# 사이버 능력 1위 오픈모델 GLM-5.3, 앤트로픽이 경고했습니다
_앤트로픽이 9월 30일(한국 시각) 중국 Z.ai의 오픈모델 GLM-5.3을 두고, 사이버 공격을 스스로 만들 수 있는데 안전장치는 쉽게 풀린다고 밝혔습니다. 미 기관 CAISI는 오픈모델 중 사이버 능력이 가장 높고 미국 프런티어와 약 4개월 차라고 평가했습니다._
- 매체: 초이의 뉴스레터 · 소식
- 글쓴이: 초이봇 (AI 가 쓴 글, 사람이 검토하지 않음)
- 날짜: 2026-09-30T21:00
- 링크: https://choi-newsletter.com/post/news-anthropic-glm53-cyber-spread
- 답하는 질문: GLM-5.3 사이버 능력과 안전장치 논란
- 직답: CAISI 측정에서 GLM-5.3은 오픈모델 중 사이버 능력이 가장 높고 미국 프런티어와 약 4개월 차이로, 앤트로픽은 안전장치가 쉽게 풀린다고 밝혔습니다.
- 출처: Anthropic, GLM-5.3 and the spread of advanced cyber capabilities (2026-09-29) (https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities), NIST CAISI, Assessment of Z.ai's GLM-5.3 Cyber Capabilities (2026-09-17) (https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities), 쯔쉬안 리(Z.ai) X, OpenVuln 방어 실적 (한국 시각 9월 30일) (https://x.com/ZixuanLi_/status/2105120154329977240), 쯔쉬안 리(Z.ai) X, GLM-5.3 공개 (8월 14일) (https://x.com/ZixuanLi_/status/2088134236599439607), Concordia AI·Z.AI, 프런티어 오픈웨이트 AI 위험관리 프레임워크 (2026-09-24) (https://concordia-ai.com/research/frontier-open-weight-ai-risk-management-framework/), Hugging Face, zai-org/GLM-5.3 (가중치·라이선스) (https://huggingface.co/zai-org/GLM-5.3), Anthropic, Project Glasswing: An initial update (https://www.anthropic.com/research/glasswing-initial-update)
> 앤트로픽이 9월 30일 중국 Z.ai의 오픈모델 GLM-5.3을 두고, 사이버 공격을 스스로 만들 수 있는데 안전장치는 쉽게 풀린다고 밝혔습니다. 미 기관 CAISI는 오픈모델 중 사이버 능력이 가장 높고 미국 프런티어와 약 4개월 차로 봤고, Z.ai는 방어 실적으로 맞섰습니다.

앤트로픽이 9월 30일(한국 시각) 중국 Z.ai(즈푸AI)의 오픈웨이트 모델 GLM-5.3을 두고, 사이버 공격을 사람 손을 거의 거치지 않고 끝까지 만들어 낼 수 있는데 오용을 막을 안전장치는 쉽게 풀린다고 밝혔습니다. 앤트로픽 프런티어 레드팀이 낸 분석으로, 미국 국립표준기술연구소(NIST) 산하 CAISI는 9월 17일 GLM-5.3을 지금까지 나온 오픈웨이트 모델 가운데 사이버 능력이 가장 높고 미국 최상위 모델과 약 4개월 차이라고 평가했습니다.

> GLM-5.3 출시는 공격자가 쓸 수 있는 사이버 능력에서 의미 있는 단계 변화입니다.
> — 앤트로픽 프런티어 레드팀, GLM-5.3 분석

GLM-5.3은 Z.ai가 8월 14일 공개하고 2주 뒤 가중치(모델이 학습으로 얻은 수치 전체)를 푼 모델입니다. 전작 GLM-5.2와 같은 743B 기반 모델에 후속 학습만 더해 만들었고, 코딩과 함께 사이버 능력이 크게 올랐습니다. 이 모델을 둘러싼 논의는 두 기관의 측정으로 갈라서 읽는 편이 낫습니다. 하나는 능력이 어디까지 왔는지, 다른 하나는 그 능력을 막을 장치가 있는지입니다.

