Anthropic califica GLM-5.3 de amenaza cibernética grave y reabre el debate sobre los modelos abiertos

A finales de septiembre, Anthropic publicó un informe en el que sostiene que el modelo GLM-5.3 crea un riesgo serio para la ciberseguridad. Es un caso poco frecuente: uno de los laboratorios líderes señala públicamente a un modelo concreto de otra compañía como una amenaza. El motivo de la polémica es formal: GLM-5.3 es un modelo abierto, es decir, sus pesos están disponibles para su descarga. MIT Technology Review, en su sección Explains, usa este informe para abordar una cuestión más general: si los beneficios de los modelos abiertos compensan los riesgos asociados a ellos.

Una salvedad importante. En el fragmento disponible del material, la formulación de la tesis principal del informe se interrumpe a media frase. Por eso, lo que sigue se centra en la lógica de la disputa y no en un resumen línea por línea del documento de Anthropic.

En qué se diferencia un modelo abierto de uno cerrado

Un modelo cerrado, como Claude o GPT, se usa a través de una API. El proveedor ve las consultas, puede bloquear escenarios sospechosos, actualizar los filtros y cortar el acceso a quienes incumplen las normas. En un modelo abierto todo es distinto. Los pesos están en manos del usuario, la ejecución se hace en su propio hardware y cualquier mecanismo de protección puede reentrenarse o eliminarse.

Ahí está precisamente el límite del riesgo. Una vez publicados, los pesos no se pueden retirar. Si más tarde se descubre que el modelo ayuda a automatizar la búsqueda de vulnerabilidades o la escritura de exploits, ya no será posible corregirlo de forma centralizada. Solo queda confiar en medidas de protección externas.

Qué aportan a cambio los modelos abiertos

Los argumentos de quienes defienden la apertura son concretos y no se pueden reducir a ideología:

• Verificabilidad. Investigadores independientes pueden estudiar el comportamiento del modelo, buscar vulnerabilidades en él y reproducir resultados. Con los sistemas cerrados esto es imposible.
• Control sobre los datos. La empresa ejecuta el modelo dentro de su propio perímetro y los documentos sensibles no salen hacia un proveedor externo.
• Economía. El modelo se puede reentrenar para una tarea específica y ejecutar en GPU propias, sin depender de las tarifas ni de los límites de la API.
• Competencia. Los modelos abiertos mantienen los precios a raya e impiden que el mercado quede en manos de dos o tres proveedores.

A esto se suma otro argumento de sus defensores: las herramientas de IA también las necesitan quienes se defienden. Los equipos de seguridad igualmente usan modelos para analizar código, buscar vulnerabilidades y examinar incidentes. Si desaparecen los modelos abiertos potentes, saldrán ganando quienes tengan acceso a sistemas cerrados y presupuesto.

Dónde funciona el argumento de la amenaza y dónde es más débil

La lógica de Anthropic es comprensible: cuanto más capaz es un modelo en programación y en trabajo con agentes, más útil resulta para automatizar ataques, y la versión abierta no tiene palancas de control. Pero las objeciones también son serias. Para la mayoría de los ataques, los delincuentes no necesitan un modelo de frontera: el phishing y los exploits habituales llevan tiempo funcionando sin él. Además, un laboratorio que vende modelos cerrados tiene interés en cómo se formule la regulación. Eso no invalida sus conclusiones, pero obliga a comprobarlas de forma independiente.

En esta disputa chocan dos modelos de seguridad distintos. Uno se apoya en el control de acceso por parte del proveedor. El otro apuesta por la transparencia y la protección distribuida. Cada uno funciona bien justo donde el otro es más débil.

Conclusiones prácticas

Para las empresas, la elección entre un modelo abierto y uno cerrado debe basarse en la tarea, no en la ideología. Si se necesitan procesamiento local de datos y ajuste fino, un modelo abierto es adecuado, pero entonces los filtros, el registro de consultas y la limitación de permisos de los agentes tendrán que construirse por cuenta propia. Si importan la facilidad de gestión y el soporte del proveedor, lo más sensato es una API cerrada.

Para los equipos de seguridad, el informe de Anthropic funciona como una señal: conviene incluir ya en el modelo de amenazas los modelos de nivel GLM-5.3 y probar con ellos los propios sistemas de defensa. Para los reguladores, la pregunta sigue siendo la misma y, por ahora, no tiene respuesta: si es posible limitar los riesgos donde el control tras la publicación resulta imposible, y si hacerlo no perjudicaría a los investigadores y a las empresas que dependen de los pesos abiertos.