GLM-5.2, een zogenaamd opengewichtsmodel van het Chinese Z.ai, komt volgens recent onderzoek dicht in de buurt van de beste commerciële AI-systemen qua cyber- en bio‑vaardigheden. Tegelijk laat het rapport van SaferAI zien dat de veiligheidspraktijken achterblijven. Dat vergroot het risico dat kwaadwillenden krachtige gereedschappen krijgen zonder effectieve controle.

Wat heeft het onderzoek gevonden?

SaferAI voerde tests uit via Z.ai’s openbare API (koppeling waarmee programma’s met elkaar praten). Deze tests richtten zich op offensieve cyberopdrachten en dubbelbruik-biologie — taken die zowel voor goede als voor schadelijke doelen gebruikt kunnen worden.

GLM-5.2 weigerde geen enkele schadelijke cyber- of biotask in de testset. Ter vergelijking: Claude Opus 4.7 weigerde zo vaak dat SaferAI sommige testen niet eens kon voltooien.

Een afzonderlijke benchmark, CyberGym, meet cybersecurity‑vaardigheden. OpenAI gebruikte CyberGym in eerdere evaluaties. Dat GLM-5.2 wel meedoet en er goed presteert, laat zien hoe snel open modellen beter worden.

Waarom is dit zorgelijk bij open modellen?

Opengewichtsmodel (een model waarvan de onderliggende gewichten openbaar zijn en die mensen zelf kunnen draaien en aanpassen) betekent dat iedereen de software kan downloaden en lokaal kan draaien. Zodra dat gebeurt, vervallen de beschermingen die een aanbieder op zijn eigen dienst kan afdwingen. Mensen kunnen:

• beveiligingen verwijderen of wijzigen,

• het model bijtrainen voor specifiek misbruik,

• systeemopdrachten of instructies aanpassen.

Daarmee kunnen krachtige capaciteiten zonder toezicht in handen komen van kwaadwillenden. Dat was al een zorg onder experts: het verschil tussen wat een model kán en hoe het veilig wordt gebruikt groeit.

Bovendien blijken ook gesloten modellen niet onfeilbaar. Er bestaan zogenaamde jailbreaks (manieren om de beveiliging van een model te omzeilen). Onderzoeken vonden honderden universele jailbreaks die in veel topmodellen werken. Aanvallers combineren slimme trucs — zoals het spelen van een rol, zich voordoen als autoriteit, of valse gesprekshistorie — om zwakke plekken te vinden.

Welke maatregelen bestaan er en wat werkt wel of niet?

Front‑bedrijven zoals OpenAI en Anthropic gebruiken diverse beschermingen op hun diensten. Dat zijn onder meer:

• classifiers en weigertraining: het model leert gevaarlijke verzoeken af te wijzen,

• API‑beperkingen (technische regels op de koppeling) om gevoelige antwoorden te blokkeren,

• voorpublicatie veiligheidstesten en risicobeoordelingen.

Deze maatregelen verminderen risico’s, maar ze zijn niet waterdicht. En ze werken niet wanneer iemand het model lokaal draait.

Sommige aanvullende technieken:

• Pre‑training data filtering: schadelijke informatie weghalen uit de trainingsdata. Onderzoek wijst uit dat dit kan helpen bij gevaarlijke biologische kennis zonder het algemene vermogen van het model te schaden. Voor cybersecurity is dit veel moeilijker. Coderen en hacken overlappen sterk, dus een model dat goed codeert, kan ook goed inbreken.

• Selectieve beperking van assistentie: sommige modellen mogen wel helpen met onopgemaakte broncode, maar niet met gecompileerde software. Dit maakt het lastiger om het model direct voor offensieve doelen te gebruiken.

• Zwaartepunt op pre‑deployment tests en het achterhouden van modelgewichten wanneer een model te gevaarlijk wordt.

In het geval van GLM-5.2 meldt SaferAI dat Z.ai geen openbaar veiligheidsraamwerk, testverplichtingen of risicobeoordeling publiceerde bij de release. Dat roept vragen op over welke interne controles er waren.

Politieke en praktische kanten

Chinese leiders spreken inmiddels openlijk over zowel de kansen als de risico’s van krachtige AI. Binnen China ligt de nadruk in regelgeving traditioneel op politieke stabiliteit en desinformatie. Catastrofale risico’s zoals offensieve cybercapaciteiten of biological misuse staan daar minder centraal, volgens analyses van buitenstaanders.

Voorstanders van open modellen zeggen dat openbaar maken helpt bij verdediging. Bedrijven kunnen zelf testen, kwetsbaarheden vinden en systemen verdedigen. Hugging Face gebruikte bijvoorbeeld GLM-5.2 bij een reactie op een eerdere beveiligingskwestie.

Tegelijk waarschuwen anderen dat dit voordeel vaak overschat wordt. Aanvallers nemen nieuwe tools doorgaans sneller over dan verdedigers. Een ransomware‑groep kan zijn methoden binnen een week aanpassen; ziekenhuizen en organisaties hebben die tijd niet altijd.

Conclusie

De technische kloof tussen open modellen en commerciële topmodellen krimpt. Dat is goed voor innovatie en voor sommige verdedigingstaken. Maar de veiligheidskloof groeit: veel open modellen missen afdwingbare beschermingen. Zonder duidelijke veiligheidsnormen en zorgvuldige afwegingen bij vrijgave van modelgewichten blijft het risico bestaan dat krachtige AI door kwaadwillenden wordt misbruikt.

Het debat verschuift daarom van de vraag of open modellen technisch kunnen concurreren, naar de vraag hoe de samenleving risico’s en verantwoordelijkheden regelt wanneer zulke modellen beschikbaar zijn.