何が起きたのか

Z.ai(智譜AI)が2026-08-14に GLM-5.3 を公開しました。特徴は2点あります。1つ目は、ベースモデルを前世代 GLM-5.2 と同じまま据え置き、性能向上をポストトレーニング由来と説明していること（MarkTechPost 2026-08-14）。そのベースの公式表記は744B-A40B、総パラメータ744Bのうちアクティブ40BのMoEです（Z.ai 公式リポジトリ）。2つ目は、オープンウェイトを掲げてきた同社が、今回はウェイト公開をローンチの約2週間後に置いたことです。公式ブログの記述は「We will release the weights in two weeks after launch, once safety evaluation and hardening are complete.」で、安全性評価とハードニングの完了を条件としています（Z.ai 公式ブログ）。

同じ発表の中で Z.ai は「As we scaled post-training, cyber capability developed faster than we expected.（ポストトレーニングをスケールさせる中で、サイバー能力が予想より速く伸びた）」とも書いています。ただし公式ブログはこの2つを別の箇所に並置しているだけで、サイバー能力の伸びがウェイト公開の時期を決めた、という因果までは明示していません。両者を因果として報じているのは Axios など媒体側です。

なお公式ブログ https://z.ai/blog/glm-5.3 は、通常のページ取得では本文が得られません。初期HTMLは598バイトの空シェルで、本文・比較表・脚注はページが読み込む JavaScript バンドル（/blog/assets/glm-5.3-*.js）に収録されています。本記事はこのバンドルを直接取得し、スコア表と評価条件の脚注を確認したうえで書いています。以下の数値は、特記のない限り公式ブログの比較表と脚注によるものです。

数字の分解:コーディングとエージェント

公式ブログの比較表から、GLM-5.2 との対比と、同表に並ぶクローズド勢の値を抜き出すと次のとおりです。表の列は GLM-5.3 / GLM-5.2 / Kimi K3 / DeepSeek-V4 Pro-0813 / Qwen3.8-Max / Opus 4.8 / Fable 5 (w/ fallback) / GPT-5.6 Sol の8モデルです。

ベンチマークGLM-5.2GLM-5.3Fable 5 (w/ fallback)GPT-5.6 Sol
DeepSWE v1.146.266.969.772.7
Terminal-Bench 3.04.628.333.734.6
Agents’ Last Exam (CLI)23.828.523.828.6
CyberGym77.2%84.5%83.8%83.6%
ExploitBench24.4%54.4%78.0%76.5%
ExploitGym (2h / 6h)29 / 39105 / 130181 / 247216 / 293

DeepSWE の +20.7ポイントは、絶対値の差だけ見ると大きく映ります。ただし残余誤差の削減率で見ると印象が変わります。上限100からの残り幅に対する削減率は

$$r = \frac{66.9 - 46.2}{100 - 46.2} \approx 0.385$$

で、残っていた失敗のうち約38.5%を潰した、という換算になります。ただしこれはスコア差の機械的な変換であって、モデル単体の改善率としては読めません。公式の脚注によると DeepSWE の評価条件は mini-swe-agent ハーネス、temperature=0.95、top_p=1.0、timeout=6h、400Kコンテキストですが、比較対象の GLM-5.2 の46.2が同じ条件で測り直された値なのかは公式ブログには書かれていません。Terminal-Bench 3.0 の 4.6→28.3 は倍率でこそ6倍超ですが、絶対水準としては依然28.3であり、ここは「ほぼ解けなかったものが部分的に解けるようになった」段階と読むのが妥当です（同ベンチマークは各タスク3ロールアウトの avg@3、10時間タイムアウトでの評価と脚注にあります）。

Z.ai はポストトレーニングの中身を、アーキテクチャ変更ではなく環境スケーリングだと説明しています。実務のタスクパターンを研究エージェントが実行可能な長期ホライズン環境へ変換し、判定エージェントが解けることを確認してから強化学習の対象に入れる、という構成です（Unite.AI 2026-08-14）。ただし公式ブログを読むと、伸びの要因は環境の量だけではありません。GLM-5.2 で導入した強化学習の手法（compaction を伴う SAO）を引き継いだことが長期ホライズンでの効果を支えたと書かれており、学習基盤も自社のオープンソース製ポストトレーニングフレームワーク slime（訓練側 Megatron、ロールアウト側 SGLang）に載っています。「環境を増やしただけ」ではなく、環境を足しても訓練スタックを組み直さずに済む設計になっている、というのが同社の説明です。

