Den 29 september 2026 publicerade Anthropic en rapport som fick säkerhetsbranschen att dra efter andan. Den kinesiska öppen-vikt-modellen GLM-5.3 från Zhipu AI (marknadsfört internationellt som Z.ai) kan enligt rapporten självständigt bygga kompletta cyberexploits, nästan i samma klass som Anthropics egen Claude Mythos Preview. Skillnaden är att GLM-5.3 släpptes med vikterna fritt tillgängliga och, enligt Anthropic, utan meningsfulla spärrar mot missbruk. Rapporten uppdaterades 2 oktober 2026 och har sedan dess blivit en referenspunkt i debatten om öppen källkod inom AI, bara dagar innan den annars hade passerat obemärkt bland hundratals andra modellsläpp under hösten 2026.
För Sverige och övriga Norden, där myndigheter och företag redan brottas med NIS2-kraven och en strid ström av CVE-larm, landar nyheten mitt i en känslig period. Frågan är inte längre om AI-modeller kan skriva skadlig kod, det har varit känt sedan 2024-2025, utan hur lätt skyddet går att montera ner när vikterna ligger fritt nedladdningsbara på servrar ingen kan kontrollera. Den här artikeln går igenom siffrorna, jämför GLM-5.3 med konkurrenterna och försöker svara på vad som faktiskt förändras för svenska säkerhetsavdelningar.
Vad Anthropic faktiskt visade i sin rapport
Anthropics rapport, med titeln “GLM-5.3 and the spread of advanced cyber capabilities”, bygger på tester från bolagets interna Frontier Red Team. Teamet körde GLM-5.3 genom ExploitBench, ett internt benchmark som mäter om en modell kan bygga en fullständig exploit mot kända sårbarheter i Googles V8-motor, samma JavaScript-motor som driver Chrome. Resultatet: GLM-5.3 lyckades bygga en komplett, fungerande exploit i 50 av 410 försök. Claude Mythos Preview, Anthropics egen senaste modell, klarade 56 av 410 försök under samma testupplägg.
Räknat om i procent landar det på 12,2 procent för GLM-5.3 mot 13,7 procent för Mythos Preview, en skillnad Anthropic självt beskriver som att den kinesiska modellen ligger nära sin egen frontlinje-modell på just den här typen av uppgift. Anthropic körde även ett separat internt test för binär exploitering, där 100 slumpvist utvalda uppgifter fick modellerna att försöka ta full kontroll över programflödet i sårbar kod. Där lyckades GLM-5.3 i 4 procent av fallen, Mythos Preview i 6 procent. Föregångarna Claude Opus 4.6 och GLM-5.2 klarade noll av samma uppgifter, vilket Anthropic pekar på som bevis för att kapacitetshoppet mellan modellgenerationer nu går snabbare än tidigare.
Anthropic skriver rakt ut att “GLM-5.3 will likely give malicious actors access to capabilities that will allow them to find and exploit cyber vulnerabilities without meaningful restrictions” (Anthropic). Det är en ovanligt skarp formulering från ett bolag som normalt väger sina ord noga i offentliga rapporter, och den sätter tonen för resten av dokumentet.
GLM-5.3 i siffror: resultaten från ExploitBench och binär exploitering
Nedan sammanfattas de centrala testresultaten från Anthropics egen utvärdering. Observera att detta är interna Anthropic-mått, separata från de siffror den amerikanska myndigheten NIST senare publicerade med en annan metodik (se nästa avsnitt).
