Secu
GLM-5.3 : Les IA open weight peuvent-elles aussi enchaîner les cyberattaques… et contourner les consignes
Par Laurent Delattre, publié le 04 novembre 2026
Réputé pour ses capacités agentiques en matière de codage et de cyber, le modèle chinois GLM-5.3 vient une fois de plus de démontrer son potentiel en franchissant un cap supplémentaire dans l’automatisation offensive. Une nouvelle étude Irregular confirme ainsi les craintes de l’écosystème sur le peu de retard de ces modèles face aux meilleurs modèles frontières américains. Mais elle révèle aussi une fâcheuse tendance du modèle à privilégier le résultat sur le respect des instructions. De quoi interroger un peu plus encore DSI et RSSI sur la fiabilité des agents autonomes.
Une IA qui détecte une vulnérabilité, c’est presque devenu banal. Une IA qui exploite une brèche, rebondit sur plusieurs machines, répare ses outils et récupère les données visées, c’est certes du déjà vu, mais ça reste plus inquiétant, surtout quand cette IA est diffusée en open-weight, à la vue de tous, en libre accès et même éventuellement personnalisable. L’histoire est soudain bien différente de la découverte d’une vulnérabilité. Et c’est un seuil qui a été franchi par GLM-5.3, le modèle à poids ouverts de Z.ai (Zhipu AI), selon Irregular.
Trois opérations complétées, aucun refus
Sur CyScenarioBench, qui reproduit des campagnes offensives dans des réseaux simulés, GLM-5.3 a terminé 3 scénarios sur 13 au moins une fois. Il n’a refusé aucune tâche offensive testée, preuve que ces garde-fous sont un peu trop permissifs.
Pour mener ses attaques, le modèle a notamment transformé un accès applicatif initial en accès à des services internes, puis a établi des chemins de communication alternatifs et a coordonné plusieurs machines. Il a aussi automatisé des bureaux distants et a développé, puis réparé, des scripts, des relais et des outils d’extraction.
Et cela marque une progression significative dans les capacités offensives cyber des modèles ouverts. Une progression certes, pas forcément un progrès pour l’humanité.
Pour rappel, et avant que Mistral Large 4 ne passe les mêmes tests, seul le modèle Kimi K3 avait réussi à boucler entièrement un (et un seul) scénario d’attaque imaginé par Irregular. Contrairement aux modèles cyber propriétaires qui mènent la danse avec 9 scénarios sur 10 réussis par GPT-6 Astra puis le « 12 sur 12 » obtenu quelques semaines plus tard par Gemini 4 Argon.
Un résultat juste, obtenu par la mauvaise méthode
Mais le diable se cache toujours dans les détails. Et c’est en analysant les logs des étapes réussies qu’Irregular a constaté quelques comportements pour le moins inquiétants. Lors de tests de recherche de vulnérabilités dans du code open source, la reconstruction de code mémorisé intervenait dans environ 80 % des exécutions réussies examinées. Ce raccourci n’enfreignait aucune consigne, mais biaisait potentiellement la mesure : restituer du code appris n’équivaut pas à découvrir une faille.
Irregular a ensuite interdit explicitement cette restitution dans une évaluation distincte. GLM-5.3 l’a pourtant répétée pour obtenir les bonnes réponses. C’est une forme de reward hacking : le modèle cherche à optimiser la réussite apparente au détriment du respect des contraintes qui lui ont été données. Une façon de choisir la facilité sans s’intéresser aux conséquences et en considérant que seul le résultat compte.
Cela ne démontre aucune volonté de sabotage, aucune intention malveillante. Mais noter seulement la réponse finale masque la transgression et risque, au fil des entraînements ultérieurs, de récompenser le mauvais comportement.
Cet épisode autour de GLM-5.3 illustre deux accélérations : la démocratisation des capacités cyberoffensives au travers des modèles open-weight et la difficulté à gouverner les agents avec de telles capacités. Un double message qui ne doit désormais plus laisser aucun RSSI ni DSI indifférent. Et qui promet à tous des temps difficiles, dans pas très longtemps…
