Anthropic назвала GLM-5.3 серьёзной киберугрозой и вновь разожгла спор об открытых моделях

В конце сентября Anthropic опубликовала отчёт, в котором утверждает: модель GLM-5.3 создаёт серьёзный риск для кибербезопасности. Это редкий случай, когда одна из ведущих лабораторий публично называет конкретную чужую модель угрозой. Повод для спора формальный: GLM-5.3 относится к открытым моделям, то есть её веса доступны для скачивания. MIT Technology Review в рубрике Explains использует этот отчёт, чтобы разобрать более общий вопрос: перевешивает ли польза открытых моделей связанные с ними риски.

Важная оговорка. В доступном фрагменте материала формулировка главного тезиса отчёта обрывается на полуслове. Поэтому ниже речь идёт о логике самого спора, а не о построчном пересказе документа Anthropic.

Чем открытая модель отличается от закрытой

Закрытую модель, например Claude или GPT, пользователь вызывает через API. Поставщик видит запросы, может блокировать подозрительные сценарии, обновлять фильтры и отключать доступ нарушителям. У открытой модели всё иначе. Веса лежат у пользователя, запуск идёт на его железе, а любые защитные механизмы можно дообучить или вырезать.

Именно здесь проходит граница риска. После публикации весов отозвать их нельзя. Если позже обнаружится, что модель помогает автоматизировать разведку уязвимостей или написание эксплойтов, исправить это централизованно уже не получится. Остаётся рассчитывать на внешние меры защиты.

Что открытые модели дают взамен

Аргументы у сторонников открытости предметные, и их нельзя свести к идеологии:

• Проверяемость. Независимые исследователи могут изучать поведение модели, искать в ней уязвимости и воспроизводить результаты. С закрытыми системами это невозможно.
• Контроль над данными. Компания запускает модель внутри своего периметра, и чувствительные документы не уходят стороннему провайдеру.
• Экономика. Модель можно дообучить под узкую задачу и запускать на собственных GPU, не завися от тарифов и лимитов API.
• Конкуренция. Открытые модели удерживают цены и не дают рынку замкнуться на двух-трёх поставщиках.

К этому добавляется довод защитников: инструменты ИИ нужны и тем, кто обороняется. Команды безопасности тоже используют модели для анализа кода, поиска уязвимостей и разбора инцидентов. Если сильные открытые модели исчезнут, выиграют те, у кого есть доступ к закрытым системам и бюджет.

Где аргумент об угрозе работает, а где слабее

Логика Anthropic понятна: чем способнее модель в программировании и работе с агентами, тем полезнее она для автоматизации атак, а у открытой версии нет рычагов контроля. Но возражения тоже серьёзны. Злоумышленникам для большинства атак не нужна передовая модель: фишинг и типовые эксплойты давно работают и без неё. К тому же лаборатория, которая сама продаёт закрытые модели, заинтересована в том, как формулируется регулирование. Это не отменяет её выводов, но требует проверять их независимо.

В споре сталкиваются две разные модели безопасности. Одна опирается на контроль доступа у поставщика. Другая ставит на прозрачность и распределённую защиту. Каждая хорошо работает там, где слабее другая.

Практические выводы

Для компаний выбор между открытой и закрытой моделью стоит принимать по задаче, а не по идеологии. Если нужны локальная обработка данных и тонкая настройка, открытая модель подходит, но тогда фильтры, журналирование запросов и ограничение прав агентов придётся строить самим. Если важны управляемость и поддержка поставщика, разумнее закрытый API.

Для команд безопасности отчёт Anthropic служит сигналом: модели уровня GLM-5.3 стоит включать в модель угроз уже сейчас и тестировать на них собственные системы защиты. Для регуляторов вопрос остаётся прежним и пока без ответа: можно ли ограничивать риски там, где контроль после публикации невозможен, и не повредит ли это исследователям и бизнесу, которые зависят от открытых весов.