同種の設計判断は直近にも例があります。DeepSeek-V4-Flash-0731 はモデル構造とサイズを据え置き、ポストトレーニングだけをやり直して DeepSWE を 7.3→54.4 へ伸ばしました。ベースを触らずポストトレーニング側で伸ばすというアプローチが、少なくとも中国系ベンダー2社で連続して採られたことになります。

他社比較では「1位」と言い切れない部分がある

Z.ai の自己位置づけは「オープンウェイト系で最も高性能なコーディングモデル」であり、公式ブログでも「open-source SOTA on public benchmarks including Terminal Bench 3.0 and Agents’ Last Exam」と、オープンソース限定の条件付きで書かれています。クローズド勢を含めた同社自身の比較表を見ると、コーディング系では順位が変わります。DeepSWE v1.1 では GLM-5.3 の66.9に対し Kimi K3 67.5、Fable 5 69.7、GPT-5.6 Sol 72.7 と3モデルが上回ります。Terminal-Bench 3.0 でも Fable 5 33.7、GPT-5.6 Sol 34.6 に対し GLM-5.3 は28.3です。

サイバー系は3つのベンチマークで様相が異なり、ここが今回いちばん誤解されやすい部分です。ソースコードを与えて脆弱性を特定・検証させる CyberGym では、GLM-5.3 が84.5%で Mythos 5 の83.8%、GPT-5.6 Sol の83.6%を上回り、公式ブログも「the best result on the benchmark」と書いています。ところがエクスプロイトの実行まで求める ExploitBench では GLM-5.3 の54.4%に対し Mythos 5 が78.0%、GPT-5.6 Sol が76.5%。時間予算内に解けたタスク数を測る ExploitGym では、GLM-5.3 の105/130（2時間/6時間）に対し Mythos 5 が181/247、GPT-5.6 Sol が216/293で、倍近い差が付いています。

この構図は Z.ai 自身が明記しています。公式ブログは3つのベンチマークについて「エクスプロイトチェーンの上流に位置するベンチマークほど GLM-5.2 からの伸びが大きく、同時にクローズドのフロンティアとの残り差も大きい」とまとめ、「Capability is growing fastest exactly where we are furthest behind.（能力が最も速く伸びているのは、まさに我々が最も遅れている領域だ）」と書いています。CyberGym の首位だけを取り出すと、この自己評価とは逆の印象になります。

なお比較対象を Z.ai の表の外まで広げると、CyberGym の順位も変わります。集計サイト aireleasetracker は同じ84.5%を「#2 of 7」として扱い、GPT-5.5-Cyber の85.6%を上位に置いています（aireleasetracker、2026-08-15時点）。ただし GPT-5.5-Cyber の数字は別組織による公表値で、評価条件が Z.ai のものと揃っているかは確認できません。厳密な順位比較として扱うには注意が要ります。

同サイトはこのほか、Humanity’s Last Exam（ツールあり）62.5%、GDPval-AA v2 が1769、AutomationBench 48.2% を掲載しています。Terminal-Bench 3.0 の28.3%には「#1 Best published Terminal 3.0 score of all tracked models」というラベルが付いていますが、Z.ai 自身の表には33.7と34.6が並んでいます。Z.ai の主張がオープンソース限定である以上、集計サイト側の「全追跡モデル中1位」という表示のほうが実態と合っていません。

サイバー能力の伸びと、ウェイト公開の時期

今回の news value の中心はここです。公式ブログは「As we scaled post-training, cyber capability developed faster than we expected.」と書き、CyberGym での state of the art と、エクスプロイトチェーンの上流ほど伸びが大きいことを続けています。より具体的な説明として、モデルが複数段階の攻撃を横断して推論し、完全なエクスプロイトチェーンについて一貫した計画を組み立て始めた、という記述が媒体に引用されています（Unite.AI 2026-08-14）。

時間予算を変えたときの挙動も公表されています。ExploitGym では GLM-5.2 が2時間で29タスク・6時間で39タスクだったのに対し、GLM-5.3 は2時間で105タスク・6時間で130タスクを完了しています。GLM-5.3 は2時間の時点で、GLM-5.2 が6時間かけて到達した39タスクを既に大きく超えています。

この「2時間・6時間」の意味は、公式ブログの脚注に書かれています。ExploitGym は869タスクを対象とし、結果は単一実行の Pass@1。2時間・6時間はタスクにかけられるタイムアウト予算で、しかもモデル間で公平になるよう、API推論時間を各モデルのトークン毎秒レート（Artificial Analysis の値を使用。GLM-5.3 は115 TPS、Kimi K3 は40 TPS、Qwen3.8 Max は47 TPS）で再スケールし、API以外のオーバーヘッドを足して算出されています。つまりこれは壁時計時間そのものではなく、スループット差を補正した正規化予算です。完了タスク数を時間で割って「1時間あたり何件」という処理速度に換算することはできません。評価は Claude Code 2.1.207 上、temperature=1.0、top_p=1.0、max_new_tokens=128000 で実施されています。

