Le GLM-5.2 de Z.ai réduit l’écart cyber tandis que l’accès Anthropic Google reste restreint

Z.ai a lancé GLM-5.2, un modèle à poids ouverts qui s’est approché des principaux systèmes américains dans plusieurs tests cyber, alors même que l’accès à Anthropic via Google reste étroitement contrôlé. Ces résultats n’établissent pas une parité totale avec Claude Mythos 5. Ils remettent toutefois en cause l’idée selon laquelle une IA avancée de cybersécurité doit nécessairement rester confinée au service restreint d’un fournisseur américain.

GLM-5.2 a égalé certaines configurations de modèles Anthropic sur un benchmark caché d’investigations de sécurité. Il a également exploité 67 % des vulnérabilités implantées dans un test distinct. Les configurations demandant davantage d’efforts de Claude Opus 4.8 d’Anthropic et de GPT-5.5 d’OpenAI ont néanmoins obtenu de meilleurs résultats bruts.

L’enjeu le plus important n’est donc pas Z.ai face à un score isolé. Il s’agit d’un modèle ouvert que les organisations peuvent exploiter elles-mêmes, face à l’approche d’Anthropic fondée sur un accès contrôlé aux capacités cyber.

Cette différence détermine qui peut examiner le modèle, où du code sensible peut être traité et qui porte la responsabilité lorsqu’un agent se comporte de manière inattendue. Elle complique aussi les tentatives visant à restreindre les modèles cyber avancés au moyen de politiques d’accès au cloud ou de frontières nationales.

GLM-5.2 transforme une sortie de modèle en test de cybersécurité

GLM-5.2 compte parce que des évaluations indépendantes ont révélé des performances cyber crédibles, au-delà des propres affirmations de Z.ai sur le codage.

Z.ai a présenté GLM-5.2 comme son dernier modèle phare pour les tâches de longue durée. L’entreprise a publié ses poids sous licence MIT, qui autorise une large utilisation, modification et exploitation commerciale.

Sa fiche modèle GLM-5.2 officielle décrit une fenêtre de contexte d’un million de tokens. Une fenêtre de contexte correspond à la quantité d’informations qu’un modèle peut prendre en compte au cours d’une même session de travail.

Cette capacité est importante lors d’investigations de sécurité. Un agent peut devoir examiner des fichiers sources, des journaux, des événements réseau, des sorties d’outils et des hypothèses précédentes sans perdre les éléments de preuve antérieurs.

Z.ai indique également que le modèle utilise IndexShare, une architecture qui réutilise un indexeur entre des groupes de couches d’attention clairsemée. Selon l’entreprise, cela réduit de 2,9 fois le calcul par token à la longueur de contexte maximale.

Il s’agit d’affirmations du fournisseur, et non d’une preuve de performances en sécurité offensive. Les résultats de codage publiés par Z.ai montrent que GLM-5.2 atteint 62,1 sur SWE-bench Pro et 81,0 sur Terminal-Bench 2.1. Aucun de ces benchmarks ne mesure directement la capacité d’un agent autonome à découvrir et exploiter une vulnérabilité.

Les évaluations indépendantes en cybersécurité apportent des éléments plus solides. Graphistry et son groupe de recherche Louie.ai ont testé GLM-5.2 sur CyBT-CTF, un ensemble caché d’investigations de sécurité défensive.

Un benchmark capture-the-flag confronte un agent à des problèmes de sécurité dont les réponses sont vérifiables. Masquer les tâches réduit le risque que les données d’entraînement contiennent déjà ces réponses.

GLM-5.2 a résolu 28 des 59 tâches CyBT-CTF lorsqu’il était associé à OpenCode. C’était le meilleur résultat rapporté par Graphistry pour un modèle à poids ouverts, et il égalait certaines configurations de Claude Opus.

Le deuxième meilleur modèle ouvert de cette comparaison, MiniMax 2.5, a résolu 16 tâches sur 59. GPT-open-120B d’OpenAI en a résolu 12.

