GLM-5.3 Temukan 2.436 Kerentanan Software: Model Coding yang Kebal Sentuhan
Z.ai resmi merilis GLM-5.3 pada 14 Agustus 2026, model coding open-weight yang menggunakan basis model yang sama persis dengan GLM-5.2 — tapi semua lonjakan kemampuan datang dari post-training yang masif. Pendekatan ini kontroversial: tidak ada arsitektur baru, tidak ada parameter baru. Hanya pelatihan ulang yang ekstensif.
Hasilnya?GLM-5.3 melonjak drastis di hampir semua benchmark publik.
Basis Model Sama, Lonjakan 50% di Coding
Z.ai menyebut satu angka kunci: 50% peningkatan di Z.ai Code Bench internal dibandingkan GLM-5.2. Tapi angka yang lebih menarik datang dari benchmark publik.
Di Terminal Bench 3.0, GLM-5.3 mencatat 28,3 — naik dari 4,6 milik GLM-5.2. Itu lompatan 6x lipat dalam satu generasi, melewati Kimi K3 (17,4), Opus 4.8 (21,1), dan mendekati Fable 5 (33,7) dan GPT-5.6 Sol (34,6).
Di DeepSWE v1.1 — benchmark software engineering — GLM-5.3 mencapai 66,9, melampaui Opus 4.8 (58,0) dan Qwen3.8-Max (56,6), meskipun masih di bawah Fable 5 (69,7) dan GPT-5.6 Sol (72,7).
Kemampuan Siber Emergen: 2.436 Kerentanan Ditemukan
Bagian paling menonjol dari GLM-5.3 bukan soal coding — melainkan kemampuan siber yang muncul tanpa desain khusus.
GLM-5.3 mencapai skor 84,5 di CyberGym untuk discovery kerentanan, mengungguli Opus 4.8 (78,1) dan Mythos 5 (83,8). Di ExploitGym 2h/6h, angkanya melonjak jadi 105 dan 130 — dibandingkan 29 dan 39 milik GLM-5.2. Itu peningkatan 3-4x lipat di eksploitasi kerentanan.
Z.ai mengklaim timnya menguji GLM-5.3 di target nyata dan menemukan 2.436 kerentanan, termasuk 1.097 bug severity menengah dan tinggi. Model bahkan menemukan kerentanan serius di Cursor segera setelah peluncuran — klaim yang bikin banyak keamanan siber komunitas duduk memperhatikan.
Para pengembang di forum Cursor langsung mendiskusikan implikasinya. Seorang moderator menulis bahwa model ini “menemukan bug yang bahkan manusia sulit detect dengan automated scanning.”
Post-Training Scaling: Pendekatan yang Diperdebatkan
GLM-5.3 menggunakan basis model yang sama dengan GLM-5.2 — tidak ada perubahan arsitektur, tidak ada parameter tambahan. Semua peningkatan murni dari ekspansi lingkungan pelatihan RL yang masif.
Z.ai menjelaskan mereka membangun infrastruktur lingkungan long-horizon task yang terus berkembang: research agent mengumpulkan pola kerja nyata, mengubahnya jadi task berbasis environment, lalu judge agent memverifikasi apakah task itu solvable sebelum dijadikan data pelatihan.
Pendekatan ini mendapat kritik. Beberapa peneliti di forum AI berpendapat bahwa benchmark lonjakan besar tidak selalu mencerminkan kemampuan nyata di luar laboratorium. “Terminal Bench 3.0 naik 6x, tapi apakah itu transfer ke codebase acak? kita belum tahu,” tulis seorang researcher di forum benchmarking.
Z.ai akan merilis bobot model ke publik pada 28 Agustus 2026 — dua minggu setelah peluncuran — setelah masa safety evaluation dan hardening. Hingga saat ini, GLM-5.3 hanya bisa diakses lewat GLM Coding Plan dengan integrasi ke Claude Code, Cline, OpenCode, dan Codex.
Perbandingan Singkat di Benchmark Utama
| Benchmark | GLM-5.3 | GLM-5.2 | Kimi K3 | Opus 4.8 | Fable 5 |
|---|---|---|---|---|---|
| Terminal Bench 3.0 | 28,3 | 4,6 | 17,4 | 21,1 | 33,7 |
| DeepSWE v1.1 | 66,9 | 46,2 | 67,5 | 58,0 | 69,7 |
| CyberGym | 84,5 | 77,2 | 80,0 | 78,1 | 83,8 |
| ExploitBench | 54,4 | 24,4 | 32,2 | 40,0 | 78,0 |
GLM-5.3 memimpin di Terminal Bench 3.0 dan CyberGym, dan sangat kompetitif di DeepSWE. Kelemahannya ada di ExploitBench (54,4) — masih di bawah Fable 5 (78,0) dan Opus 4.8 (40,0 untuk perbandingan, tapi Fable 5 jauh lebih tinggi).
Apa Artinya untuk Developer
GLM-5.3 adalah pilihan menarik untuk tim yang butuh agent coding dengan kemampuan keamanan tambahan. Temuan kerentanan secara otomatis bukan pengganti audit manual, tapi bisa jadi first-pass yang efisien.
Dengan harga peak $1,25 per juta token input dan diskon 50% di jam off-peak, GLM-5.3 positioned sebagai alternatif open-weight yang lebih terjangkau dari model frontier closed-source untuk use case coding-intensive.
Bobot yang dirilis 28 Agustus 2026 nanti akan menjawab pertanyaan kunci: apakah lonjakan benchmark ini benar-benar transfer ke codebase produksi, atau cuma fenomenon di lingkungan testing yang dikurasi Z.ai.
