Semgrep Confirma que GLM-5.2 de Z.ai Supera a Claude Code en Fallos de Seguridad

¿Qué pasa cuando una puerta digital que parecía cerrada con llave aparece, de golpe, abierta para cualquiera? Eso es lo que empieza a inquietar en ciberseguridad: una capacidad que hasta hace días estaba más controlada ahora puede descargarse, probarse y modificarse sin demasiados frenos.

El hallazgo gira en torno a Z.ai, la firma china detrás de GLM-5.2, un modelo de inteligencia artificial que, según análisis citados por The Wall Street Journal, habría igualado a Mythos, el sistema más potente de Anthropic, en una tarea muy concreta: detectar fallos de seguridad en código.

La pieza clave está en el contexto. Estados Unidos prohibió el 12 de junio exportar Mythos fuera del país para evitar usos indebidos. Un día después apareció GLM-5.2 con capacidades similares, pero sin barreras geográficas, sin suscripción y con descarga libre.

Eso no significa que China ya tenga una inteligencia general superior. El mecanismo es más acotado: un modelo puede ser muy bueno revisando código y, al mismo tiempo, mostrar un rendimiento mediocre en tareas más amplias. El movimiento revela una reducción real de la brecha en un engranaje sensible.

Para entenderlo, conviene pensar en la instalación eléctrica de una casa. Mythos sería un electricista experto al que solo pueden llamar ciertos clientes y bajo reglas estrictas. GLM-5.2, en cambio, funciona como un manual detallado de ese mismo cableado, gratis y fotocopiable, que cualquiera puede llevarse a casa.

Y ahí aparece el interruptor central del problema. Si esa guía sirve para encontrar un cable pelado antes de que haya un incendio, también puede ayudar a quien quiera forzar el tablero. La misma herramienta que protege puede usarse para abrir una oportunidad de ataque.

Qué revelaron las pruebas independientes

Dos análisis externos intentaron medir si el rendimiento era real. Semgrep, una empresa especializada en revisar código, probó GLM-5.2 en un fallo típico de acceso a datos: el error que permite ver información ajena cambiando un parámetro en una web. En ese caso, el modelo chino detectó más vulnerabilidades que Claude Code.

Por su parte, Graphistry lo evaluó en retos de ciberseguridad parecidos a los que enfrentan profesionales del sector. Allí empató con Opus 4.8, un modelo inferior a Mythos dentro del catálogo de Anthropic. Con ese resultado, Graphistry lo convirtió en el primer modelo gratuito y descargable que recomienda para tareas de seguridad.

Sin embargo, el dato necesita traducción inmediata. Un benchmark no convierte por sí solo a un sistema en líder absoluto. De hecho, la propia herramienta de Semgrep sigue superando a GLM-5.2 en su ámbito específico.

La oportunidad y el riesgo del modelo abierto

Además, el acceso libre cambia la ecuación. Las restricciones suelen afectar sobre todo a investigadores, empresas reguladas y usuarios que cumplen las normas. Quien busca alternativas abiertas encuentra otro camino, con menos controles y con un modelo que puede modificarse para quitar sus límites de seguridad.

Ese es el punto que más preocupa. En foros de piratería ya circulan métodos para eludir salvaguardas y usar el sistema para correos de estafa o código malicioso. La alianza Five Eyes incluso emitió advertencias internas sobre el riesgo asociado a esta clase de modelos liberados.

También hay dudas sobre su origen. Algunos análisis de Graphistry detectaron similitudes con respuestas de OpenAI y Anthropic, lo que alimenta sospechas de destilación (entrenamiento a partir de respuestas ajenas). Zhipu AI, responsable del modelo, no lo confirmó ni lo negó.

Con todo, el hallazgo deja una lección práctica. En seguridad digital, cerrar una puerta no siempre basta si la copia de la llave ya está circulando. Y en la nueva carrera de la IA, el cableado central ya no pasa solo por los laboratorios más blindados.

Sofía Sicilia

Directora de operaciones en GptZone. IT, especializada en inteligencia artificial. Me apasiona el desarrollo de soluciones tecnológicas y disfruto compartiendo mi conocimiento a través de contenido educativo. Desde GptZone, mi enfoque está en ayudar a empresas y profesionales a integrar la IA en sus procesos de forma accesible y práctica, siempre buscando simplificar lo complejo para que cualquiera pueda aprovechar el potencial de la tecnología.