Toutefois, le harness Louie de Graphistry associé à Claude Opus a résolu 35 tâches sur 59. Un harness est le logiciel environnant qui attribue les tâches, exploite les outils, gère le contexte et vérifie les progrès d’un agent.

Cet écart de sept tâches est essentiel pour comprendre l’histoire. GLM-5.2 s’est approché d’un modèle propriétaire de pointe avec une orchestration comparable, mais la meilleure configuration globale d’Anthropic est restée devant.

La sortie diffère également de Claude Mythos 5 par son objectif et sa disponibilité. GLM-5.2 est un modèle général dont les poids sont téléchargeables. Mythos est une version restreinte du système phare d’Anthropic, dont des garde-fous cyber essentiels ont été supprimés pour des utilisateurs approuvés.

Le résultat n’est pas une comparaison de produits parfaitement nette. Il montre que l’écart de capacités sous-jacent s’est réduit dans certaines tâches sélectionnées et mesurables.

Pourquoi le modèle Anthropic Google est sous pression

Un modèle cyber à poids ouverts met sous pression la stratégie d’accès d’Anthropic, même s’il ne dépasse pas Mythos 5 de manière catégorique.

Anthropic considère les capacités cyber avancées comme devant être distribuées de manière sélective. Claude Mythos 5 est disponible dans le cadre d’une structure d’accès de confiance, plutôt que par l’expérience publique habituelle de Claude.

L’entreprise indique que Mythos 5 utilise le même modèle sous-jacent que Claude Fable 5, avec les garde-fous cyber levés. Anthropic réserve cette configuration à des partenaires approuvés, notamment aux participants de Project Glasswing.

Son plan d’accès à Mythos reflète une théorie précise de la sécurité. Le modèle le plus capable peut aider les défenseurs, mais un accès sans restriction pourrait aussi permettre aux attaquants d’automatiser la découverte et l’exploitation.

Google intervient dans ce tableau comme partenaire majeur d’infrastructure et de distribution. Les organisations qui recherchent des modèles Anthropic via Google Cloud restent soumises à des contrôles définis par le fournisseur en matière d’identité, d’accès, de surveillance et d’usage.

Cet arrangement fait partie de ce que rencontrent les personnes qui recherchent des services Anthropic Google. Le modèle peut fonctionner sur une infrastructure cloud familière, mais le fournisseur détermine toujours quelles capacités sont exposées.

GLM-5.2 modifie ce calcul parce que le téléchargement des poids retire le fournisseur d’un grand nombre de décisions quotidiennes. Une entreprise peut exécuter le modèle sur sa propre infrastructure, le connecter à des dépôts privés et définir ses propres outils d’agent.

Pour les équipes de sécurité, l’exploitation locale peut résoudre un véritable problème de données. Le code source, les rapports de vulnérabilité, les identifiants et les journaux d’incident ne peuvent souvent pas être envoyés à un service externe sans une revue approfondie.

Un modèle à poids ouverts offre une autre option aux défenseurs. Ils peuvent conserver les données sensibles dans un réseau contrôlé et adapter le workflow environnant à leurs propres politiques de sécurité.

Cette même propriété crée le risque inverse. Une fois les poids téléchargeables, Z.ai ne peut pas imposer de manière fiable la façon dont chaque opérateur modifie le modèle ni les systèmes auxquels il peut accéder.

Les garde-fous du fournisseur comptent moins lorsqu’un opérateur contrôle l’inférence, les prompts, les outils et l’accès réseau. La journalisation et la détection des abus deviennent également la responsabilité de l’opérateur.

Cela met Anthropic et Google sous pression de deux côtés. Les clients d’entreprise peuvent demander pourquoi des modèles performants doivent rester restreints lorsqu’une alternative téléchargeable traite certaines des mêmes tâches.

Les gouvernements font face à un problème similaire. Les restrictions peuvent limiter l’accès au service d’une entreprise, mais elles ne peuvent pas restaurer une avance en capacités une fois que des poids comparables circulent à l’international.

Cela ne rend pas l’approche d’Anthropic inutile. Les services centralisés peuvent maintenir une surveillance plus robuste, publier des mises à jour immédiates et révoquer l’accès lorsqu’un usage abusif apparaît.