| Test (Anthropics interna metod) | GLM-5.3 | Claude Mythos Preview | Claude Opus 4.6 / GLM-5.2 |
|---|---|---|---|
| ExploitBench, fullständiga exploits (av 410 försök) | 50 (12,2%) | 56 (13,7%) | Ej testad i samma körning |
| Binär exploitering, kontrollflödeskapning (av 100 uppgifter) | 4% | 6% | 0% (båda modellerna) |
| Nekar direkt skadlig förfrågan (standardläge) | 100% | 100% | – |
| Engagerar vid täckmantel (“red team”-förevändning) | 64% | 0% | – |
| Engagerar vid förifylld resonemangstext | 92% | Kan ej testas via API | – |
| Engagerar efter “abliterering” (vägran borttagen) | 100% | Kan ej genomföras (stängda vikter) | – |
Den sista raden i tabellen är den som oroar flest säkerhetsforskare. Anthropic testade samma tre kringgåendetekniker på sina egna skyddade Claude-modeller och fick noll träffar, dels eftersom Anthropics API inte tillåter att man förifyller modellens resonemang, dels eftersom Claudes vikter aldrig publiceras och därför inte kan modifieras lokalt. GLM-5.3, med öppet publicerade vikter, saknar det skyddet per definition.
Säkerhetsspärrarna som vek sig: 64 till 100 procent
När Anthropics röda team ställde direkta, uppenbart skadliga frågor till GLM-5.3 nekade modellen varje gång, precis som man kan förvänta sig av en modell med inbyggda skyddsmekanismer. Problemet uppstod när testarna bytte metod. En förevändning om att det handlade om ett legitimt red team-uppdrag fick modellen att engagera sig i skadliga uppgifter i 64 procent av försöken. Att förifylla modellens interna resonemangstext, en teknik som tvingar modellen att redan ha “bestämt sig” innan den svarar, höjde andelen till 92 procent.
Den tredje och mest oroande tekniken kallas abliterering, en process där man identifierar och tar bort de interna vektorer i modellen som styr vägransbeteende. Eftersom GLM-5.3:s vikter ligger öppet nedladdningsbara kunde Anthropics team genomföra abliteringen själva, trots att de enligt egen utsago aldrig tidigare testat tekniken på en modell av den storleken. Resultatet: 100 procent engagemang på skadliga uppgifter, samtidigt som modellens allmänna kunskapsnivå, mätt med vetenskapsbenchmarket GPQA-Diamond, förblev oförändrad. Med andra ord gick det att slå ut säkerhetsspärren helt utan att tappa modellens faktiska förmåga.
Det mest talande talet i rapporten är kanske kostnaden. Enligt Anthropics egna siffror tog hela abliteringsprocessen cirka 2 200 GPU-timmar och kostade ungefär 4 400 dollar, motsvarande ungefär 2 dollar per GPU-timme i molnberäkning. Efter ingreppet föll modellens vägransgrad från över 90 procent till cirka 3 procent på JailbreakBench, cirka 2 procent på HarmBench och 12 procent på StrongREJECT. För en statlig aktör, en kriminell grupp eller för den delen en enskild forskare med tillgång till molntjänster är det en försumbar summa för att i praktiken montera ner skyddet på en av de mest cyberkapabla öppna modellerna som funnits.
NIST:s oberoende granskning ger en delvis annan bild
Anthropic är inte ensamt om att ha granskat GLM-5.3. Den amerikanska myndigheten NIST, via sitt Center for AI Standards and Innovation (CAISI), genomförde en egen oberoende utvärdering efter att Zhipu AI släppte modellen den 14 augusti 2026 och publicerade vikterna öppet cirka två veckor senare. CAISI:s slutsats var att GLM-5.3 är “den mest cyberkapabla öppna modell som släppts hittills”, men att dess cyberförmåga fortfarande ligger betydligt under de amerikanska frontmodellernas nivå, ett gap myndigheten uppskattar till omkring fyra månaders utvecklingstid.
