El 14 de agosto de 2026, la empresa china de inteligencia artificial Zhipu AI (Z.ai) dio a conocer una cifra impactante: 2.436. Este es el número total de vulnerabilidades de seguridad confirmadas en 269 proyectos de software reales por los modelos de Zhipu AI en colaboración con varios equipos de ciberseguridad desde la generación GLM-5.2. De ellas, 1.097 fueron clasificadas de severidad alta o superior. El fallo más antiguo se remonta a código escrito en 1981, el año en que IBM presentó el primer ordenador personal. En otras palabras, la vulnerabilidad permaneció latente en el software durante casi 45 años, superando en edad a muchos de los lectores.
Que un fallo permanezca oculto durante 45 años parece una leyenda urbana, pero la razón es sumamente pragmática. El software moderno rara vez se escribe desde cero; se asemeja a un edificio histórico donde los cimientos de hace décadas se conservan y los desarrolladores posteriores solo remodelan fachadas o añaden tuberías, sin atreverse a tocar la estructura de carga. Los núcleos de sistemas operativos y los motores de búsqueda abarcan decenas de millones de líneas de código modificadas por cientos de programadores a lo largo del tiempo. En el código heredado rige una regla no escrita: “Si funciona, no lo toques”. Modificar una línea por error puede provocar fallos en cascada en sistemas globales que dependen de ella. Como resultado, los defectos no activados se transmiten de generación en generación. Según las métricas de Zhipu AI, la latencia media de estas vulnerabilidades es de 26,6 años. El famoso fallo Log4j a finales de 2021, que obligó a los departamentos de TI de todo el mundo a trabajar de noche, era también un problema latente en una librería básica, con la diferencia de que aquella vez los ciberdelincuentes actuaron primero.
La causa principal por la que estos fallos no se habían descubierto es la limitación de la inspección humana. El código abierto global suma decenas de miles de millones de líneas; ni el equipo más experimentado puede auditarlo todo línea por línea. Las auditorías con IA funcionan de forma radicalmente distinta: no se limitan a “leer” código, sino que lo prueban dinámicamente. Tras analizar el código fuente, el modelo construye entradas complejas para provocar anomalías, de forma similar a probar una cerradura no solo mirando el ojo de la llave, sino girando el pomo para comprobar si la puerta se abre. Zhipu AI incorporó la detección de fallos en su plan de entrenamiento, enseñando al modelo a analizar código, identificar anomalías y verificar si pueden ser explotadas. Las 2.436 vulnerabilidades afectan a núcleos de sistemas operativos, motores de navegación, infraestructura de código abierto y protocolos de red, la columna vertebral del internet que utilizamos a diario.
En este punto, el comportamiento del modelo comenzó a superar las expectativas iniciales de sus diseñadores. Según el blog oficial de Zhipu AI, el objetivo original del entrenamiento era únicamente lograr que el modelo fuera más eficaz “descubriendo y razonando sobre vulnerabilidades”. Sin embargo, al ampliar la escala de entrenamiento, el modelo no se limitó a localizar fallos aislados, sino que empezó a razonar a través de múltiples pasos para planificar cadenas de ataque (Attack Chains) completas. En términos sencillos, pasó de “detectar una puerta sin cerrojo” a “planificar cómo entrar, recorrer el pasillo y forzar la segunda puerta”. El equipo utilizó el término “emergencia” para describir este fenómeno: las capacidades ofensivas no se programaron explícitamente, sino que surgieron de forma espontánea durante el entrenamiento “más rápido de lo previsto”. El mayor crecimiento se produjo en la planificación de ataques, el área que anteriormente mostraba mayor retraso, lo que ha generado tanto entusiasmo como inquietud en la comunidad de ciberseguridad.
Figura: Incremento de puntuación de GLM-5.3 en comparación con GLM-5.2 en benchmarks de ciberseguridad ofensiva y defensiva. Fuente: z.ai
Más insólito resulta el origen de estas capacidades. GLM-5.3 y GLM-5.2 comparten exactamente el mismo modelo base (el mismo “cerebro”). Todo el avance proviene exclusivamente de escalar la fase posterior al entrenamiento (Post-training): más tareas del mundo real, mayor tiempo de entrenamiento y más capacidad de cómputo. La declaración oficial afirma: “Todo lo que hicimos para GLM-5.3 fue ampliar la escala del post-entrenamiento”. Los resultados son notables: en Terminal Bench 3.0, que mide la ejecución autónoma en línea de comandos, la puntuación subió de 4,6 a 28,3 (unas 6 veces más); en ExploitBench, benchmark de explotación de vulnerabilidades, aumentó del 24,4 % al 54,4 %; y el rendimiento en pruebas internas de programación mejoró un 50 %. En resumen, el foco de la competición en grandes modelos de lenguaje se desplaza de “crear un cerebro mejor” a “entrenar el mismo cerebro de forma mucho más intensa”.