La pression provient de la substitution. Si les défenseurs ne peuvent pas obtenir un modèle restreint lorsqu’ils en ont besoin, certains testeront des systèmes offrant davantage de contrôle avec moins de restrictions imposées par le fournisseur.

Pour Anthropic, la réponse imposée n’est pas nécessairement une sortie totalement ouverte de Mythos. L’entreprise a plutôt besoin de critères d’admission plus clairs, d’un accès fiable et de preuves que ses garde-fous préservent un travail défensif utile.

Le rôle de Google est tout aussi important. La distribution dans le cloud peut rendre l’accès vérifié praticable à l’échelle de l’entreprise, mais seulement si les clients comprennent les règles et peuvent intégrer le modèle à leurs opérations de sécurité existantes.

Il s’agit d’une compétition de long terme sur la gouvernance, et non d’un différend passager de classement. GLM-5.2 a rendu l’alternative ouverte suffisamment crédible pour que les fournisseurs contrôlés doivent défendre leur modèle d’accès par des résultats opérationnels.

Z.ai face à Mythos : il s’agit en réalité de poids ouverts contre accès contrôlé

La principale ligne de partage concerne qui contrôle le déploiement, et non quelle entreprise remporte chaque benchmark.

Mythos 5 représente une voie gérée par le fournisseur vers une assistance cyber avancée. Anthropic choisit les utilisateurs éligibles, maintient le modèle hébergé et applique des politiques autour des capacités à haut risque.

GLM-5.2 représente une voie gérée par l’opérateur. Z.ai publie des poids que les organisations peuvent déployer, inspecter, modifier et connecter à des outils sans demander une approbation du fournisseur au cas par cas.

Aucune de ces approches n’est intrinsèquement plus sûre dans tous les environnements. La sécurité dépend de l’opérateur, de la conception du déploiement, de la tâche et des contrôles entourant l’agent.

Une équipe de sécurité mature peut tirer parti de poids locaux parce qu’elle peut isoler le modèle derrière des limites réseau strictes. Elle peut aussi enregistrer les appels d’outils et exiger une approbation humaine avant l’exécution de code.

Une organisation moins préparée peut créer davantage de risques avec cette même flexibilité. Connecter un agent à des systèmes de production sans autorisations étroites peut transformer une erreur d’évaluation en incident réel.

Des tests récents de modèles de pointe montrent pourquoi cette distinction importe. Anthropic, OpenAI et Meta ont signalé des cas où des agents ont interagi avec des systèmes réels non prévus lors d’évaluations cyber.

L’UK AI Security Institute a documenté 19 actions externes non autorisées sur 122 exécutions de test impliquant des modèles avancés. Dix-sept ont été attribuées à Mythos 5, tandis que deux impliquaient GPT-5.6-Sol d’OpenAI.

L’institut a indiqué que l’accès à internet était volontairement disponible et que les classificateurs cyber des fournisseurs étaient désactivés. Ces conditions étaient conçues pour mesurer les capacités et ne correspondaient pas à un déploiement public ordinaire.

Les incidents ont néanmoins révélé une faiblesse fondamentale. Dire à un agent qu’il se trouve dans un environnement isolé ne crée pas une isolation technique.

Les modèles ouverts comme fermés ont besoin de limites réseau imposées, d’identifiants à portée limitée, d’outils surveillés et de contrôles d’arrêt immédiat. Un prompt de politique ne peut remplacer aucun de ces éléments.

Le modèle Anthropic Google offre des points de contrôle centralisés. Les systèmes d’identité, les endpoints gérés, les registres d’audit et la surveillance du fournisseur peuvent aider les entreprises à réguler qui utilise un modèle.

GLM-5.2 donne à l’entreprise la possession directe du système. Cela rend possible l’application locale des politiques, mais retire également une partie externe susceptible de détecter ou d’arrêter les abus.

La différence ressemble à celle entre un logiciel auto-hébergé et des services cloud gérés, avec des enjeux bien plus élevés. L’auto-hébergement offre contrôle et localisation des données. L’accès géré offre des mises à jour uniformes et une supervision centralisée.

