Китайская модель GLM-5.2: безопасность отстала от возможностей на годы

Представьте: вы скачали модель, убрали системные ограничения, заменили промпты – и никакой API-политики Z.ai вас больше не касается. Именно это и делает ситуацию с GLM-5.2 по-настоящему неудобной для всей индустрии. Согласно отчёту SaferAI, опубликованному 4 августа 2026 года, китайская open-weight модель от Z.ai лишь на несколько месяцев отстаёт от GPT-5.5 (OpenAI) и Claude Opus 4.7 (Anthropic) по уровню кибер- и биологических возможностей. При этом разрыв в практиках безопасности – колоссальный.

Что показал бенчмарк CyberGym

SaferAI тестировал GLM-5.2 через публичный API Z.ai. Результат однозначный: модель не отказалась ни от одного наступательного кибер-задания и ни от одного запроса из категории dual-use биологии. Для сравнения – Claude Opus 4.7 отказывал настолько последовательно, что SaferAI вообще не смог завершить прохождение CyberGym на этой модели. CyberGym – это benchmark для оценки возможностей в кибербезопасности; OpenAI использовал его перед инцидентом с утечкой на Hugging Face в июле 2026 года.

Это не значит, что GLM-5.2 плохая модель. Это значит, что её создатели сделали другие приоритеты. Z.ai не опубликовала ни фреймворка безопасности, ни обязательств по предрелизному тестированию, ни оценки рисков для GLM-5.2. Запрос TechCrunch остался без ответа.

Почему open-weight – это отдельная история

Закрытые модели – GPT-5.5, Claude Opus 4.7 – полагаются на классификаторы, обучение с отказами и контроль на уровне API. Всё это несовершенно: исследовательская организация Far.ai нашла сотни универсальных джейлбрейков во frontier-моделях, включая Grok 4.5 и Gemini 3.1 Pro. Эти «ключи» работают при комбинации нескольких техник манипуляции – ролевые игры, имитация авторитетов, поддельная история переписки.

Но у закрытых моделей хотя бы есть этот уровень защиты по умолчанию. Для open-weight систем, которые запускаются на любом железе с любыми настройками, гарантии не работают вовсе. Скачал веса – и делай что хочешь: убирай ограничения, дообучай на своих данных, меняй системные промпты.

«Frontier возможностей – это не frontier рисков, и мы должны учитывать состояние защитных мер, чтобы правильно оценить риск», – сказал Генри Пападатос, исполнительный директор SaferAI, в интервью TechCrunch.

Здесь стоит уточнить: сами сторонники open-source моделей приводят контраргументы, и часть из них обоснована. После взлома Hugging Face в июле 2026 года именно GLM-5.2 использовалась для защиты. Клем Делангье, CEO Hugging Face, написал, что системы на базе этой модели помогли остановить атаку с применением ИИ. Пападатос, впрочем, считает, что этот аргумент переоценён и не даёт оснований делать опасные возможности общедоступными.

Техническая сторона: как закрыть опасные возможности

Один из методов, который Пападатос называет перспективным, – фильтрация данных на этапе предобучения. Идея: убрать из тренировочного датасета информацию об атакующих киберинструментах, обучить модель на очищенных данных. Некоторые исследования подтверждают: такой подход снижает уровень опасных биологических знаний без заметного ущерба для общей производительности модели.

С кибербезопасностью сложнее. Хороший программист и хороший хакер используют примерно одни и те же знания. Разработка кода – главный источник дохода для AI-компаний, и давление рынка толкает их к улучшению этих возможностей, а не к их ограничению. Anthropic нашла компромисс: Claude Opus 5 умеет искать уязвимости в исходном коде до компиляции, но не в скомпилированном ПО. Логика понятна – атаковать задеплоенные системы так становится сложнее.

Именно здесь и находится суть проблемы с китайской моделью GLM-5.2: безопасность как концепция и как инженерная практика требуют явных компромиссов и явных публичных обязательств. Без них разрыв между возможностями и защитой будет только расти.

Китайский регуляторный контекст

На Всемирной конференции по ИИ в июле 2026 года Си Цзиньпин подчеркнул значимость open-weight моделей и одновременно потребовал строгого контроля над ИИ со стороны человека. Как это совмещается на практике – вопрос открытый.

Грэм Уэбстер из Стэнфордского центра киберполитики объясняет ситуацию так: китайские регуляторы традиционно фокусировались на политически чувствительном контенте, дезинформации и социальной стабильности, а не на катастрофических рисках вроде наступательных кибератак или биологических угроз. «Американские эксперты в целом больше озабочены экзистенциальными рисками, чем китайское сообщество», – отмечает Уэбстер. По его словам, многие китайские исследователи полагают: если реальный новый frontier-риск и возникнет, американские компании столкнутся с ним первыми.

Плюс в Китае работает специфическая система ответственности: онлайн-активность привязана к реальной личности, компании и пользователи подотчётны. Уэбстер допускает, что тот же механизм, который заставляет модели избегать политических тем, потенциально можно настроить и на отказ от наступательных кибератак. Но что происходит внутри – непрозрачно: китайские компании координируются с регуляторами закулисно.

Что это значит для бизнеса

Для корпоративного сектора история с GLM-5.2 – напоминание о том, что выбор AI-инструментов имеет не только техническое, но и репутационное и юридическое измерение. Компании, которые строят продукты или автоматизации на базе open-weight моделей, берут на себя ответственность за то, как эти системы используются.

Тут важный практический момент: если вы строите, допустим, автоматический блог на ИИ или другой контентный пайплайн на базе открытой модели, вопрос о том, какие ограничения встроены в модель по умолчанию, становится частью вашего due diligence. Не паранойя – просто профессиональная гигиена.

Разрыв между возможностями и безопасностью, который SaferAI зафиксировал в августе 2026 года, скорее всего, будет только увеличиваться. Открытые веса дают свободу и скорость – это реальная ценность. Но свобода без публичных обязательств по безопасности превращается в риск, который распределяется по всей цепочке пользователей.

«Цель должна быть чёткой: хорошие возможности – те, что безопасны, – доступны всем, а опасные мы пытаемся убрать, в том числе в open-source формате», – формулирует Пападатос. Звучит разумно. Вопрос в том, кто и как будет это контролировать, когда веса уже скачаны на сотни тысяч машин по всему миру.

Пока ответа нет – ни у регуляторов, ни у самой индустрии.