2 sebagai aset defensif. Setelah HuggingFace dibobol oleh serangan terkait OpenAI, perusahaan menggunakan GLM-5.2 untuk menganalisis dan mempertahankan diri dari ancaman serupa. Delangue berpendapat bahwa sistem ini membantu mengidentifikasi dan memperbaiki kerentanan sebelum penyerang dapat mengeksploitasinya dalam skala besar.
Ini adalah narasi yang menarik. Ini menunjukkan sebuah dunia di mana tim bertahan menggunakan model kekuatan yang sama seperti penyerang, hanya saja dengan niat yang lebih baik.
Namun Henry Papadatos dari SaferAI melihatnya secara berbeda. Ia berpendapat bahwa manfaat defensif seringkali dilebih-lebihkan. Persoalan intinya bukanlah apakah para pembela HAM dapat menggunakan alat-alat ini. Penyerang akan selalu mengadopsinya lebih cepat.
Grup ransomware dapat mengubah taktiknya dalam seminggu. Departemen TI rumah sakit? Diperlukan waktu berbulan-bulan untuk melakukan patch, apalagi menulis ulang seluruh infrastruktur keamanannya. Secara default, pihak penyerang bergerak lebih cepat karena satu-satunya metrik mereka adalah keberhasilan, sementara pihak bertahan dibatasi oleh kepatuhan, stabilitas, dan biaya.
Industri ini harus mengupayakan sebuah model di mana kapabilitas yang baik dapat diakses oleh semua orang, namun kapabilitas yang buruk tidak. Kita tidak perlu membuat kemampuan berbahaya menjadi sumber terbuka. Kita harus berhenti memperlakukannya sebagai kerusakan tambahan yang tidak bisa dihindari. Kesenjangan antara kemampuan dan kendali tidak hanya berkurang. Itu rusak.
