GLM-5.3, el modelo insignia que Z.ai presentó el 14 de agosto, halló 2.436 vulnerabilidades confirmadas en 269 proyectos de código abierto, 1.097 de severidad crítica o alta, entre ellas una falla en un fragmento de código escrito hace 40 años. Solo 53 tienen ya un CVE público; las 2.383 restantes siguen bajo embargo.
Una ventaja de menos de un punto
En CyberGym, la prueba que mide identificación de vulnerabilidades de código, GLM-5.3 anotó 84,5%, apenas por delante de Claude Mythos 5 de Anthropic (83,8%) y de GPT-5.6 Sol (83,6%). Ningún tercero verificó todavía esa diferencia de menos de un punto.
El modelo halló una vulnerabilidad en código escrito hace 40 años.
El resultado cambia cuando la prueba pide algo distinto. En ExploitBench, que mide explotar la falla y no solo detectarla, GLM-5.3 se quedó en 54,4% contra el 78% de Fable 5: rinde más para revisión defensiva que para montar un ataque.
La resistencia que Z.ai entrenó
Para llegar a ese resultado, Z.ai puso al modelo a operar en simulaciones de una estación de trabajo de desarrollador, con ejercicios que toman días enteros en resolverse: el objetivo declarado es sostener una investigación de código sin perder el hilo en sesiones que un modelo de un solo turno no completa.
Los números que faltaban
El día del lanzamiento, Z.ai no había documentado la arquitectura ni el conteo de parámetros de GLM-5.3. Para el 15 de agosto esa cifra ya circulaba:
753.000 millones de parámetros, contexto de un millón de tokens.
Es la misma ventana de contexto que traía GLM-5.2. Con esa cifra confirmada un día después del lanzamiento, la licencia sigue sin resolverse: Z.ai repite que los pesos abiertos llegan a Hugging Face "dos semanas después del lanzamiento", tras un proceso de evaluación de seguridad y endurecimiento, pero no dijo bajo qué licencia.
Cómo se usa hoy
GLM-5.3 solo se consigue por la suscripción GLM Coding Plan, en tres niveles:
| Plan | Precio mensual |
|---|---|
| Lite | 18 dólares |
| Pro | 80 dólares |
| Max | 168 dólares |
La tabla de precios por token de la API de Z.ai todavía termina en GLM-5.2, a 1,40 dólares por millón de tokens de entrada y 4,40 de salida: no tiene fila propia para GLM-5.3.
Lo que sigue sin cerrar
Los números de ciberseguridad y de parámetros llegaron sobre el mismo lanzamiento del 14 de agosto, cuando Z.ai ya reportaba una mejora del 50 por ciento sobre GLM-5.2 en su benchmark interno de programación y dejaba sin responder el reclamo de los desarrolladores por una versión con visión. Ni la licencia ni esa capacidad de procesar imágenes se despejaron en las horas siguientes.