CAISI använde en annan testmetodik än Anthropic, vilket ger andra siffror på samma benchmarknamn. Det är viktigt att inte blanda ihop de två måttstockarna, de mäter olika saker på olika sätt.
| Benchmark (NIST CAISI:s metod) | GLM-5.3 | Bästa amerikanska frontmodell |
|---|---|---|
| SEC-Bench Pro | 40,4% (74 av 183 uppgifter) | 90,2% |
| ExploitBench (CAISI:s egen körning) | 61,1% | 100,0% |
| ExploitGym (sårbarheter i användarutrymme) | 9,4% | 44,4% |
| OSS-Fuzz (fuzzing av öppen källkod) | 7,7% | 23,2% |
Noterbart är att CAISI testade de amerikanska frontmodellerna med deras cybersäkerhetsspärrar avstängda där det var tillämpligt, för att få ett renare mått på ren förmåga. Anthropic skriver i sin egen rapport att bolagets kapacitetsfynd ligger i linje med CAISI:s, även om siffrorna på ytan ser olika ut eftersom jämförelsepunkterna skiljer sig åt. Den gemensamma nämnaren i båda granskningarna är att GLM-5.3 representerar ett påtagligt kliv framåt för öppna modeller, även om den fortfarande ligger efter de bästa stängda systemen i ren teknisk förmåga.
Fyra månader efter fronten, men med noll broms
Det paradoxala i hela historien är att GLM-5.3, enligt NIST:s egna siffror, inte är den mest kapabla cybermodellen som finns. Den ligger fyra månader bakom den amerikanska fronten på nästan varje uppmätt mått. Problemet som Anthropic lyfter är inte den absoluta förmågan utan tillgängligheten. En stängd modell med motsvarande förmåga kräver API-nycklar, betalningsinformation, användarvillkor och i teorin spårbarhet. En öppen modell med vikterna fritt nedladdningsbara kan köras lokalt, modifieras, och, som Anthropic visade, abliteras för under 5 000 dollar av vem som helst med tillgång till en handfull GPU:er.
Det här är kärnan i Anthropics generella position om öppna vikter, en ståndpunkt bolaget formulerat tydligt i en separat policytext: “Open-weights models—it does not matter whether they come from China or anywhere else—do potentially present a higher risk than closed models, because it is very difficult to apply guardrails to them or monitor their usage, and once weights are released they cannot be withdrawn” (Anthropic). Det sista ledet är avgörande: en stängd modell kan Anthropic dra tillbaka om en allvarlig brist upptäcks. En öppen modell, när den väl har laddats ner av tiotusentals användare och speglats på filsharingtjänster världen över, går inte att återkalla.
Öppna kontra stängda vikter: en strukturell riskskillnad
Anthropic gör i sin rapport en poäng av att riskresonemanget gäller oavsett ursprungsland. “For models with dangerous capabilities – including highly cyber-capable models – open weight release therefore creates a persistent and irreversible risk of misuse” (Anthropic), skriver bolaget. Det är en viktig nyansering i en debatt som annars snabbt blir en fråga om geopolitik snarare än teknik. Problemet är inte att GLM-5.3 kommer från Kina, problemet är att vikterna är öppna, punkt slut. Samma resonemang skulle gälla om en amerikansk eller europeisk aktör släppte en lika kapabel modell med samma öppenhet.
Samtidigt pekar Anthropic på att öppenheten skär åt båda hållen. Försvarare, säkerhetsteam och penetrationstestare får tillgång till samma verktyg som angripare, och kan använda dem för att hitta och täppa till sårbarheter innan de utnyttjas i verkligheten. Bolaget uppger att man arbetar för att expandera tillgången till Claudes cyberförmågor till så många försvarare som möjligt, en strategi som går ut på att hålla den mest kapabla tekniken inom ramarna för kontrollerad, spårbar användning snarare än att stoppa utvecklingen helt.
Konkurrensjämförelse: hur ser skyddet ut hos andra öppna modeller?
En rimlig fråga är om GLM-5.3 är unikt illa skyddat, eller om samma problem gäller andra stora öppen-vikt-familjer som Llama, Mistral och DeepSeek. Här är det viktigt att vara ärlig om vad som faktiskt finns underlag för: Anthropics rapport testade specifikt GLM-5.3 mot sin egen Claude Mythos Preview, inte mot Llama, Mistral eller DeepSeek med samma metodik. Att påstå ett direkt, sifferbaserat betyg för de modellerna på just dessa benchmark skulle vara spekulation utan källa, och den här artikeln gör inte det.