Figura: Resultados comparativos de GLM-5.3 frente a modelos principales en programación, ciberseguridad y tareas generales. Fuente: z.ai
El escalado del post-entrenamiento trajo consigo un beneficio secundario: alcanzar el mismo rendimiento consumiendo menos “cómputo de pensamiento” (inferencia). En evaluaciones internas, GLM-5.3 consumió cerca de un 20 % menos de tokens de razonamiento que GLM-5.2 para lograr la misma tasa de éxito. En configuraciones de alto cómputo, obtuvo tasas de éxito superiores utilizando menos de la mitad del tiempo de pensamiento que los modelos competidores. Para los usuarios finales, esto se traduce en respuestas más rápidas y menores costes de API.
Figura: Benchmark interno de programación de Z.ai: GLM-5.3 requiere menos cómputo de razonamiento para alcanzar la misma precisión. Fuente: z.ai
Desde la perspectiva del sector, el dato más impactante es otro: de las 2.436 vulnerabilidades detectadas, solo 53 se han corregido y publicado oficialmente, mientras que las 2.383 restantes permanecen en procesos confidenciales de parcheo. La velocidad de la IA para descubrir fallos ha superado la capacidad humana para solucionarlos. Los equipos de seguridad afrontan acumulaciones de trabajo y el proceso de divulgación se ha convertido en el nuevo cuello de botella. No obstante, esto representa un avance real: durante décadas, estos fallos ni siquiera se detectaban; ahora al menos están en cola para ser corregidos. Si los procesos de corrección se adaptan al ritmo actual, las auditorías mediante IA supondrán una ventaja determinante para los defensores.
Zhipu AI no ha ocultado la doble naturaleza de esta tecnología: un modelo capaz de hallar vulnerabilidades posee de forma inherente la capacidad de explotarlas. Por este motivo, la empresa anunció que retrasará dos semanas la liberación de los pesos del modelo (Open Weights) para completar evaluaciones de seguridad y refuerzo. Este periodo de dos semanas ha abierto un intenso debate. Un sector sostiene que publicar en código abierto un modelo capaz de planificar ataques equivale a distribuir armamento a escala global. Por el contrario, otros defienden que los equipos de protección necesitan urgentemente herramientas de este tipo: el software de código abierto sufre una falta crónica de auditores e IA permite revisar el código existente de forma masiva; cuanto antes se tapen las brechas, más seguros estarán los usuarios. Asimismo, diversos analistas señalan que la apertura de pesos es de momento un anuncio, ya que el primer día solo se ofreció acceso a la API de pago. La evaluación previa antes de liberar el código supone un punto intermedio buscado por Zhipu AI.
Cabe señalar que esta capacidad ofensiva no es exclusiva de las empresas chinas. En benchmarks más exigentes sobre cadenas de ataque, modelos cerrados como Anthropic Fable 5 y GPT-5.6 Sol mantienen el liderazgo: en pruebas de seis horas de duración, completaron 247 y 293 tareas respectivamente, frente a las 130 de GLM-5.3. El avance de las capacidades ofensivas de la IA es una tendencia global en modelos de vanguardia, y Zhipu AI se sitúa como uno de los competidores más destacados en el ámbito del código abierto. La aceleración más acusada se produce allí donde la brecha inicial era mayor, una máxima aplicable tanto a la ofensiva como a la defensiva.
Enlaces de referencia:
- Blog oficial de Z.ai: Anuncio de GLM-5.3 “Frontier Coding with Emergent Cyber Capabilities”
- Debate en Hacker News (item?id=49294997)
- Axios: Zhipu retrasa el lanzamiento open source de GLM-5.3 por riesgos de ciberataques
- VentureBeat: Cobertura del lanzamiento de GLM-5.3 (incluye vulnerabilidades en Cursor)
- Registro de divulgación de seguridad de Z.ai (Security Disclosure Ledger)