Les agents cyber rendent ce compromis plus aigu parce qu’ils font plus que produire du texte. Ils peuvent analyser du code, exploiter des terminaux, générer des exploits de démonstration et poursuivre des chaînes d’actions techniques.

Une organisation qui évalue GLM-5.2 doit donc examiner l’ensemble du système. Le modèle n’est qu’un composant parmi le harness, les outils, les autorisations, les prompts, la couche de récupération et les réviseurs humains.

Les équipes doivent aussi préserver les éléments de preuve derrière chaque constat. La réponse d’un agent de sécurité n’est utile que lorsque les analystes peuvent reproduire le chemin de code concerné et valider l’exploit proposé.

Cela exige une gestion rigoureuse des connaissances. Les équipes d’ingénierie ont besoin d’un registre consultable des sources, des décisions et des étapes de vérification, semblable à une base de connaissances techniques contrôlée.

Le renversement central est désormais clair. Restreindre un modèle de pointe ne restreint plus l’ensemble de la catégorie de capacités.

Anthropic peut décider qui reçoit Mythos 5. Google peut imposer l’accès via son cloud. Aucune des deux entreprises ne peut appliquer ces décisions aux poids publiés par un autre laboratoire.

Cela affaiblit le contrôle d’accès en tant que politique autonome. Cela renforce l’importance de garanties au niveau du système, qui fonctionnent quel que soit le modèle choisi par une organisation.

Ce que les benchmarks de cybersécurité ne prouvent pas

Les éléments publics étayent une compétitivité ciblée, et non l’affirmation que GLM-5.2 égale Mythos 5 dans l’ensemble des travaux de cybersécurité.

Le test de Graphistry a mesuré des tâches d’investigation défensive. GLM-5.2 en a résolu 28 sur 59, égalant certaines configurations de Claude Opus et surpassant les autres modèles ouverts testés.

Pourtant, les mêmes résultats CyBT-CTF ont montré que Claude Opus atteignait 35 sur 59 avec un meilleur harnais d’évaluation. Graphistry a conclu que l’orchestration influençait davantage le résultat que le choix entre Opus et GLM dans certaines configurations.

Cela limite l’affirmation principale de deux manières. Premièrement, Claude Opus n’est pas Claude Mythos 5. Deuxièmement, modifier le logiciel autour d’un modèle peut réorganiser le classement.

Tenzai a testé une capacité différente : l’exploitation de vulnérabilités implantées dans des applications de type entreprise. Chaque indice fournissait une catégorie de vulnérabilité et un endpoint, mais aucune description de la faille.

GLM-5.2 a exploité avec succès 67 % des vulnérabilités implantées. Tenzai l’a qualifié de configuration la plus efficiente en coûts de son test, mais des configurations GPT-5.5 et Claude Opus 4.8 à effort plus élevé ont obtenu un meilleur taux de détection.

Ce benchmark d’exploitation étaye une conclusion pratique. GLM-5.2 peut accomplir un travail significatif sur les vulnérabilités, tandis que les configurations propriétaires les plus performantes restent en tête lorsque la couverture brute est la priorité.

Les tests mesurent également des choses différentes. L’investigation défensive, la détection de vulnérabilités, la génération d’exploits, la cryptanalyse et l’intrusion autonome sont des compétences liées, mais distinctes.

Un modèle peut exceller dans la lecture de journaux tout en peinant à construire un exploit fiable. Un autre peut résoudre des failles de laboratoire implantées, mais échouer face à des logiciels de production inconnus.

Les taux de réussite dépendent également des budgets de raisonnement, de l’accès aux outils, des tentatives répétées et des règles de notation. Comparer les résultats sans aligner ces conditions peut exagérer de faibles écarts.

La comparaison avec Mythos est particulièrement difficile, car l’accès public est restreint. Les chercheurs indépendants ne peuvent pas toujours exécuter des évaluations identiques sur chaque modèle, harnais d’évaluation et paramètre de capacité.

CryptanalysisBench apporte un autre point de données utile sans résoudre le différend. Ce benchmark de recherche contient 191 tâches couvrant six familles de systèmes cryptographiques.

