GLM-5.3：Z.AI のサイバーエンジン向け公式デスクトップ監査ツール

Z.AI は、GLM-5.3 の公式デスクトップクライアントを公開した。これは、強化学習によって調整されたサイバーセキュリティ監査機能をローカル環境で利用するためのツールである。報道資料によると、GLM-5.3 は 743B パラメータの MoE アーキテクチャを採用し、GLM-5.2 と基本パラメータを共有するが、コーディングとサイバーセキュリティの能力は 50% 以上向上しており、その差は後トレーニングによってもたらされた。Z.AI 独自の Slime 強化学習フレームワークは、誤検知に厳しいペナルティを与え、多段階の悪用に成功した場合に報酬を与える。その結果、モデルは 269 件のオープンソースプロジェクトで 2,436 件のゼロデイおよびレガシー脆弱性を自律的に確認したという。中には 40 年以上修正されていないメモリリークや競合状態も含まれている。

CyberGym ベンチマークでは、GLM-5.3 は 84.5% の世界記録を達成し、制限付きの Claude Mythos 5（83.8%）、GPT-5.6 Sol（83.6%）、Cursor Sonnet（61.2%）を上回った。脆弱性の発見数では、GLM-5.3 が 2,436 件、GPT-5.6 Sol が 1,402 件、Claude Mythos 5 は非公表、Cursor は手動のみ。コンテキストウィンドウは GLM-5.3 と Claude Mythos 5 が 100 万トークン、GPT-5.6 Sol が 256K、Cursor が 200K。利用コストは、GLM-5.3 がプロモーション期間中は完全無料で、Claude Mythos 5 は政府契約限定、GPT-5.6 Sol は 100 万トークンあたり 30 ドル、Cursor は月額 20 ドル。GLM-5.3 はローカルウェイトの公開も予定されており、他のモデルは対応していない。

デスクトップクライアントの中心的な特徴は、100 万トークンの入力ウィンドウと 128K トークンの出力容量だ。ユーザーがコードベースのフォルダを UI にドラッグすると、クライアントは Rust による並列処理で AST マップを構築し、.git や node_modules、バイナリリソースを自動的に無視して、ソースコード全体を構造化されたプロンプトに変換する。モデルはフロントエンド、バックエンド、データベーススキーマを同時に保持し、React フロントエンドから Node.js ミドルウェアを経由して PostgreSQL のストアドプロシージャで実行される汚染経路も追跡できる。発見された脆弱性ごとに、UI のワンクリックパッチボタンで git diff を生成し、隣接するビジネスロジックを壊さずに修正する。SonarQube のような regex や AST マッチングに頼る静的解析ツールとは異なり、GLM-5.3 はビジネスロジックの欠陥、暗号化のダウングレード、複雑な認証バイパスを理解し、再現可能な PoC スクリプトを出力する。

プライバシーとデータ主権も強調されている。送信されるソースコードは TLS 1.3 で暗号化され、RAM 上でのみ処理され、推論後すぐに破棄される。トレーニングに再利用されることもない。デスクトップアプリ自体はオープンソースで、アナリティクスや追跡ピクセル、バックグラウンド監視は含まれない。脆弱性レポート、パッチ、監査ログは AES-256 暗号化データベースとしてローカルに保存される。GLM-5.3 のオープンウェイトは安全性検証後、14 日以内に公開予定で、クライアントはローカルの GGUF/MLX ウェイトを検出し、完全オフラインで 100 万コンテキストの監査を実行できるようになる。

インストールは簡単で、Windows では RELEASES ページから x64 の 7z をダウンロードし、SmartScreen 検証を通過したコード署名済みアプリを実行する。macOS では DMG をダウンロードして Applications フォルダにドラッグするだけで、Apple Silicon（M1-M5）と Intel の両方に対応した Notarized Universal Binary だ。初回起動後、無料の無制限アクセスが自動的に有効になり、プロジェクトフォルダをドラッグ＆ドロップすれば監査を開始できる。FAQ では、無料期間終了後は Z.AI API キーによる従量課金か、オープンウェイトによる無期限のローカル実行を選択できると説明。中国の AI プロバイダーにコードをアップロードする安全性については、ゼロリテンション方針を挙げ、完全な隔離が必要な場合は 14 日後のローカルウェイトを待つよう推奨している。ロードマップには、v1.1 でのローカル推論統合、v1.2 での IDE バックグラウンドフック、v2.0 での自律型レッドチームスウォームモードが含まれる。リポジトリは MIT ライセンスで提供され、デスクトップラッパーは独立したオープンソースプロジェクトであり、AI が生成したエクスプロイトチェーンについての責任は利用者にあると明記されている。