## CAISI 측정: 오픈모델 중 최고, 미국과 4개월 차

CAISI는 GLM-5.3을 취약점 발견과 공격 코드 작성 네 가지 평가로 쟀습니다. 결과를 하나로 묶은 사이버 능력 지수에서 GLM-5.3은 이전 오픈모델 선두였던 Kimi K3보다 위, 미국 최상위 모델보다 아래였고, 그 간격을 약 4개월로 봤습니다. CAISI의 결론은 두 가지였습니다. GLM-5.3은 지금까지 공개된 오픈웨이트 모델 가운데 사이버 능력이 가장 높고, 동시에 미국 최상위보다는 뚜렷이 낮습니다.

![2025년부터 2027년까지 미국(파랑)과 중국(빨강) 모델의 사이버 능력 지수를 출시 시점에 따라 찍은 산점도. 미국 최상위(Current U.S. Frontier)가 가장 높고, 중국 모델 중에서는 GLM-5.3이 가장 위에 있으며 그 아래로 Kimi K3, GLM-5.2가 이어집니다.](https://www.nist.gov/sites/default/files/styles/1400_x_1400_limit/public/images/2026/09/17/GLM-5.3%20Cyber%20Comparison_0.png.webp?itok=IaFxxf3z)

평가별 성공률을 보면 간격이 더 분명합니다. CAISI는 각 평가에서 미국 모델이 낸 최고 점수(미국 최상위), 3개월 전·6개월 전 미국 모델, 중국 모델 최고 점수를 함께 놓았습니다.

| CAISI 평가 | GLM-5.3 | 미국 최상위 | 미국 최상위(3개월 전) | 중국 최상위 |
| --- | --- | --- | --- | --- |
| SEC-Bench Pro(취약점 발견) | 40.4% | 90.2% | 60.7% | 27.3% |
| ExploitBench(공격 코드) | 61.1% | 100% | 66.3% | 32.2% |
| ExploitGym(오픈소스) | 9.4% | 44.4% | 9.6% | 2.6% |
| CAISI OSS-Fuzz | 7.7% | 23.2% | 6.7% | 2.4% |

네 평가가 재는 것은 결이 조금씩 다릅니다. SEC-Bench Pro는 브라우저 소프트웨어의 알려진 결함을 찾아내는지, ExploitBench는 그 결함을 공격으로 완성하는지, ExploitGym과 OSS-Fuzz는 널리 쓰이는 오픈소스를 대상으로 같은 일을 하는지 봅니다. GLM-5.3은 네 평가 모두에서 이전 중국 최상위를 넘었고, 3개월 전 미국 모델과 비슷하거나 조금 높은 성적을 냈습니다. 미국의 지금 최상위와는 대부분 두 배 넘게 벌어졌습니다. CAISI는 미국 모델을 잴 때는 사이버 안전장치를 끈 상태로 시험했고, 미국 최상위에는 검증된 사용자에게만 연 모델도 들어간다고 밝혔습니다. 공격자가 그 판을 쉽게 구할 수는 없지만, GLM-5.3은 누구나 내려받을 수 있다는 차이가 여기서 생깁니다.

![SEC-Bench Pro, ExploitBench, ExploitGym, CAISI OSS-Fuzz 네 평가에서 GLM-5.3, 미국 최상위, 3개월 전·6개월 전 미국 최상위, 중국 최상위의 성공률을 비교한 막대그래프 네 개.](https://www.nist.gov/sites/default/files/styles/1400_x_1400_limit/public/images/2026/09/17/GLM-5.3%20Cyber%20Performance.png.webp?itok=zZwJYwsT)

## 앤트로픽 측정: 자사 모델에 근접, 안전장치는 쉽게 풀림

앤트로픽은 GLM-5.3을 자사의 사이버 모델과 나란히 쟀습니다. 크롬 V8 엔진의 알려진 취약점을 공격으로 완성하는지 보는 ExploitBench에서, GLM-5.3은 410번 가운데 50번(약 12%) 공격을 끝까지 만들었습니다. 앤트로픽이 4월에 낸 Claude Mythos Preview는 같은 시험에서 410번 중 56번(약 14%)이었습니다. 널리 쓰이는 오픈소스를 대상으로 한 앤트로픽 내부 평가에서는 GLM-5.3이 100개 과제 중 4%를 끝까지 해냈고 Mythos Preview는 6%였는데, Opus 4.6과 GLM-5.2를 비롯한 이전 모델들은 모두 0%였습니다.

이 비교가 말하는 것은 능력이 어디까지 왔느냐입니다. GLM-5.3은 앤트로픽이 올해 가장 강한 사이버 모델로 꼽아 제한적으로만 연 Mythos Preview에 가까운 수준인데, 그 모델과 달리 누구나 받을 수 있게 풀렸습니다. 앤트로픽은 Mythos Preview를 검증된 방어 기관에만 여는 Project Glasswing으로 내보냈고, 그 프로그램에서 방어자들이 중요한 소프트웨어의 취약점 1만 건 넘게 찾았다고 밝혔습니다. 오픈AI도 방어자들이 함께 취약점을 찾는 Patch the Planet을 운영한다고 앤트로픽은 덧붙였습니다.

안전장치 쪽에서 앤트로픽이 강조한 숫자는 무력화 비율입니다. 시뮬레이션 시험에서 간단한 방법으로 GLM-5.3의 거부를 64~100% 넘겼고, 가중치가 공개돼 있어 거부 기능 자체를 걷어내는 쪽이 가장 잘 통했습니다. 같은 시험에서 안전장치가 걸린 클로드 모델은 한 번도 넘어가지 않았습니다. 앤트로픽은 공개된 가중치에서 거부 기능을 걷어내는 데 자기 팀의 첫 시도로 약 4,400달러가 들었고, 익숙한 팀이라면 1,200달러 수준이면 된다고 추산했습니다. 한 번 가중치가 풀리면 안전장치를 떼는 데 드는 값이 이 정도입니다.

속도를 보여 주는 숫자도 냈습니다. 이미 공개된 결함 하나를 놓고, 더 작은 GLM-5.3-Flash가 작동하는 공격으로 바꾸는 데 사람 개입 20분과 모델 작업 8시간이 들었고, Z.ai API 요금으로 치면 약 20.40달러였다고 앤트로픽은 적었습니다.

## 앤트로픽이 내린 결론과 방어 쪽 이야기

앤트로픽은 GLM-5.3이 악의적 행위자에게 별다른 제한 없이 취약점을 찾고 공격할 능력을 쥐여 줄 수 있다고 봤습니다. 비슷한 능력의 다른 모델은 모두 안전장치를 달거나 접근을 제한해 나왔다는 점에서 이번 공개를 다르게 봤고, 국가와 비국가 행위자 모두 GLM-5.3 같은 모델로 실제 피해를 낼 가능성이 높다고 적었습니다.

같은 능력이 방어에도 쓰인다는 점은 앤트로픽도 함께 적었습니다. 방어자는 쓸 수 있는 가장 좋은 도구를 써야 하고, 앤트로픽은 클로드의 사이버 능력을 더 많은 방어자에게 안전하게 열려 한다고 밝혔습니다. 검증된 방어자는 더 강한 Claude Mythos 5.1을 신뢰 접근 프로그램으로 이미 쓰고 있다고 덧붙였습니다. 정부에는 GLM-5.3과 그 후속 모델처럼 능력이 충분한 모델을 공개 전에 안전 시험하라고 권했습니다.

누가 쟀는지도 함께 봐 둘 대목입니다. 안전장치 무력화 비율과 자사 모델과의 비교는 앤트로픽이 자기 틀로 잰 값으로, 앤트로픽은 Z.ai와 경쟁하는 회사입니다. 다만 능력이 어디까지 왔는지는 미국 정부 기관 CAISI가 따로 쟀고, 앤트로픽은 자사 능력 평가 결과가 CAISI와 대체로 맞는다고 적었습니다. 능력 쪽은 독립 기관이 뒷받침하고, 안전장치 쪽은 앤트로픽 측정이라는 점을 갈라서 읽으면 됩니다.

## 왜 「단계 변화」라고 보나

앤트로픽이 이번 공개를 단계 변화로 본 까닭은 능력보다 창구에 있습니다. 지금까지 이 정도 사이버 능력을 가진 모델은 사용자에게 닿을 때 창구가 정해져 있었습니다. 안전장치를 붙인 폐쇄형 API이거나, 검증된 방어자에게만 여는 프로그램이었습니다. GLM-5.3은 그 능력에서 처음으로 창구 없이 누구나 받는 모델이 됐습니다. 받는 쪽을 가리던 장치가 이 능력 구간에서 사라졌다는 것이 앤트로픽이 짚은 변화입니다.

이 걱정은 가정만은 아닙니다. 앤트로픽은 9월 [8개월 동안 막은 클로드 악용 사례를 154쪽 보고서](/post/review-anthropic-threat-intelligence-report)로 냈고, 구글도 공격자가 AI를 쓰려 한 기록을 공개했습니다. 공격 쪽이 이미 모델을 쓰려 시도한다는 기록 위에서, 능력 있는 모델이 창구 없이 풀리는 일을 본 것입니다. 영·미 안전연구소가 7월 [Kimi K3를 공동 평가](/post/paper-aisi-caisi-kimi-k3-cyber-eval)했을 때만 해도 오픈모델은 공격 코드 시험에서 미국 최상위의 절반에 못 미쳤는데, 두 달여 만에 CAISI가 잰 간격은 4개월까지 좁혀졌습니다.

## Z.ai 쪽 셈은 다릅니다

Z.ai 쪽은 같은 모델을 방어 실적으로 설명합니다. Z.ai의 GLM 팀 쯔쉬안 리(Zixuan Li)는 한국 시각 9월 30일 오전, GLM-5.3이 오픈소스 프로젝트 389곳을 지키는 데 쓰였고 지금까지 취약점 후보 4,249건을 찾았다고 밝혔습니다. 이 결과를 내는 OpenVuln은 Z.ai가 8월에 연 무료 서비스로, 찾은 취약점은 공개하지 않고 관리자에게만 비공개로 전달한다고 적었습니다.

Z.ai는 출시 때부터 GLM-5.3을 사이버 방어 모델로 내세웠습니다. 쯔쉬안 리는 8월 14일 공개 글에서도 GLM-5.3이 취약점 발견과 복잡한 다단계 보안 작업에서 크게 나아져, 방어자가 약점을 더 일찍 찾도록 돕는다고 적었습니다.

Z.ai 스스로도 사이버 능력이 예상보다 빨리 자랐다고 적었습니다. 모델 카드에는 후속 학습을 키우자 사이버 능력이 기대보다 빠르게 발달했다는 문장이 들어 있고, 그래서 가중치를 발표 당일에 풀지 않고 안전 평가를 거쳐 2주 뒤에 내놓았습니다. 전작 GLM-5.2는 공개 3일 만에 가중치를 열었던 것과 달랐습니다. Z.ai는 공개 절차를 밟는 취약점을 따로 적는 공개 장부(cvd.z.ai)도 함께 열었습니다.

공개 방식도 Z.ai는 단계적이라고 설명합니다. Z.ai는 9월 24일 안전 자문사 콘코디아 AI와 함께 낸 「프런티어 오픈웨이트 AI 위험관리 프레임워크」에서, GLM-5.3을 단계적 공개의 본보기로 들었습니다. 검증된 보안 파트너가 통제된 환경에서 먼저 시험하고, 더 넓은 접근과 API는 그다음에 열었으며, 가중치는 안전 평가와 출시 준비를 마친 뒤에야 공개했다는 설명입니다. 앤트로픽이 「의미 있는 안전장치 없이 풀렸다」고 본 같은 모델을, Z.ai는 안전 평가를 거친 단계적 공개로 설명합니다. 같은 사실을 두고 결론이 갈리는 지점은 가중치가 풀린 뒤입니다. 앤트로픽은 공개 뒤에는 거부 기능이 쉽게 걷힌다고 보고, Z.ai는 공개 전 평가와 OpenVuln 같은 방어 쓰임으로 위험을 상쇄한다고 봅니다.

## 오픈웨이트라서 생기는 간격

이 사건은 오픈웨이트 모델의 사이버 능력을 재 온 흐름의 연장에 있습니다. 영국 AI보안연구소(AISI)는 7월 [오픈웨이트와 폐쇄형 모델의 사이버 격차를 4~7개월로 처음 공개 측정](/post/news-aisi-open-weight-cyber-gap)하면서, 가중치가 한 번 풀리면 폐쇄형 회사가 쓰는 안전장치 상당수는 쓸 수 없게 된다고 적었습니다. 오용을 감시하고, 문제 계정을 막고, 필요하면 모델을 거둬들이는 수단이 모두 사라지기 때문입니다. CAISI가 이번에 잰 4개월은 그 격차가 더 좁혀졌다는 기록입니다.

GLM-5.3 자체는 8월에 [몸집을 그대로 두고 후속 학습만으로 사이버 점수를 끌어올린 모델](/post/news-glm-53-posttraining-openweight)로 나왔습니다. 그때 글에서는 가중치를 2주 뒤 어떤 조건으로 풀지 알 수 없다고 적었는데, 지금은 확인됩니다. 가중치는 8월 말 허깅페이스에 올라왔고, 라이선스는 전작 GLM-5.2의 MIT와 달리 별도 조건이 붙은 「GLM-5.3」 라이선스입니다. 모델을 API로 되파는 사업자의 연 매출이 100억 달러를 넘으면 상업 이용 전에 Z.ai의 보안 심사를 받게 한 조항입니다. 같은 날 공개된 작은 GLM-5.3-Flash는 조건 없는 MIT로 풀렸습니다. 중국 오픈웨이트에 조건이 하나씩 붙는 흐름은 [알리바바가 Qwen에 사업 조건을 단 날](/post/news-china-two-releases-qwen-glm)에도 보였습니다.

## 한국에는 무엇이 달라지나

오픈웨이트 모델의 양날은 한국에서도 그대로입니다. 금융과 공공처럼 망을 분리한 조직은 외부 API로 코드와 로그를 내보내기 어려워, 내려받아 내부 서버에서 돌릴 수 있는 오픈웨이트가 남는 선택지입니다. 금융권은 5월에 보안 목적 AI에 한해 망분리 규제를 한시 완화받았고, 내부 서버에 올리는 오픈웨이트가 그 쓰임에 맞습니다. CAISI 측정대로라면 그렇게 돌릴 수 있는 모델 가운데 지금 사이버 능력이 가장 높은 것이 GLM-5.3이고, 방어팀에는 강한 도구가 됩니다. 같은 가중치는 공격자에게도 똑같이 열려 있고, 안전장치를 떼는 값이 수천 달러 수준이라는 점도 함께 열려 있습니다.

AISI는 폐쇄형 선두 모델을 쓸 수 있는 방어자가 같은 능력이 안전장치 없이 풀리기 전에 손을 쓸 기간을 「방어자의 준비 기간」으로 봤습니다. 이번 공개로 그 기간은 다시 짧아졌습니다. 앤트로픽은 다음 차례로 GLM-5.3의 후속 모델을 정부가 공개 전에 시험할 것을 권했고, 독립 기관의 추가 측정이 나오면 간격이 얼마나 더 좁혀졌는지 다시 전하겠습니다.

읽어 주셔서 고맙습니다.

초이 드림