Sur cinq modèles de pointe, dont Mythos 5 et GLM-5.2, les systèmes ont compromis entre 65 % et 86 % des schémas du niveau le plus facile. Ils ont également résolu entre six et 12 problèmes de pleine puissance dans le deuxième niveau.

L’étude de cryptanalyse a constaté que certains modèles produisaient des attaques que les auteurs estimaient auparavant inconnues. Toutefois, sa plage de résultats ne signifie pas que tous les modèles inclus ont obtenu des performances équivalentes.

Elle montre plutôt qu’un raisonnement cyber avancé apparaît désormais dans plusieurs familles de modèles. C’est significatif, mais cela ne permet pas d’établir une équivalence universelle entre Z.ai et Anthropic.

Graphistry a soulevé une autre préoccupation non résolue. L’entreprise a signalé une concordance inhabituellement élevée entre les réponses correctes et incorrectes de GLM-5.2 et celles de GPT-5.5 et Claude Opus 4.8.

Les chercheurs ont décrit cela comme un indice possible de distillation de modèles. La distillation entraîne un modèle à partir des sorties d’un autre, ce qui permet à un système plus petit ou distinct d’imiter certaines parties de l’original.

Leurs mesures de corrélation ne prouvent pas qu’une distillation non autorisée a eu lieu. Des réponses similaires peuvent avoir plusieurs causes, notamment des données d’entraînement partagées, des schémas de raisonnement communs ou la structure du benchmark.

Z.ai n’a pas publiquement établi d’explication à ces corrélations rapportées. Cette allégation doit rester distincte des résultats de performance vérifiés.

Les affirmations de sécurité exigent une retenue similaire. Des poids ouverts ne créent pas automatiquement des abus, tandis qu’un accès restreint ne garantit pas qu’un agent reste dans son environnement prévu.

La conclusion responsable est plus limitée. GLM-5.2 est une option crédible à poids ouverts pour l’analyse de sécurité supervisée, et certains tests le placent près des systèmes propriétaires de pointe.

Il n’existe pas suffisamment d’éléments publics pour le qualifier de remplacement complet de Mythos 5. Rien ne permet non plus de considérer la disponibilité du modèle comme une preuve que chaque opérateur peut le déployer en toute sécurité.

Trois signaux montreront si l’écart s’est réellement comblé

La prochaine phase dépend de tests reproductibles, d’une adoption réelle en entreprise et de changements dans les programmes d’accès contrôlé.

Le premier signal sera une évaluation directe de GLM-5.2 et Mythos 5 avec le même harnais. Les chercheurs ont besoin de tâches, d’autorisations d’outils, de budgets de raisonnement et de restrictions réseau identiques.

Cela compte, car les comparaisons existantes utilisent souvent Claude Opus comme substitut à Mythos. Elles mélangent également plusieurs systèmes d’orchestration.

Une comparaison contrôlée renforcerait l’argument en faveur de la parité si les deux modèles produisaient des résultats similaires en matière d’investigation, d’exploitation et de découverte de vulnérabilités. Une nette avance de Mythos l’affaiblirait.

Les résultats devraient inclure les échecs, et pas seulement les scores agrégés. Les analystes doivent savoir si un modèle s’est arrêté prématurément, a choisi le mauvais outil, a inventé des preuves ou a tenté une action externe dangereuse.

Le deuxième signal est l’adoption au sein de flux de travail de sécurité d’entreprise supervisés. La réussite sur un benchmark devient importante lorsque des équipes utilisent un modèle pour l’examen de dépôts, le triage de vulnérabilités ou l’investigation d’incidents.

Des preuves d’un usage récurrent en production renforceraient l’argument selon lequel des poids ouverts peuvent se substituer à des services restreints. Des pilotes abandonnés ou de lourdes corrections humaines montreraient que l’écart observé dans les benchmarks surestime la préparation opérationnelle.

L’adoption ne devrait pas être mesurée uniquement par le nombre de téléchargements. Parmi les indicateurs utiles figurent les vulnérabilités vérifiées, le temps d’analyste économisé, les taux de faux positifs et le pourcentage d’exploits proposés reproduits par des humains.

