Sommario
Cybersecurity
Consulenza CISO-as-a-service: postura, roadmap di remediation, supporto continuativo.
Scopri →
Servizi & Sistemi Linux
Domini, hosting, PEC, infrastruttura email, servizi di rete e sistemi Linux. Assistenza e gestione dell'infrastruttura Open Source.
Scopri →
Il 25 agosto Z.ai ha pubblicato i pesi di GLM-5.3. Quando ne avevamo scritto il 18 i pesi non c’erano, l’organizzazione zai-org si fermava a GLM-5.2 e l’annuncio prometteva il rilascio “in two weeks after launch”, cioè verso il 28. Sono arrivati tre giorni prima della scadenza.
I numeri dei benchmark li avevamo già discussi allora, perché Z.ai li aveva pubblicati con l’annuncio. Quello che non si poteva leggere prima, arrivato solo adesso insieme ai pesi, sono due cose: il testo della licenza e le note metodologiche che dicono come quei numeri sono stati prodotti.
Cosa è uscito
Sono due modelli distinti e la differenza fra loro non è solo di taglia.
| GLM-5.3 | GLM-5.3-Flash | |
|---|---|---|
| Parametri | 753,3 miliardi | 321,3 miliardi |
| Licenza | glm-5.3, testo proprio | MIT |
| Download al 2 settembre | 94.403 | 441.348 |
| Like | 1.478 | 1.903 |
Accanto alla base c’è anche zai-org/GLM-5.3-BF16, pubblicato lo stesso giorno. La variante Flash, più piccola e con licenza standard, viene scaricata quasi cinque volte più della base.
La licenza, in concreto
Il file LICENSE è breve, bilingue e ricalca quasi parola per parola il testo MIT: uso, copia, modifica, fusione, pubblicazione, distribuzione, sublicenza e vendita, più il diritto esplicito di eseguire, distribuire, fare fine-tuning e produrre lavori derivati. I pesi, i parametri, i file di configurazione e il codice di inferenza e training rientrano tutti nella definizione di Software.
La condizione aggiunta è una sola, ed è mirata. Se chi usa il modello gestisce un’attività di Model as a Service, definita come dare a terzi accesso a inferenza o fine-tuning in modo che possano esercitare controllo sostanziale su input, parametri o dati, e se i ricavi aggregati suoi e delle sue affiliate superano i 10 miliardi di dollari in dodici mesi consecutivi, allora deve passare una revisione di sicurezza di Z.ai prima di qualunque uso commerciale. Ambito e metodo della revisione li determina Z.ai.
La definizione esclude esplicitamente due casi: i prodotti per utente finale in cui le capacità del modello sono incorporate in funzioni o harness specifici e il semplice inoltro di richieste verso modelli ospitati da altri.
Vale la pena essere precisi su cosa comporta. Formalmente questa clausola basta a tenere la licenza fuori dalla definizione OSI di open source, perché subordina un uso a un’autorizzazione discrezionale. Praticamente, per chiunque non sia un hyperscaler, il comportamento è quello di una MIT: la soglia dei 10 miliardi esclude qualunque azienda europea di dimensione normale. È la distinzione fra pesi aperti e open source, con il confine tracciato in un punto molto più permissivo del solito. Il Flash, con la sua MIT secca, non ha nemmeno quello.
Il metodo dietro i numeri cyber
Qui sta la parte che il model card aggiunge davvero e che cambia il modo di leggere la tabella che avevamo commentato ad agosto.
Tutte le valutazioni girano dentro un harness di terze parti, Claude Code 2.1.207, con reasoning effort al massimo, temperature=1.0 e senza strumenti web. Un laboratorio cinese che misura il proprio modello dentro l’harness di Anthropic è un dato di fatto che dice quanto l’harness sia diventato parte della misura, cosa di cui abbiamo scritto parlando di harness engineering.
Su CyberGym il numero è un Pass@1 a esecuzione singola su 1.507 task, con l’agente messo dentro il container del task, tutte le informazioni Git rimosse e una allowlist di domini che consente solo l’essenziale per installare strumenti, pypi.org e deb.debian.org. Z.ai scrive che serve “to prevent the agent from cheating”.