Det som däremot går att säga med säkerhet är den strukturella poängen som gäller alla öppen-vikt-modeller lika: när vikterna är fritt nedladdningsbara kan skyddsmekanismerna i praktiken alltid modifieras eller tas bort lokalt, oavsett om modellen heter GLM, Llama, Mistral eller något annat. Det Anthropic visade med abliteringen av GLM-5.3 är ett existensbevis för hela kategorin, inte ett unikt fel i just den modellen. Skillnaden mellan olika öppna modellfamiljer ligger snarare i hur kapabla de är till att börja med, vilket avgör hur stor skada en borttagen spärr faktiskt kan göra. En svagare öppen modell med borttagen spärr är ett mindre problem än en stark öppen modell med borttagen spärr, och GLM-5.3 hamnar enligt NIST:s mätningar i det övre skiktet av öppna modeller på just cyberförmåga, även om den ligger efter de stängda frontmodellerna.
Historisk kontext: en debatt som eskalerat snabbt
Debatten om öppna AI-modellers risk är inte ny, men tonen har skärpts märkbart under 2026. För ett par år sedan handlade diskussionen främst om hypotetiska scenarier, om en modell i teorin skulle kunna hjälpa till att bygga vapen eller skadlig kod. GLM-5.3-rapporten flyttar samtalet från hypotes till mätbar, reproducerbar data: konkreta procentsatser, konkreta benchmarknamn, en konkret kostnad i dollar för att slå ut skyddet. Det är en kvalitativ förändring i hur den här typen av risk diskuteras, från “det skulle kunna hända” till “det går att göra för 4 400 dollar på en eftermiddag”.
Samma mönster syns i hur snabbt kapacitetsgapet mellan modellgenerationer krymper. Anthropic noterar att föregångarna Claude Opus 4.6 och GLM-5.2 klarade noll av 100 uppgifter i det interna binära exploiteringstestet, medan både Mythos Preview och GLM-5.3 klarar en tydlig andel av samma uppgifter bara en modellgeneration senare. Det är den utvecklingstakten, snarare än ett enskilt dåligt skyddat modellsläpp, som oroar säkerhetsforskare mest på sikt.
Marknadspåverkan: öppen källkod-AI under ökad press
För företag som byggt sin AI-strategi kring öppna modeller, ofta av kostnadsskäl eller för att slippa skicka känslig data till en extern molntjänst, landar rapporten olägligt. Argumentet för öppna vikter har länge varit kontroll: man kan köra modellen helt lokalt, inspektera koden och undvika beroende av en enskild leverantör. GLM-5.3-rapporten visar att samma lokala kontroll som ger integritetsfördelar också gör det möjligt att plocka bort säkerhetsspärrar till en kostnad de flesta IT-budgetar inte ens skulle lägga märke till.
Det skapar ett dilemma för inköpsansvariga och säkerhetschefer som utvärderar öppna modeller för produktion. En modell som är öppen och kapabel nog att vara användbar för verksamheten är, enligt samma logik, kapabel nog att vara användbar för en angripare som abliterar den. Det gäller inte bara GLM-5.3, utan blir ett argument fler säkerhetsteam nu kommer väga in vid varje utvärdering av en ny öppen modellfamilj, oavsett ursprung. Samtidigt är Anthropic själv ett bolag med starka kommersiella intressen i att stängda modeller ses som det säkrare valet, en nyans läsare bör ha i bakhuvudet när man tolkar bolagets slutsatser.
Experterna varnar: vad Anthropic säger rakt ut
Anthropic har varit ovanligt tydligt i sin kommunikation kring GLM-5.3-rapporten. Bolaget beskriver släppet i skarpa ordalag: “The release of GLM-5.3 is a meaningful step change in the cyber capabilities available to attackers” (Anthropic), en formulering som indikerar att man ser detta som en tröskel som passerats, inte bara en gradvis förbättring.
