GLM-5.2 è sicuro? Il governo USA lo ha testato da agente, non da chatbot
7 min di lettura
Il 17 luglio 2026 il Center for AI Standards and Innovation (CAISI) — l’ente del governo americano nato dentro il National Institute of Standards and Technology (NIST) per valutare i rischi dei modelli di frontiera — ha reso pubblica la sua valutazione di GLM-5.2, il modello open-weight di Z.ai (ex Zhipu AI) uscito il 16 giugno 2026. Il rapporto arriva a una conclusione in due tempi che riguarda chiunque valuti questo modello per un compito reale, non per una conversazione: interrogato direttamente, GLM-5.2 rifiuta quasi sempre di aiutare a costruire un attacco informatico. Lasciato libero di agire passo dopo passo, con gli strumenti in mano, lo stesso modello non si è mai fermato.
I fatti, in ordine
- 16 giugno 2026 — Z.ai, azienda di Pechino fondata nel 2019 da ricercatori dell’Università Tsinghua, pubblica su Hugging Face i pesi di GLM-5.2 con licenza MIT. Architettura a esperti, secondo il file di configurazione ufficiale: 78 strati, 256 esperti instradati più uno condiviso, otto attivi per ogni token, finestra di contesto fino a 1.048.576 token — poco più di un milione.
- 8 luglio 2026 — CAISI completa la propria valutazione indipendente, resa pubblica il 17 luglio. Contesto societario riportato nello stesso documento: Z.ai si è quotata a Hong Kong l’8 gennaio 2026, prima grande azienda cinese di AI a farlo, con capitalizzazione salita da 7 a circa 65 miliardi di dollari in sei mesi e ricavi 2025 per 105 milioni di dollari, raddoppiati ogni anno dal 2022.
- La capacità complessiva, secondo le prove di CAISI, rende GLM-5.2 «probabilmente il modello a pesi aperti più capace al momento del rilascio», con un livello simile a GPT-5.2 (dicembre 2025) e capacità cyber paragonabili a Opus 4.6 (febbraio 2026) — ma ancora dietro alla frontiera chiusa americana, rappresentata nel rapporto da Opus 4.8 e GPT-5.5.
- Il produttore, sul proprio blog, rivendica che «sui benchmark di programmazione standard, GLM-5.2 è il modello open-source più forte», con capacità «all’incirca tra Claude Opus 4.7 e Claude Opus 4.8». Ma sui tre capitoli che contano per la sicurezza — capacità cyber offensive, resistenza al dirottamento degli agenti, protezioni contro l’uso improprio — il rapporto registra, identica tre volte, la stessa nota: il produttore non ha pubblicato risultati propri. Del divario fra quello che un rapporto tecnico dichiara e quello che tace abbiamo già scritto: qui il silenzio non è su un dettaglio, è su un intero capitolo di sicurezza.
Il rifiuto che sparisce quando il compito diventa un agente
È qui che il rapporto smette di essere un bollettino di benchmark e diventa rilevante per chi decide un acquisto. Su un banco di prova di CAISI — trenta richieste dirette ed esplicitamente malevole, dall’ideazione di un attacco allo sviluppo di exploit e payload — GLM-5.2 «ha rifiutato la maggior parte delle richieste, anche quando la richiesta era posta usando un jailbreak pubblico»: si comporta come ci si aspetta da un modello con protezioni funzionanti.
Poi CAISI ha misurato la stessa capacità non con una domanda scritta ma con un compito agentico: dieci prove in cui il modello deve costruire un exploit completo lavorando con strumenti, passo dopo passo, fino a un massimo di 300 turni. Il risultato, testuale: «GLM-5.2 non ha rifiutato nessuna delle richieste». Zero su dieci, con lo stesso modello che poche righe sopra rifiutava la maggioranza delle stesse richieste poste in un colpo solo. La sintesi di CAISI è la frase da portarsi in un capitolato: le protezioni di GLM-5.2 «non impediscono del tutto l’assistenza a compiti di attacco informatico in assenza di una formulazione apertamente malevola» — tengono sulla domanda posta come la farebbe un utente in chat, e cedono sul compito scomposto in passi, che è esattamente la forma in cui questi modelli finiscono in produzione: agenti di sviluppo o di analisi che ricevono un obiettivo tecnico, non una domanda esplicita. Nessuno, in azienda, chiede a un agente «aiutami ad attaccare un sistema»: gli si assegna un compito tecnico, ed è quel compito tecnico che il rapporto ha misurato.