Su ExploitGym il Pass@1 è su 869 task, con la stessa allowlist e la stessa motivazione dichiarata. Ma il budget di tempo funziona in un modo che va spiegato, perché non è quello che le etichette “2h” e “6h” suggeriscono.
Il budget non è tempo a orologio. È il tempo di inferenza via API rinormalizzato sul tasso di token al secondo di ciascun modello, preso da Artificial Analysis, più l’overhead non-API. I fattori dichiarati sono 115 TPS per GLM-5.3, 40 per Kimi K3 e 47 per Qwen3.8-Max.
La conseguenza è che i tre modelli vengono confrontati a parità di budget di token, non a parità di tempo reale. È una scelta difendibile, perché neutralizza le differenze di velocità di serving che dipendono dall’infrastruttura e non dal modello. È anche una scelta che va conosciuta: chi legge “105 task in due ore” e immagina due ore di orologio sta leggendo un’altra cosa. Il confronto con i 36 di Kimi K3 non è a cronometro.
C’è un secondo limite dichiarato nella stessa nota. Su ExploitGym Z.ai dice di aver valutato GLM-5.3, Kimi K3 e Qwen3.8-Max. Gli altri modelli che compaiono nella riga, fra cui GPT-5.6 Sol a 216/293 e Fable 5 a 181/247, non sono nell’elenco di quelli misurati da loro. Quei numeri arrivano da altrove e vanno trattati come tali quando si mettono in fila.
Dove lo si fa girare
Il model card elenca sette percorsi di deployment: SGLang, vLLM, TokenSpeed, Transformers, KTransformers, Unsloth e, per la piattaforma Ascend NPU, vLLM-Ascend, xLLM e SGLang. La presenza di una via Ascend documentata dal primo giorno dice che il modello nasce per girare anche fuori dall’hardware NVIDIA.
La comunità si è mossa in tre giorni. Al 2 settembre esistono già GGUF di Unsloth con 74.544 download, tre versioni NVFP4 indipendenti, più quantizzazioni MLX a 4 bit, EXL3 e W4A16. Fra i GGUF del Flash c’è quello pubblicato da antirez, con 27.387 download, lo stesso autore del ds4 di cui avevamo scritto per DeepSeek V4 Flash.
Due parametri operativi che il model card documenta e che conviene conoscere prima di provarlo. Il primo è reasoning_effort, con tre livelli low, high e max: se non lo si passa vale max, che è anche il valore da tenere per riprodurre i benchmark. Il secondo è clear_thinking, che nel template di chat vale false per default mentre nelle conversazioni va passato esplicitamente a true.
Cosa ne pensiamo
La cosa che ci interessa di più non è il punteggio ma il fatto che la metodologia sia scritta. Le note in fondo al model card dichiarano il numero di task, l’harness, i parametri di campionamento, il modello giudice dove ce n’è uno, le allowlist di rete e persino le patch applicate ai benchmark per aggirare falsi positivi degli anti-cheat. È materiale che permette a un terzo di replicare o di contestare, cosa che un grafico riassuntivo non consente.
Sulla rinormalizzazione dei budget su ExploitGym non abbiamo una posizione tranchant. Confrontare modelli con velocità di serving diverse a parità di secondi misura in parte l’infrastruttura, quindi normalizzare ha senso. Il punto è che l’etichetta “2h” nella tabella non lo dice e la nota che lo spiega sta in fondo alla pagina: chi cita quella riga senza la nota trasmette un’informazione diversa da quella misurata.
Sulla licenza, la lettura pratica per un’azienda italiana è semplice. Il vincolo dei 10 miliardi non la riguarda, quindi si comporta come una MIT e il Flash è MIT davvero. Resta però una condizione la cui applicazione dipende da una revisione il cui ambito lo decide il licenziante: è un dettaglio da annotare in un registro di conformità, non da scoprire dopo.
E resta il punto che avevamo lasciato aperto ad agosto. Un modello a pesi aperti che dichiara lo stato dell’arte su CyberGym e più che triplica GLM-5.2 sull’exploitation è ora scaricabile da chiunque, con quantizzazioni che lo portano su hardware alla portata di un laboratorio. Per chi fa sicurezza offensiva autorizzata è uno strumento in più. Per chi difende è una capacità da assumere come già disponibile all’avversario, con lo stesso strumento a disposizione di entrambi.