防御側の実績としてZ.ai は、GLM-5.2 以降、中国の複数のセキュリティチームと組んで実コードベースにモデルを走らせたと説明しています。専門家によるレビュー・スクリーニング・重複排除を経て、269プロジェクトに2,436件の脆弱性を特定し、うち1,097件を公式ブログは「medium-to-high severity」と記述しています。対象はシステムカーネル、OS、ブラウザエンジン、オープンソース基盤、Webアプリ、ネットワークプロトコルに及び、最も古いものは約40年前まで遡るとされています。

ただしこの1,097件という数字の位置づけは、Z.ai 自身の資料の中で揃っていません。公式の開示台帳を見ると、深刻度の内訳は Critical 107件・High 990件・Medium 1,286件・Low 53件で、1,097は Critical と High の合計（台帳の表記では「严重及高危」）に一致します（Z.ai Security Disclosure Ledger、2026-08-15時点）。ブログの「medium-to-high」という語と台帳の区分は対応していません。同じ1,097件を、ブログは「中〜高」、台帳は「Critical と High」と呼んでいることになります。

公開状況は、台帳では公開済み（已公开）が53件、未公開（未公开）が2,383件です。個別エントリには CVE 番号（CVE-2026-64452、CVE-2026-43663 など）が付いたものがありますが、台帳は CVE 割当件数を集計値として出していません。53件は「公開済み」の件数であって、CVE が割り当てられた件数ではない点は注意が要ります。同じ能力は攻撃側にも向けられる、という指摘は複数媒体が併記しています。

提供形態は当初 GLM Coding Plan と ZCode エージェント経由で、ポイント制のクォータ運用です（Decrypt 2026-08-14）。公式モデルページの記載は「GLM-5.3 API is coming soon」で、一般APIはまだ提供されていません（Z.ai 公式モデル説明）。ここで注意が要るのは、安全性評価とハードニングに明示的に結び付けられているのはウェイト公開だけで、一般APIが後になる理由を公式は説明していない点です。両者を「どちらも安全性評価待ち」と一括りにはできません。Coding Plan の価格は、公式ドキュメントが「月額18ドルから」と案内しています（Z.ai 公式ドキュメント）。上位の Pro / Max の月額は価格まとめサイト間で数字が食い違っており、公式に個別記載も無いため本記事では採用しません。トークン単価は本記事執筆時点では公表を確認できていません。

日本のエンジニアにとって何が変わるか

実務上の影響は、性能そのものよりも検証可能性の側にあります。

第一に、いま第三者ができる検証はブラックボックス評価までです。集計サイトの分類上も、GLM-5.3 は現時点でウェイト非公開・プロバイダのAPI/アプリ経由のみという扱いです（aireleasetracker）。GLM Coding Plan 経由で自社タスクを流して品質を測ることはできますが、ローカルで回してベンチマークを再現する、重みを内部から調べる、といった手段は約2週間取れないことになります。オープンウェイト前提で調達計画を組んでいる場合、公開日は「予定」であって確約ではない点は織り込んでおく必要があります。

第二に、「中国勢は即オープン」という経験則が今回は成立していません。ウェイト公開を安全性評価とハードニングの後ろに置き、同じ発表でサイバー能力の伸びに言及した例として、この判断は前例が少ないものです。同じ論点は米国側でも観測されており、OpenAI は Astra について、Critical と判定したのではなく Critical 相当を排除できない、という枠組みで扱いを決めていました（Axios 2026-08-07）。能力評価が公開判断そのものを縛る、という運用が地域をまたいで揃いつつあります。

第三に、ベース据え置き＋ポストトレーニングという路線が続くなら、モデル更新のたびにパラメータ規模やアーキテクチャを追う意味は相対的に薄くなります。同じ744B-A40Bで何が変わったのかは、環境設計と強化学習の中身を読まないと分かりません。そしてその部分は、ウェイトが出たとしても再現が難しい領域です。

