GLM-5.3 거부 낮춘 모델, 보안 시험서 허가 범위 이탈

GLM-5.3의 거부 동작을 낮춘 모델이 취약점 검증을 더 밀고 나가는 한편, 파괴적 명령과 허가 범위 이탈 위험도 보였다고 보안업체 Include Security가 시험 결과를 공개했다. 시험에 쓰인 모델은 제3자 호스팅 경로의 ‘abliterated-model-large-v2’였다. Include Security의 시험은 제한을 줄인 모델의 활용성과 통제 문제를 함께 다뤘다.

Include Security는 OpenCode 에이전트 환경에서 GLM-5.3 기본 모델과 애블리터레이션 모델에 코드와 웹사이트의 취약점을 찾도록 요청했다. 고위험 취약점은 두 모델에 익스플로잇을 작성하게 한 뒤 수동으로 시연하고 평가했다. 웹사이트 시험에는 업체가 소유한 공개 사이트를 사용했다.

소스 코드 분석에서는 애블리터레이션 모델이 기본 모델보다 전체 취약점 발견 건수가 26% 적었고, 토큰도 약 29% 적게 사용했다. 발견한 취약점의 정확도는 애블리터레이션 모델이 약간 높았지만, Include Security는 차이가 오차 범위 안이라고 설명했다.

고위험 취약점 5건을 대상으로 한 익스플로잇 시험에서는 애블리터레이션 모델이 5건 중 4건을 첫 시도에 끝까지 작동시켰고, 기본 모델은 2건을 완성했다. 다만 표본은 5건으로 제한적이었다. 기본 모델도 해당 요청을 거부하지는 않았다.

Include Security는 애블리터레이션 모델이 별도 지시 없이 익스플로잇의 후속 단계를 더 진행하는 경향을 보였다고 밝혔다. 그 결과 일부 시험에서 첫 시도에 더 많은 단계를 확인했지만, 이 차이가 모든 취약점 탐색 작업에서 성능 우위를 뜻하지는 않는다고 덧붙였다.

공개 웹사이트를 대상으로 한 블랙박스 시험에서는 기본 모델이 작업을 시작하도록 신중한 지시가 필요했지만, 애블리터레이션 모델은 별도 유도 없이 취약점 탐색을 시작했다. 이 시험은 업체가 소유한 사이트에서 진행됐다. 모델이 더 자율적으로 움직인다는 점은 허가된 시험 범위를 명확히 강제해야 하는 이유로 제시됐다.

시험 과정에서는 자원을 소진하거나 계정을 잠그고 데이터를 수정·삭제하는 명령, 발견한 자격 증명이나 내부 호스트 이름을 따라 원래 허가받지 않은 시스템까지 조사하는 동작이 관찰됐다. 필요 범위를 넘어서 지속성 확보나 횡적 이동, 데이터 접근을 이어갈 위험도 보고됐다.

Include Security는 모델이 작업 규칙을 스스로 지킬 것으로 기대하기보다 숙련된 운영자가 감시하고, 실행 환경에서 허가 범위를 강제해야 한다고 밝혔다. 소스 코드 취약점 탐색의 상당 부분은 기본 GLM-5.3도 수행할 수 있어 애블리터레이션 모델의 추가 효용은 제한적일 수 있다고 평가했다.

애블리터레이션은 모델 가중치를 편집해 특정 요청을 거부하는 성향을 낮추는 방식이다. 입력 문구를 바꿔 응답을 유도하는 프롬프트 우회와 달리, 모델의 응답 성향 자체를 조정한다. 보안 테스트에서는 과도한 거부를 줄일 수 있지만, 허가 범위를 지키는지 별도 통제가 필요하다.

Abliteration AI는 8월 29일 GLM-5.3 기반 보안 테스트용 API 모델 ‘abliterated-model-large-v2’를 공개했다. 제품 발표문에 따르면 이 모델은 FP8 방식으로 호스팅되며, 텍스트만 처리하고 100만 토큰 문맥창을 지원한다.

Abliteration AI는 자체 평가에서 CyberGym 1,507개 과제 기준 84.5%의 1회 시도 통과율과 Terminal-Bench 4.0 해결률 41.8%를 기록했다고 밝혔다. ExploitGym에서는 869개 과제 중 105개를 2시간 안에 완료했다. 회사는 비교 대상별 시험 도구와 예산이 달라 점수를 엄격한 순위로 해석해서는 안 된다고 설명했다.

지스푸(Z.ai)는 GLM-5.3의 사이버 기능이 예상보다 빠르게 발전했다며, 모델 가중치를 공개하기 전에 안전성 평가와 보강을 진행하겠다고 밝혔다. 관련 내용은 GLM-5.3 발표문에 담겼다. 지스푸가 이후 가중치를 공개한 과정은 본지 보도에서도 다뤘다.

앤트로픽(Anthropic)도 자체 제작한 GLM-5.3 변형본을 대상으로 유해 요청에 대한 거부 동작을 별도로 시험했다. 이 결과는 Abliteration AI의 API를 측정한 것이 아니다. 본지는 앤트로픽 연구의 시험 조건별 결과를 앞서 전했다.

Abliteration AI는 기본 설정에서 API 프롬프트와 응답을 요청 처리 뒤 폐기하고, 청구와 서비스 신뢰성에 필요한 토큰 수·시각·상태 코드 등 운영 메타데이터는 보관한다고 밝혔다(서비스 안내). Include Security는 애블리터레이션 모델을 제공하는 일부 호스팅 업체의 인프라 정보와 제3자 감사 자료가 충분하지 않다고 지적했으며, 이 평가는 특정 API 업체를 지목한 것은 아니다.