Een bug van 45 jaar vertraagde een AI-model

Wat GLM-5.3 vond, en hoe snel

Het Chinese AI-lab Z.ai lanceerde GLM-5.3 op 14 augustus 2026 op dezelfde 743 miljard parameters tellende mixture-of-experts-basis als voorganger GLM-5.2, waarbij elke gemelde capaciteitswinst uit uitgebreide nascholing kwam in plaats van een nieuwe voortrainingsronde. Alleen die nascholing tilde de Terminal-Bench 3.0-score van het model van 4,6 naar 28,3 en de CyberGym-score voor het opsporen van kwetsbaarheden van 77,2 naar 84,5 procent, voor op zowel Claude Mythos 5 met 83,8 procent als GPT-5.6 Sol met 83,6 procent. Z.ai gebruikte het model daarna zelf om echte opensourcesoftware te scannen en meldde 2.436 afzonderlijke kwetsbaarheden in 269 projecten, waaronder een fout die terugvoert tot 1981, 45 jaar voordat hij werd gevonden.

Van die 2.436 bevindingen zijn er vandaag slechts 53 openbaar; de overige 2.383, inclusief elk kritiek en ernstig resultaat, blijven onder embargo terwijl de betrokken projecten tijd krijgen om te patchen.

Een vaardigheid die niemand heeft getraind

Z.ai omschrijft het vermogen om kwetsbaarheden op te sporen als ongepland en zegt dat het model dit gewoon oppikte terwijl de capaciteit bleef toenemen naarmate de training opschaalde, in plaats van als resultaat van een doelbewust cyberveiligheidsprogramma. Dat onderscheid is belangrijk, omdat nascholingscycli veel goedkoper en sneller uit te voeren zijn dan een volledige voortrainingsronde, de fase waaromheen de meeste veiligheidsbeoordelingen en rekenkracht-drempels zijn gebouwd. GLM-5.3 rondde 105 exploitgeneratietaken af in twee uur en 130 binnen zes uur op de ExploitGym-benchmark, tegenover 29 en 39 voor GLM-5.2 op hetzelfde basismodel slechts maanden eerder, een sprong in offensieve capaciteit die kwam zonder nieuw basismodel, zonder nieuwe trainingsronde en zonder enig openbaar signaal vooraf.

De belofte van twee weken die kwam en ging

Z.ai faseerde de uitrol van GLM-5.3: het model werd op de lanceerdatum live via zijn eigen API, zijn GLM Coding Plan en zijn ZCode-product, terwijl de downloadbare open gewichten, de versie die elk lab of bedrijf zelfstandig kan hosten en draaien, ongeveer twee weken later werden beloofd, rond 28 augustus, zodra een veiligheidsbeoordeling en verhardingsronde waren afgerond. Dit is de eerste keer dat Z.ai een GLM-gewichtenrelease uitstelt, in een gefaseerde aanpak die lijkt op wat Moonshot deed voor zijn Kimi K3-model. De datum van 28 augustus is inmiddels verstreken zonder dat de gewichten zijn uitgebracht, en Z.ai heeft geen nieuwe datum gegeven, en behandelt de oorspronkelijke planning als een verwachting in plaats van een toezegging.

Waarom dit verder reikt dan het schema van één bedrijf

Een vrijwillig uitstel is op dit moment de enige echte rem die voorkomt dat zo'n vermogen in open verspreiding terechtkomt: geen enkele wet ter wereld verplicht een lab om modelgewichten achter te houden omdat een benchmarkscore hoger uitviel dan verwacht. Het eigen EU-kader voor de krachtigste algemene AI-modellen, sinds 2 augustus 2026 gehandhaafd door het AI Office, stelt zijn drempel voor systeemrisico vast aan de hand van de trainingsrekenkracht die is besteed aan het bouwen van een model, een maatstaf die is ontworpen rond één grote voortrainingsronde. De sprong van GLM-5.3 kwam volledig uit nascholing op een reeds bestaande basis, precies het soort goedkope, snel uit te voeren update die een op voortraining afgestemde rekenkrachtdrempel niet is toegerust om op te merken, en die een lab elke paar maanden kan herhalen. Dat Z.ai's eigen belofte van twee weken al is uitgelopen, is tot nu toe het duidelijkste teken dat zelfopgelegde beoordelingsvensters trager bewegen dan de updatecycli die ze geacht worden te beheersen.

Wij doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Het Servola Journal bestaat zodat wat wij leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. Wij geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit u vandaag iets heeft gegeven, laat het ons weten zodat wij doorgaan. Volg ons, laat een like achter of schrijf een positieve reactie. Wij lezen ze allemaal, en dat is wat ons gaande houdt.

Lees hierna: Washington geeft mogelijk ontheffing van wat Brussel gaat eisen  |  Je AI-leveranciers riskeren EU-boetes