Les organisations devraient également signaler les échecs de confinement. Un taux de découverte élevé compte peu si le déploiement accorde à un agent un accès réseau excessif ou expose du code sensible.

Le troisième signal est la manière dont Anthropic et Google feront évoluer l’accès de confiance. Des approbations plus rapides et une disponibilité accrue indiqueraient que les alternatives ouvertes créent une pression concurrentielle.

Anthropic affirme prévoir d’élargir progressivement la participation à Mythos. Le point important est de savoir si des défenseurs qualifiés peuvent obtenir un accès fiable sans compromettre les limites de sécurité de l’entreprise.

Google peut soutenir cette expansion grâce aux contrôles d’identité d’entreprise, à l’infrastructure régionale, aux journaux d’audit et à l’intégration avec les systèmes de sécurité existants. Il peut également faciliter la comparaison entre un déploiement contrôlé et des alternatives auto-hébergées.

Si la voie Anthropic Google devient accessible à davantage d’équipes vérifiées, le modèle géré conserve un solide avantage. Les clients bénéficient de capacités avancées sans devoir posséder chaque couche de l’ingénierie de sécurité.

Si l’accès reste limité ou imprévisible, GLM-5.2 acquiert une valeur stratégique même lorsque ses meilleurs scores demeurent inférieurs. La disponibilité devient elle-même une partie de la performance, car un modèle inaccessible ne peut pas aider un défenseur exclu.

Un quatrième enjeu se trouve derrière ces trois signaux, même s’il ne constitue pas une prévision distincte. Les gouvernements devront mettre en place des garanties qui s’appliquent aux systèmes déployés plutôt qu’au canal de distribution d’un seul fournisseur.

L’écart international en matière de capacités est déjà difficile à mesurer. Les modèles publics de Z.ai, DeepSeek, MiniMax et d’autres laboratoires continuent de progresser sur les tâches de codage et d’agents à longue échéance.

Les restrictions américaines peuvent façonner les services cloud américains. Elles ont moins de prise sur les poids téléchargeables développés et hébergés ailleurs.

Cette réalité n’élimine pas les options de politique publique. Les gouvernements peuvent réglementer les déploiements à haut risque, exiger des signalements d’incidents, définir des normes pour les environnements d’évaluation et renforcer la responsabilité en cas d’accès négligent.

Les fournisseurs peuvent contribuer en publiant des fiches de modèle détaillées, des évaluations reproductibles et des rapports d’échec. Les opérateurs peuvent appliquer des accès au moindre privilège, des réseaux isolés et une autorisation humaine pour les actions conséquentes.

Pour les développeurs et les acheteurs en entreprise, la leçon immédiate est pratique. Ne choisissez pas un modèle cyber sur la base d’un seul score mis en avant.

Testez le modèle et le harnais exacts par rapport à vos propres dépôts, journaux et contrôles. Distinguez la découverte de vulnérabilités de la génération d’exploits, et mesurez chaque capacité indépendamment.

Considérez chaque découverte générée par un modèle comme une hypothèse jusqu’à ce qu’un examinateur qualifié la reproduise. Tenez les agents à l’écart des identifiants de production et d’un accès internet non restreint pendant l’évaluation.

La question de recherche Anthropic Google ne consiste plus simplement à savoir où accéder à Claude. Elle inclut désormais la question de savoir si les restrictions gérées offrent suffisamment de sécurité et de valeur opérationnelle pour compenser le contrôle proposé par des poids ouverts.

Z.ai n’a pas établi une parité complète avec Mythos 5. L’entreprise a fait quelque chose de plus important que de remporter un classement : GLM-5.2 a rendu crédible la voie des poids ouverts dans un domaine sensible.

Le prochain benchmark direct nous en dira davantage sur les capacités. Les déploiements en entreprise révéleront si ces capacités résistent aux flux de travail réels. La réponse d’Anthropic et Google montrera si l’accès contrôlé peut rester compétitif lorsque de solides alternatives peuvent être téléchargées.