Sul versante biologico il quadro è simmetrico: il modello risponde a domande sensibili «con una frequenza e un dettaglio superiori» ai modelli americani testati, pur restando più prudente degli altri modelli aperti cinesi valutati nello stesso rapporto. Non tutto pende dalla stessa parte: sulla resistenza al dirottamento di un agente — email, eventi di calendario o documenti manomessi per fargli eseguire un compito diverso — GLM-5.2 è il più solido fra i modelli open-weight testati, cinesi inclusi: «non è mai stato dirottato con successo dagli attacchi pubblicamente disponibili». Ma CAISI aggiunge il limite che vale per ogni numero della sezione: le prove misurano la resistenza ai jailbreak testuali, e a prescindere da quella resistenza «le protezioni dei modelli a pesi aperti possono essere aggirate quando il modello è eseguito in proprio».
Un dettaglio di metodo rende il rapporto più utile di un annuncio commerciale: CAISI non ha interrogato l’API di Z.ai, ma ha scaricato i pesi da Hugging Face e li ha eseguiti sui propri server, nella stessa versione quantizzata a 8 bit che — nota il rapporto — sembra essere quella che Z.ai stessa serve ai propri utenti, senza aggiungere protezioni oltre a quelle di fabbrica, per riprodurre «la configurazione con cui verrebbero distribuiti se eseguiti in proprio». Non il numero migliore che un fornitore produce in laboratorio, ma quello che ottiene chi scarica il modello oggi e lo mette in esercizio così com’è.
Cosa fare, in pratica
- Non fermatevi al benchmark di programmazione che il produttore pubblica: su cybersicurezza, sicurezza degli agenti e protezioni, qui il produttore non ha pubblicato nulla. Il silenzio su un capitolo di sicurezza non è una garanzia: è un vuoto che tocca a voi colmare prima dell’uso.
- Se il caso d’uso prevede un agente con accesso a strumenti — non un semplice chatbot — verificate il comportamento nella configurazione agentica, non nella singola domanda: è lì, secondo CAISI, che le protezioni cedono.
- Trattate le protezioni di fabbrica come un punto di partenza revocabile: una volta scaricato ed eseguito in casa, il modello risponde solo ai controlli che aggiungete voi attorno, non a un capitolato.
- Prima di adottare un modello per compiti con capacità offensive potenziali (analisi di vulnerabilità, red teaming, patch di sicurezza), documentate per iscritto versione dei pesi, configurazione ed esito della vostra prova: un numero senza il modo in cui è stato ottenuto non regge davanti a un revisore.
Come lo risolviamo noi
Per i soggetti già inclusi nel perimetro di sicurezza nazionale cibernetica il principio non è una novità da importare: il DPCM che elenca le categorie ICT soggette a valutazione del CVCN include già, testualmente, i «Sistemi Artificial Intelligence (AI) e Machine Learning (ML) per gestione reti/sistemi» — una fornitura che gestisce una rete non entra in esercizio finché qualcuno non l’ha messa alla prova con metodo. Per tutti gli altri, il D.lgs. 138/2024 chiede comunque una valutazione documentata dei fornitori prima dell’uso. Il rapporto CAISI mostra che aspetto deve avere quella valutazione quando il fornitore non la fa da sé: replichiamo lo stesso tipo di prova — configurazione agentica, pesi verificati con il loro hash, protezioni testate senza aggiunte esterne — come controllo che gira prima della messa in esercizio e a cadenza dopo, con la traccia da esibire a un’ispezione.
Lo stesso impianto che esegue questa verifica fa poi girare l’agente in produzione: i dati sparsi del cliente — archivi, gestionali, sensori — raccolti in un modello operativo unico, su cui l’agente esegue il compito tecnico con un operatore al comando esattamente nel punto che questo rapporto mostra più fragile, l’esecuzione, non la richiesta. Per grandi imprese, difesa, pubblica amministrazione e sanità, la scelta del modello — americano, europeo o cinese, aperto o chiuso — resta secondaria rispetto a chi controlla quel punto. Lo facciamo in entrambe le modalità di consegna, on-premise su macchine autonome del cliente o su cloud dedicato con data center in Italia, con la gestione tenuta insieme a voi.
State valutando un modello open-weight per un caso d’uso agentico, non solo conversazionale? Parliamone in una sessione di trenta minuti: replichiamo il test nella vostra configurazione reale, prima che lo faccia qualcun altro al posto vostro.