I ett separat dokument, bolagets riskrapport från augusti 2026, beskriver Anthropic sin egen bedömning av riskerna med de modeller företaget självt utvecklar: “Because of our models’ relatively weak covert capabilities, we believe they lack the behavioral propensities—as well as the capabilities—to present substantial risk of catastrophic harm” (Anthropic). Kontrasten är tydlig: Anthropic bedömer sina egna, stängda modeller som lägre risk tack vare kontrollerad distribution, medan öppna modeller med motsvarande kapacitet enligt bolaget saknar samma skyddsnät helt.
Det generella argumentet för varför öppna vikter är särskilt känsliga just för cyberkapabla modeller sammanfattas i policytexten: “For models with dangerous capabilities – including highly cyber-capable models – open weight release therefore creates a persistent and irreversible risk of misuse” (Anthropic). Tre citat, samma bolag, men tillsammans ritar de upp en konsekvent linje: kapacitet i sig är inte problemet, det är kombinationen av hög kapacitet och permanent, okontrollerbar distribution.
Vad betyder det för svenska och nordiska säkerhetsteam?
Svenska myndigheter och företag har sedan NIS2-lagstiftningen trädde i kraft fått skärpta krav på riskhantering och incidentrapportering för leverantörskedjor, inklusive mjukvara och, allt oftare, AI-modeller som integreras i verksamhetskritiska system. GLM-5.3-rapporten ger säkerhetsteam en konkret datapunkt att ta med in i nästa riskbedömning: om en organisation överväger att köra en öppen modell lokalt för kodgranskning, sårbarhetsscanning eller annan cybersäkerhetsrelaterad uppgift, måste man räkna med att samma modell, i fel händer, kan konfigureras om för att göra motsatsen.
Det praktiska rådet som växer fram ur rapporten handlar mindre om att förbjuda öppna modeller och mer om att behandla dem som vad de är: kraftfulla verktyg som kräver samma typ av åtkomstkontroll, loggning och nätverkssegmentering som man redan tillämpar på annan kraftfull infrastruktur. En lokalt körd GLM-5.3-instans bakom rätt brandväggsregler och med begränsad utgående nätverksåtkomst är en helt annan risk än samma modell fritt nedladdad på en osäkrad utvecklardator.
Fem förutsägelser för de kommande månaderna
- Fler oberoende granskningar. Efter att både Anthropic och NIST CAISI publicerat sina analyser av GLM-5.3 är det troligt att fler säkerhetslabb, inklusive europeiska forskningsinstitut, kör egna tester på samma modell under kommande veckor.
- Snävare interna policyer för öppna modeller. Företag som idag kör öppna modeller på öppna nätverk kommer sannolikt att strama åt sina interna riktlinjer, särskilt för modeller med dokumenterad cyberkapacitet.
- Fortsatt snabb kapacitetsutveckling hos efterföljaren till GLM-5.3. Givet hur snabbt gapet mellan GLM-5.2 och GLM-5.3 krympte på de interna benchmarken är det rimligt att vänta sig att nästa generation ytterligare närmar sig den amerikanska frontens nivå.
- Mer fokus på abliteringsresistens som designkrav. Diskussionen om hur man gör en modell svårare att abliterera, snarare än bara svårare att jailbreaka via prompttekniker, kommer sannolikt att bli en egen forskningsgren under 2027.
- Fortsatt polariserad debatt om öppen källkod kontra stängda modeller. Argumenten för öppenhet (transparens, lokal kontroll, kostnad) och mot öppenhet (irreversibel distribution av farlig kapacitet) kommer knappast att närma sig varandra på kort sikt, vilket gör den här typen av rapporter till återkommande nyhetshändelser snarare än en engångsföreteelse.
