GLM-5.2 is niet alleen een inhaalslag. Hij passeert de finish voor pure capaciteiten, terwijl hij zijn veiligheidsremmen in het stof laat.
Dit is van belang omdat het model van Z.ai – een prominente Chinese open-weight-ontwikkelaar – nu slechts enkele maanden achterloopt op OpenAI’s GPT-6.6 Sol en Anthropic’s Claude Opus op specifieke gebieden waar veel op het spel staat, zoals cyber- en biologisch onderzoek. De kloof gaat niet over de vraag of deze open modellen kunnen concurreren. Het gaat erom wie de ontsteker bestuurt zodra de gewichten op internet verschijnen.
De gegevens van SaferAI zijn bot. Toen GLM-5.2 werd getest via de openbare API van Z.ai op CyberGym – een benchmark die is ontworpen om cyberbeveiligingsverdedigingen aan een stresstest te onderwerpen – weigerde absoluut niets. Geen enkele offensieve cybertaak. Geen enkel biologieverzoek voor tweeërlei gebruik. Vergelijk dat eens met Claude Opus, dat zo consequent weigerde dat de beoordelaars niet eens het volledige pakket konden gebruiken. Het contrast is groot. Het is een faalwijze waar critici al jaren voor waarschuwen, maar de snelheid waarmee deze kloof groter wordt, vereist onmiddellijke aandacht.
Hoe modellen met open gewicht traditionele waarborgen omzeilen
Het kernprobleem met open-weight-architectuur is simpel: zodra je de gewichten downloadt, ben jij de eigenaar van de engine. De waarborgen waar frontier closed-modellen zoals Anthropic of Google DeepMind op vertrouwen (filters op API-niveau, weigeringstraining, classifier blockers) verdwijnen.
Je kunt geen toezicht houden op een lokale installatie.
Een gebruiker die GLM-5.2 op zijn eigen hardware draait, kan elke veiligheidslaag wegnemen. Ze kunnen het model verfijnen voor kwaadaardige doeleinden. Ze kunnen de systeemprompt herschrijven om alle ethische beperkingen te negeren. De technologie kent het verschil niet tussen een verdedigende onderzoeker en een aanvaller.
“Gegevensfiltering vóór de training” is een theoretische oplossing. Door aanstootgevende cyber- en biogegevens uit de trainingsset te verwijderen voordat het model leert, hopen ontwikkelaars het model te ontdoen van gevaarlijke kennis. Dit heeft enige belofte getoond in biologische contexten. In codering en cyberbeveiliging? Het is bijna onmogelijk. Je kunt een model niet trainen om efficiënte, veilige code te schrijven zonder het tegelijkertijd de logica te leren die nodig is om die code te exploiteren. De twee mogelijkheden zijn twee kanten van dezelfde medaille.
Ontwikkelaars van gesloten modellen proberen dus de reikwijdte van de hulp te beperken. De modellen van Anthropic scannen bijvoorbeeld niet-gecompileerde broncode op kwetsbaarheden, maar raken gecompileerde software niet aan, zogenaamd om aanstootgevende exploitatie te blokkeren. Maar dit zijn lekkende emmers.
Far.ai heeft onlangs honderden universele jailbreaks ontdekt – herbruikbare sleutels die de verdediging tegen de meest schadelijke verzoeken omzeilen – in modellen als Grok en Gemini. Aanvallers hebben niet slechts één truc nodig. Ze combineren rollenspel, nabootsing van autoriteit, valse geschiedenissen en vervolgaanwijzingen om zwakke punten te versterken totdat de vangrails instorten. Het is een kat-en-muisspel waarbij de kat het heeft opgegeven.
Waar het beleidsdebat staat
De geopolitieke context compliceert het veiligheidsverhaal. Chinese leiders hebben de risico’s van geavanceerde AI erkend, waarbij president Xi Jinping tijdens de recente World AI Conference benadrukte dat technologie onder strikte menselijke controle moet blijven. Toch blijft de focus van de regelgeving verschillend.
Volgens Graham Webster van het Stanford Cyber Policy Center geeft Chinese regelgeving historisch gezien prioriteit aan politieke stabiliteit, controle op desinformatie en sociale harmonie. De zorg gaat niet over dezelfde existentiële dreiging als in Amerikaanse beleidskringen. Veel Chinese onderzoekers zijn van mening dat als er nieuwe grensrisico’s ontstaan, Amerikaanse bedrijven deze als eerste zullen treffen. Het binnenlandse systeem vertrouwt op een streng gecontroleerde onlineomgeving – echte naamsverantwoording en bedrijfsaansprakelijkheid – om misbruik binnen de grenzen tegen te gaan.
“Amerikaanse AI-denkers zijn over het algemeen meer bezorgd over dit existentiële catastrofale idee dan de Chinese gemeenschap.”
— Graham Webster, Stanford Cyber Policy Center
Hierdoor ontstaat een gevaarlijke blinde vlek. Terwijl Amerikaanse bedrijven zich haasten om rigoureuze tests vóór de implementatie te implementeren en risicobeoordelingen te publiceren, kwam GLM-5.2 op de markt zonder een dergelijk raamwerk. SaferAI merkt op dat Z.ai geen veiligheidskader, geen toezeggingen vóór de inzet en geen publieke risicobeoordeling heeft gepubliceerd. Toen TechCrunch Z.ai vroeg naar interne veiligheidsevaluaties, kregen ze geen antwoord.
Het verdedigingsargument versus de realiteit van misbruik
Voorstanders van open-weight AI beweren dat toegankelijkheid een functie is en geen bug. Op het gebied van cyberbeveiliging, zo luidt het argument, moet je de tools van de aanvaller begrijpen om effectieve verdedigingsmechanismen op te bouwen.
Clem Delangue, CEO van HuggingFace, wees onlangs op GLM-5.2 als een defensief middel. Nadat HuggingFace werd getroffen door een OpenAI-gerelateerde aanval, gebruikte het bedrijf GLM-5.2 om soortgelijke bedreigingen te analyseren en zich hiertegen te verdedigen. Delangue betoogde dat deze systemen kwetsbaarheden helpen identificeren en oplossen voordat aanvallers deze op grote schaal kunnen misbruiken.
Het is een meeslepend verhaal. Het suggereert een wereld waarin verdedigende teams dezelfde krachtige modellen gebruiken als aanvallers, alleen met betere bedoelingen.
Maar Henry Papadatos van SaferAI ziet het anders. Hij stelt dat de defensieve voordelen vaak worden overschat. Het kernprobleem is niet of verdedigers deze tools kunnen gebruiken. Het is zo dat aanvallers ze altijd sneller zullen overnemen.
Een ransomwaregroep kan zijn tactiek binnen een week veranderen. De IT-afdeling van een ziekenhuis? Het duurt maanden om de volledige beveiligingsinfrastructuur te patchen, laat staan te herschrijven. Standaard beweegt de aanvallende partij sneller omdat hun enige maatstaf succes is, terwijl verdedigers worden beperkt door naleving, stabiliteit en kosten.
De industrie moet streven naar een model waarin goede capaciteiten voor iedereen toegankelijk zijn, maar slechte niet. We hebben geen gevaarlijke mogelijkheden nodig als open source. We moeten ermee ophouden ze als onvermijdelijke bijkomende schade te behandelen. De kloof tussen capaciteit en controle wordt niet alleen kleiner. Het breekt.
