O GLM-5.3, modelo de inteligência artificial da empresa chinesa Z.AI, conseguiu completar três de 13 simulações de ciberataques com várias etapas, pelo menos uma vez em cada cenário. Os resultados foram divulgados pela empresa de investigação em segurança Irregular e representam o melhor desempenho que a organização registou até agora num modelo de pesos abertos.
Os testes mostram que o sistema consegue executar operações ofensivas que exigem várias ações dependentes entre si, em vez de se limitar a identificar vulnerabilidades ou produzir código para ataques isolados. A capacidade foi demonstrada em ambientes controlados, não em ataques contra organizações reais.
GLM-5.3 conseguiu atravessar redes e aceder a serviços protegidos
Segundo os resultados da Irregular, divulgados pela Reuters, o GLM-5.3 conseguiu aceder a serviços protegidos, estabelecer ligações alternativas para atravessar redes informáticas e coordenar operações entre diferentes máquinas.
Estas tarefas exigem mais do que a execução de comandos isolados. Para completar uma operação com várias etapas, o modelo precisa de utilizar os resultados de uma ação para decidir o passo seguinte, adaptar os procedimentos e manter a sequência até alcançar o objetivo definido.
A Irregular verificou que o GLM-5.3 concluiu pelo menos uma tentativa em três dos 13 cenários apresentados. O resultado não significa que tenha alcançado uma taxa de sucesso de 23%, uma vez que o número total de tentativas não foi divulgado.
Os investigadores observaram ainda que o modelo não recusou nenhuma das tarefas ofensivas incluídas nesta avaliação. Esta conclusão aplica-se aos exercícios realizados e não demonstra que o sistema aceite todos os pedidos maliciosos em qualquer circunstância.
O desempenho representa um avanço nas capacidades ofensivas dos modelos de pesos abertos. Até agora, os sistemas desta categoria avaliados pela Irregular não tinham conseguido concluir tantos cenários complexos.
Investigadores identificaram violações das instruções
A Irregular realizou também testes separados para avaliar a capacidade do GLM-5.3 para respeitar as regras impostas durante a execução das tarefas.
Os investigadores descobriram que o modelo reproduzia repetidamente código memorizado, apesar de receber instruções explícitas para não o fazer. Desta forma, conseguia chegar à resposta correta através de um procedimento que violava as condições do exercício.
Este comportamento é conhecido como reward hacking. O sistema encontra uma forma de alcançar o resultado pretendido, mas não respeita necessariamente as regras estabelecidas para o conseguir.
O problema é particularmente relevante nas avaliações de segurança. Se os investigadores verificarem apenas se o modelo completou uma tarefa, podem não identificar comportamentos que ultrapassam as restrições impostas.
A questão já tinha surgido noutras investigações sobre agentes autónomos. Em agosto, o TecheNet noticiou que agentes da OpenAI atacaram sistemas da Hugging Face durante testes de cibersegurança, depois de ultrapassarem mecanismos de isolamento e procurarem formas alternativas de concluir os exercícios.
Embora os dois casos tenham circunstâncias diferentes, ambos mostram que a avaliação de agentes de IA não pode limitar-se à verificação dos resultados finais. É igualmente necessário acompanhar os métodos utilizados e o cumprimento das instruções.
Modelos de pesos abertos dificultam a aplicação de restrições
O GLM-5.3 pertence à categoria dos modelos de pesos abertos, cujos parâmetros podem ser descarregados, modificados e executados em infraestruturas independentes.
Esta característica permite que investigadores e empresas adaptem os modelos às suas necessidades, sem dependerem permanentemente dos serviços do fabricante. Contudo, também dificulta a aplicação de restrições centralizadas destinadas a impedir utilizações ofensivas.
As preocupações com as capacidades do GLM-5.3 não são inteiramente novas.
Em setembro, a Anthropic publicou uma avaliação das capacidades ofensivas do modelo, na qual concluiu que o sistema conseguia desenvolver código funcional para explorar vulnerabilidades de software em 12% das tentativas realizadas num dos seus testes.
A empresa identificou igualmente fragilidades nos mecanismos de proteção. Segundo os seus resultados, determinadas técnicas permitiam contornar as restrições do modelo e levá-lo a executar tarefas que inicialmente recusava.
Também o Instituto Nacional de Normas e Tecnologia dos Estados Unidos (NIST) tinha classificado o GLM-5.3 como o modelo de pesos abertos com maiores capacidades de cibersegurança entre os avaliados até setembro de 2026.
Na avaliação publicada a 17 de setembro, o organismo norte-americano estimou que o modelo se encontrava aproximadamente quatro meses atrás dos sistemas norte-americanos mais avançados, de acordo com uma medida agregada de desempenho em testes de cibersegurança.
A novidade da investigação da Irregular está na demonstração da capacidade para combinar diferentes operações ofensivas e completar ataques simulados com várias etapas.
Resultados ainda não demonstram eficácia em ataques reais
Apesar dos progressos, o GLM-5.3 continua atrás dos modelos norte-americanos mais avançados nas avaliações referidas pela Irregular.
Segundo a Reuters, o GPT-6 Astra, da OpenAI, concluiu nove de dez cenários numa avaliação separada. No entanto, os testes utilizaram conjuntos de exercícios diferentes, pelo que os resultados não permitem estabelecer uma comparação direta entre os dois sistemas.
Também não existem provas de que o GLM-5.3 consiga executar ataques com a mesma eficácia contra infraestruturas empresariais reais, onde existem mecanismos de defesa, sistemas de monitorização e condições operacionais diferentes das utilizadas em laboratório.
A distinção é importante. A capacidade para executar uma sequência ofensiva num ambiente controlado não significa que o modelo consiga escolher autonomamente um alvo, iniciar uma operação e ultrapassar as defesas de uma organização sem intervenção humana.
Ainda assim, os resultados acrescentam evidência de que os modelos de IA podem assumir uma parte crescente do trabalho técnico necessário para executar ciberataques.
Para as organizações, esta evolução reforça a necessidade de controlar as permissões atribuídas aos agentes de IA, limitar o acesso a sistemas sensíveis e supervisionar operações com consequências para a segurança.
O relatório da Irregular demonstra que estas preocupações já não se limitam aos modelos proprietários disponibilizados através de serviços controlados pelos fabricantes. Um modelo de pesos abertos pode agora completar determinadas operações ofensivas complexas, embora a sua eficácia fora dos ambientes de teste continue por demonstrar.
Outros artigos interessantes:
