บริษัท AI จีน Z.ai เปิดตัวโมเดลภาษาสำหรับเขียนโค้ดรุ่นใหม่ GLM-5.3 ที่นอกจากคะแนนด้านโค้ดและ agent จะกระโดดขึ้นชัด ยังพ่วงความสามารถที่บริษัทบอกเองว่าไม่ได้ตั้งใจสร้าง — การไล่หาช่องโหว่ความปลอดภัยในซอฟต์แวร์จริง
เกิดอะไรขึ้น
จุดที่น่าสนใจคือ GLM-5.3 ใช้ โมเดลฐานตัวเดิม ขนาด 743B พารามิเตอร์ แบบ Mixture-of-Experts จาก GLM-5.2 โดยไม่ได้เปลี่ยนแกนหลัก แต่ผลลัพธ์ดีขึ้นทั้งหมดมาจากการ post-training ด้วยชุดงานที่หลากหลายขึ้น
ผลข้างเคียงที่ไม่ได้วางแผน คือโมเดลพัฒนา "การให้เหตุผลแบบต่อ exploit เป็นสาย" ขึ้นมาเอง Z.ai รายงานว่าตั้งแต่รุ่น GLM-5.2 โมเดลของบริษัทช่วยเปิดโปงช่องโหว่จริงไปแล้ว 2,436 จุด ใน 269 โปรเจกต์โอเพนซอร์ส โดยในจำนวนนี้ 1,097 จุด ถูกจัดว่าร้ายแรงระดับ critical หรือ high ครอบคลุมตั้งแต่ระบบเคอร์เนล เอนจินเบราว์เซอร์ ไปจนถึงโปรโตคอลเครือข่าย อย่าง Linux, WebKit และ FreeBSD
บนเบนช์มาร์ก CyberGym ที่วัดความสามารถหาช่องโหว่จากซอร์สโค้ด GLM-5.3 ทำได้ 84.5% ขยับขึ้นจาก 77.2% ของ GLM-5.2
Z.ai ยังไม่ปล่อยไฟล์ weights ทันที โดยบอกว่าจะเปิดในราวสองสัปดาห์หลังทำการประเมินความปลอดภัยและ hardening เสร็จ — สะท้อนว่าโมเดลโอเพนที่เก่งขึ้นเรื่อย ๆ กำลังกลายเป็นดาบสองคม
แปลว่าอะไร
เครื่องมือหาบั๊กที่เคยต้องพึ่งผู้เชี่ยวชาญ กำลังถูกย่อลงมาอยู่ในโมเดลโอเพนที่ใครก็โหลดไปรันได้ นั่นเป็นข่าวดีสำหรับทีมป้องกัน ที่จะใช้ AI ช่วยไล่ตรวจโค้ดก่อนปล่อยจริง แต่ก็เป็นเครื่องเตือนว่าเครื่องมือเดียวกันอยู่ในมือฝั่งโจมตีได้เช่นกัน
โค้ดโอเพนซอร์สยอดนิยมที่หลายระบบพึ่งพา อาจมีช่องโหว่เก่าซ่อนอยู่มากกว่าที่คิด — การอัปเดตแพตช์ให้ทันจึงสำคัญขึ้นเรื่อย ๆ