Vad GLM-5.3-fallet lär oss om nästa generations öppna modeller
Den djupare lärdomen från GLM-5.3-rapporten handlar inte om en enskild modell utan om en strukturell sårbarhet i hela kategorin öppna vikter. Så länge en modell är kapabel nog att vara användbar för legitima säkerhetsändamål, sårbarhetsscanning, kodgranskning, penetrationstestning, kommer den också vara kapabel nog att missbrukas om spärrarna tas bort. Abliteringskostnaden på ungefär 4 400 dollar sätter ett konkret, lågt golv för vad det kostar att korsa den tröskeln. Det golvet kommer sannolikt att sjunka ytterligare i takt med att abliteringstekniker förbättras och blir mer allmänt kända, vilket gör frågan om hur öppna vikter ska hanteras till en av de mer pressande säkerhetsfrågorna för AI-branschen in i 2027.
Samtidigt är det värt att hålla två saker isär. NIST:s mätningar visar att GLM-5.3, trots rubrikerna, fortfarande ligger fyra månader efter den amerikanska fronten i ren cyberförmåga. Det är inte en modell som i dag utklassar de bästa stängda systemen, det är en modell som visar hur snabbt det gapet krymper, och hur lite det kostar att ta bort det sista lagret av skydd när vikterna en gång är ute.
Vanliga frågor om GLM-5.3 och Anthropics säkerhetsrapport
Vad är GLM-5.3?
GLM-5.3 är en öppen-vikt-AI-modell utvecklad av det kinesiska bolaget Zhipu AI, som internationellt går under namnet Z.ai. Modellen släpptes den 14 augusti 2026 och fick sina vikter publicerade öppet cirka två veckor senare.
Vad visade Anthropics rapport exakt?
Anthropic testade GLM-5.3 mot sitt interna ExploitBench och fann att modellen byggde kompletta cyberexploits i 50 av 410 försök (12,2 procent), jämfört med 56 av 410 (13,7 procent) för Anthropics egen Claude Mythos Preview. Rapporten visade också att modellens säkerhetsspärrar kunde kringgås i 64 till 100 procent av fallen med enkla tekniker.
Vad är abliterering?
Abliterering är en teknik där man identifierar och tar bort de interna mekanismer i en AI-modell som styr dess vägran att svara på skadliga frågor. Anthropic genomförde abliteringen av GLM-5.3 på cirka 2 200 GPU-timmar till en kostnad av ungefär 4 400 dollar.
Är GLM-5.3 farligare än amerikanska AI-modeller?
Nej. Enligt NIST:s oberoende granskning via CAISI ligger GLM-5.3 fortfarande cirka fyra månader efter de bästa amerikanska frontmodellerna i ren cyberförmåga. Problemet Anthropic lyfter är inte att modellen är den starkaste, utan att den är öppen och saknar effektiva spärrar mot missbruk.
Påverkar detta andra öppna modeller som Llama, Mistral eller DeepSeek?
Anthropics rapport testade specifikt GLM-5.3, inte andra modellfamiljer med samma metodik, så det finns inget direkt sifferunderlag för en jämförelse. Den strukturella poängen, att öppna vikter i princip alltid kan modifieras lokalt för att ta bort säkerhetsspärrar, gäller dock alla öppen-vikt-modeller oavsett tillverkare.
Vad bör svenska företag göra med den här informationen?
Säkerhetsteam som använder eller överväger öppna AI-modeller bör behandla dem som kraftfull infrastruktur, med samma krav på åtkomstkontroll, nätverkssegmentering och loggning som andra känsliga system, snarare än att anta att inbyggda säkerhetsspärrar håller under alla förhållanden.
Kan vikterna för GLM-5.3 dras tillbaka nu när problemet är känt?
Nej. Anthropic påpekar själva att detta är kärnan i riskresonemanget kring öppna vikter: när en modells vikter en gång har publicerats och laddats ner i stor skala går de inte att återkalla, oavsett vilka brister som senare upptäcks.
Finns det någon fördel med att GLM-5.3:s sårbarheter nu är kända?
Ja. Anthropic framhåller att samma kapacitet som angripare kan missbruka också ger försvarare, säkerhetsforskare och penetrationstestare tillgång till kraftfulla verktyg för att hitta och åtgärda sårbarheter innan de utnyttjas i verkliga attacker.