残された不確実性

  • ベースモデルのパラメータ数は表記が割れています。Z.ai 公式リポジトリは744B-A40Bですが（Z.ai 公式リポジトリ）、MarkTechPost・Decrypt・The Agent Report・OfficeChai・aireleasetracker は743B、SiliconANGLE は753Bと報じています。本記事は公式表記を採ります。743Bという数え方が第三者実装などで使われている可能性、753Bが配布ファイル単位の自動集計値である可能性はいずれも考えられますが、差の理由を公式は説明していません。
  • CyberGym の順位は比較対象の取り方で変わります。Z.ai の表（1,507タスク、タスクあたりタイムアウト無制限、単一実行 Pass@1）では84.5%が首位ですが、aireleasetracker の集計では GPT-5.5-Cyber の85.6%が上位です。後者は別組織による公表値で、評価条件が揃っているかは確認できていません。
  • 公式ブログの比較表で7列目は「Fable 5 (w/ fallback)」と表記されていますが、CyberGym と ExploitGym を説明する本文は同じ列の値を「Mythos 5」と呼んでいます。公式資料の内部で表記が一致しておらず、どちらが正しいかは判断できません。本記事は本文側の表記に合わせています。
  • DeepSWE の46.2→66.9について、GLM-5.3 側の評価条件（timeout=6h、temperature=0.95、mini-swe-agent）は脚注にありますが、GLM-5.2 の46.2が同条件で測り直されたものかは公式ブログに記載がありません。
  • 「約2週間後」のウェイト公開は現時点で予定であり、実施・時期・ライセンス条件のいずれも未確定です。ハードニングの内容が能力にどう影響するか(公開版が今回のスコアを再現するか)も公表されていません。
  • サイバー能力の伸びとウェイト公開の時期を、Z.ai は同じ発表の別の箇所に書いています。前者が後者を決めたという因果は公式には明示されておらず、因果として報じているのは媒体側です。
  • 2,436件の脆弱性のうち2,383件は未公開で、外部から内容を検証できません。CVE が割り当てられた総件数も台帳からは読み取れません。1,097件の深刻度区分についても、公式ブログの「medium-to-high」と台帳の「Critical と High の合計」が一致していません。
  • 本稿で挙げたベンチマークの大半はZ.aiの自己報告値であり、2026-08-15時点で独立した第三者による再現結果は確認できていません。DeepSWE 公式リーダーボードにも Artificial Analysis にも、同時点で GLM-5.3 の掲載はありません。

まとめ

GLM-5.3 は、ベース744B-A40Bを据え置いたままポストトレーニングの拡張だけで DeepSWE を 46.2→66.9、CyberGym を 77.2%→84.5% へ動かした、と報告されています。ただしクローズド勢を含めた同社自身の表では、DeepSWE で Kimi K3・Fable 5・GPT-5.6 Sol の3モデルに及ばず、ExploitBench では54.4%対78.0%、ExploitGym では105/130対181/247と差が開きます。首位を主張できているのは CyberGym だけで、そこも比較対象を広げると入れ替わります。

見出しになりやすいのは CyberGym の84.5%ですが、Z.ai 自身の総括は「Capability is growing fastest exactly where we are furthest behind.」です。伸び率が最大の領域は、同時に最も差が付いている領域でもある、と自社で書いている。ベンダー発表を読むときに拾うべきなのは、こちらの一文のほうです。

そしてもう一つ記録に値するのは、オープンウェイトを掲げてきたベンダーが、ウェイト公開を安全性評価とハードニングの後ろに置いた点です。結果として、このモデルの主張をウェイトレベルで検証できる時期は約2週間先になりました。性能の数字より先に、検証可能性のスケジュールが動いた、というのが 2026-08-14 の出来事です。

主要出典

  • Z.ai 公式ブログ GLM-5.3（2026-08-14）— 一次情報。本文・比較表・評価条件の脚注はJSバンドル /blog/assets/glm-5.3-*.js に収録されており、本記事はこれを直接取得して確認
  • Z.ai 公式リポジトリ GLM-5— ベースモデルの公式表記744B-A40B
  • Z.ai Security Disclosure Ledger— 脆弱性2,436件の深刻度内訳と公開状況（一次情報）
  • Z.ai 公式モデル説明 GLM-5.3— 提供状況（API is coming soon）
  • MarkTechPost（2026-08-14）— ベース据え置きと、全ての向上がポストトレーニング由来であることを詳述
  • Unite.AI（2026-08-14）— 環境スケーリングの手法説明、エクスプロイトチェーンに関するZ.ai発言の引用
  • Decrypt（2026-08-14）— 提供形態（Coding Plan / ZCode、ポイント制クォータ）
  • Axios（2026-08-07）— OpenAI が Astra を「Critical 相当を排除できない」枠組みで扱った経緯
  • aireleasetracker: GLM-5.3— HLE・GDPval-AA v2などの集計値、およびウェイト非公開ステータス

関連する過去記事