Un fallo de 45 años retrasó un modelo de IA

Qué encontró GLM-5.3, y con qué rapidez

El laboratorio chino de IA Z.ai lanzó GLM-5.3 el 14 de agosto de 2026 sobre la misma base de mezcla de expertos de 743.000 millones de parámetros que su predecesor GLM-5.2, y toda la ganancia de capacidad reportada provino de un post-entrenamiento extendido, no de un nuevo preentrenamiento. Solo ese post-entrenamiento elevó la puntuación de Terminal-Bench 3.0 del modelo de 4,6 a 28,3 y su puntuación de detección de vulnerabilidades CyberGym de 77,2 a 84,5 por ciento, por delante de Claude Mythos 5 con 83,8 por ciento y GPT-5.6 Sol con 83,6 por ciento. Z.ai usó después el propio modelo para analizar software real de código abierto y reportó 2.436 vulnerabilidades distintas en 269 proyectos, incluido un fallo que se remonta a 1981, 45 años antes de ser hallado.

De esos 2.436 hallazgos, solo 53 son públicos hoy; los 2.383 restantes, incluidos todos los resultados criticos y de alta gravedad, permanecen bajo embargo mientras los proyectos afectados reciben tiempo para corregirlos.

Una habilidad que nadie entrenó

Z.ai describe la capacidad de detección de vulnerabilidades como no planeada, y dice que el modelo simplemente la adquirió a medida que la capacidad se acumulaba con el aumento del entrenamiento, en lugar de ser el resultado de un plan deliberado de ciberseguridad. La distinción importa porque los ciclos de post-entrenamiento son mucho más baratos y rápidos de ejecutar que un preentrenamiento completo, la etapa en torno a la cual se construyen la mayoría de las revisiones de seguridad y los umbrales de cómputo. GLM-5.3 resolvió 105 tareas de generación de exploits en dos horas y 130 en seis en el benchmark ExploitGym, frente a 29 y 39 de GLM-5.2 sobre el mismo modelo base apenas meses antes, un salto en capacidad ofensiva que llegó sin un nuevo modelo base, sin una nueva ejecución de entrenamiento y sin ninguna señal pública previa.

La promesa de dos semanas que llegó y pasó

Z.ai escalonó el lanzamiento de GLM-5.3: el modelo se activó el día del lanzamiento a través de su propia API, su GLM Coding Plan y su producto ZCode, mientras que los pesos abiertos descargables, la versión que cualquier laboratorio o empresa puede alojar y ejecutar de forma independiente, se prometieron para unas dos semanas después, alrededor del 28 de agosto, una vez completada una evaluación de seguridad y un endurecimiento del modelo. Es la primera vez que Z.ai retrasa el lanzamiento de los pesos de un GLM, en un enfoque escalonado similar al que Moonshot usó para su modelo Kimi K3. La fecha del 28 de agosto ya pasó sin que se publicaran los pesos, y Z.ai no ha dado una nueva, tratando el calendario original como una expectativa y no como un compromiso.

Por qué esto importa más allá del calendario de una empresa

Un retraso voluntario es, ahora mismo, el único freno real para que una capacidad así llegue a la distribución abierta: ninguna ley en ningún lugar obliga a un laboratorio a retener los pesos de un modelo porque una puntuación de referencia resultó más alta de lo esperado. El propio marco de la UE para los modelos de IA de propósito general más capaces, aplicado por la Oficina de IA desde el 2 de agosto de 2026, fija su umbral de riesgo sistémico usando el cómputo de entrenamiento invertido en construir un modelo, una medida diseñada en torno a una única ejecución grande de preentrenamiento. El salto de GLM-5.3 provino enteramente de post-entrenamiento sobre una base ya existente, el tipo de actualización barata y de ejecución rápida que un umbral de cómputo calibrado para el preentrenamiento no está preparado para detectar, y que un laboratorio puede repetir cada pocos meses. Que la propia promesa de dos semanas de Z.ai ya se haya incumplido es la señal más clara hasta ahora de que las ventanas de revisión autoimpuestas se mueven más lento que los ciclos de actualización que se supone deben gobernar.

Hacemos esto por todos los que intentan seguir el ritmo de lo que la tecnología está haciendo a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. El Servola Journal existe para que lo que aprendemos pertenezca a todas ellas.

Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién pueda permitirse pagar por ello.

Si esto le ha aportado algo hoy, díganoslo para que sigamos. Síganos, deje un me gusta o escriba un comentario positivo. Leemos cada uno de ellos, y son lo que nos mantiene en marcha.

Leer a continuación: Washington puede eximir de lo que Bruselas va a exigir  |  Tus proveedores de IA se exponen a multas de la UE