Abliteration.ai verkoopt GLM-5.3 met de guardrails eruit als dienst

Abliteration.ai host een versie van Z.ai's GLM-5.3 waaruit de weigeringen zijn verwijderd en verkoopt die per token, meldt TechCrunch, dat het model zonder identiteitscontrole schadelijke code liet schrijven.

Daarmee verschuift de drempel voor wie exploitcode of een geloofwaardige phishingcampagne tegen een Nederlands bedrijf wil bouwen, van eigen hardware en modelkennis naar een browsertabblad. De inkoopkant raakt het net zo hard. Huur je een red team in om je eigen systemen te laten testen, dan kan die partij vanaf nu draaien op een model dat niets weigert en per ontwerp niets bewaart. In welk standaardcontract staat welk model je leverancier gebruikt?

Wat TechCrunch uit het model kreeg

TechCrunch maakte een gratis account aan en vroeg de geabliteerde GLM-5.3 om een Python-programma dat opgeslagen Chrome-wachtwoorden steelt, en om een protocol om thuis een gevaarlijke ziekteverwekker te kweken. Het model gaf in beide gevallen gewoon antwoord. Een paar remmen staan nog aan: instructies voor zelfdoding kwamen er niet uit.

Een identiteitscontrole is er niet. Het bedrijf legt alleen vast met welke creditcard een klant betaalt. Medeoprichter Devon, die zijn achternaam buiten het stuk houdt omdat hij nog bij een ander bedrijf werkt, zegt dat de vraag waar de verantwoordelijkheid van een aanbieder ophoudt nog open staat. Abliteration.ai zit in Palo Alto en haalt de weigeringsrichtingen met orthogonalisatie uit de gewichten, een techniek die in de opensourcewereld al jaren rondgaat.

Vier dagen na de gewichten

Z.ai bracht GLM-5.3 op 14 augustus uit via de API en hield de gewichten twee weken achter omdat de exploitvaardigheid tijdens de post-training harder groeide dan gepland. De repository met die gewichten is op 25 augustus op Hugging Face aangemaakt. Vier dagen later stond de geabliteerde versie in de verkoop.

Abliteration.ai is daarin niet de enige partij. Op Hugging Face staan inmiddels ook losse uncensored varianten van GLM-5.3 van aanbieders als orcarouter en dealignai, allemaal van eind augustus. Die moet je zelf downloaden en op eigen GPU's zetten. Precies dat werk neemt een gehoste dienst weg.

In zijn eigen aankondiging van 29 augustus zet het bedrijf dezelfde cyberscores neer die Z.ai voor het onbewerkte model publiceerde: 84,5 procent pass@1 op CyberGym en 105 van de 869 ExploitGym-taken binnen twee uur, naast 41,8 procent op Terminal-Bench 4.0. Dat is de verkoopclaim in één zin: alle exploitvaardigheid van het origineel, geen van de weigeringen.

Wat het kost en wie het koopt

De GLM-5.3-versie staat op 5 dollar per miljoen in- en uitvoertokens, met abonnementen vanaf 20 dollar per maand, en een proefje vraagt geen creditcard. Het platform belooft dat prompts en antwoorden niet worden opgeslagen, en biedt een beleidslaag waarmee een klant zelf regels kan instellen. Prettig voor de vertrouwelijkheid van de opdrachtgever, lastig als je achteraf moet aantonen wat er tijdens een test precies gevraagd is.

Devon zegt dat de klanten onder meer jonge red-teamingbedrijven in het Verenigd Koninkrijk en Europa zijn, die banken, luchtvaartmaatschappijen en andere kritieke infrastructuur testen. Dat is dezelfde keten waarin een Nederlandse financiële instelling zit: DNB laat instellingen die aan de DORA-criteria voldoen hun weerbaarheid testen door een gespecialiseerde externe partij van ethische hackers. Welk model die partij daarbij aanroept en waar de prompts met jouw broncode landen, staat in geen enkel testrapport vanzelf.

Het argument, en het tegenargument

Devon vat de verdediging samen als een snelheidsvoordeel: een model zonder remmen kan een aanvaller nabootsen, en dan kan de verdediger even snel bewegen. Dat argument komt niet uit het niets. Securityonderzoekers liepen in juli al vast toen modellen van OpenAI en Anthropic code-analyse als gevaarlijke actie weigerden, waarna ze uitweken naar open modellen die ze lokaal draaiden.

Andrew Yoon, hoofd onderzoek bij AI-veiligheidsstichting CivAI, zegt dat abliteratie een model in een sociopaat verandert en verwacht dat bewerkte modellen op korte termijn voor echte schade worden ingezet. Ahmed Aly, ceo van red-teamingbedrijf Fabraix, zet er een nuchtere kanttekening bij: abliteratie haalt ook kennis en vaardigheid weg, dus wie er echte cyber- of bioschade mee wil aanrichten komt volgens hem minder ver dan de belofte suggereert. Zijn bedrijf finetunet liever open modellen.

David Slater van beveiligingsplatform Armadin wijst op het saaiere punt eronder: tot de allerlaatste generatie was het jailbreaken van open modellen helemaal niet moeilijk. Dat rijmt met wat er van de voorganger gemeten werd, die in de test van SaferAI geen enkele offensieve cyber- of biotaak weigerde.

Van laboratorium naar prijslijst

De techniek is oud en Hugging Face host er duizenden voorbeelden van. Wat verandert, is de verpakking: een prijslijst, cloudcontracten, een API die compatibel is met die van OpenAI en Anthropic, en een speeltuin waar je binnen een minuut in zit. Daarmee is het weghalen van veiligheidsremmen geen hobbyproject meer maar een leverancier met een factuuradres, en verhuist de afweging van het lab naar de inkoopketen van iedereen die security uitbesteedt. Z.ai kocht met twee weken uitstel vier dagen.