GLM-5.3とは​何か​ ──​「オープンウェイト最強」の​コーディングAIが、​重みだけ​公開を​2週間​止めた​理由を​解説

中国のZ.ai（旧・智譜AI）が2026年8月14日、コーディング用のAIモデル 「GLM-5.3」 を公開した。同社はこれを「コーディングにおいて最も高性能なオープンウェイトモデル」と表現している^[1]。オープンウェイトとは、モデルの中身にあたるファイル（重み）が配布され、誰でも自社のサーバーに置いて動かせる、という意味だ。

ただし、この記事を書いている8月15日時点で、そのモデルはまだ誰の手元にも降りてきていない。重みの公開は「2週間後」と告知され、APIも公式ドキュメントに coming soon と書かれたままだ。いま使えるのは月額サブスクリプション経由だけである。

止めている理由も、性能不足や不具合ではない。Z.aiの説明は「訓練を進めるうちに、サイバーセキュリティの能力が予想より速く伸びてしまった」というものだ。

この記事では、①GLM-5.3は何が新しいのか ②なぜ「公開したのに手に入らない」状態なのか ③同社が公表した「2,436件の脆弱性発見」という数字をどう読むか ④「最強」を鵜呑みにする前に確認したい点 ⑤いま使う場合に効いてくる実務——の5つを、公式ページと公開台帳を実際に開いて確かめた内容で解説する。

01 GLM-5.3とは​何か​——土台は​変えず、​訓練の​「後半」だけを​増やした

GLM-5.3は、Z.aiの最新の主力モデルだ。プログラムを書く・直す、複数の手順を自分で進める（エージェント）といった用途に向く。扱える文章量は100万トークン（日本語で数十万字規模）、一度の出力は最大12万8千トークンとされる^[3]。

技術的にいちばん特徴的なのは、土台となるモデルを新しく作り直していない点だ。公式ブログは「GLM-5.2と同じベースモデルを使っている。すべての向上は事後訓練（post-training）から来ている」と明記している。

事後訓練とは、いったん出来上がったモデルに実際の仕事に近い課題を大量に解かせて鍛える工程のことだ。Z.aiはこの1か月、課題環境の種類と量、そこに投じる計算資源だけを増やした。それで自社ベンチマークのスコアが50%改善したと説明している。

評価項目	GLM-5.2	GLM-5.3
Terminal-Bench 3.0（端末作業）	4.6	28.3
DeepSWE v1.1（ソフトウェア開発）	46.2	66.9
Agents' Last Exam（エージェント課題）	23.8	28.5
Z.ai Code Bench（自社ベンチ・Max設定）	23.4%	34.5%

もうひとつ注目したいのは効率だ。Z.ai Code BenchのMax設定で、GLM-5.2は1課題あたり約9万6千トークンを出力して23.4%だったのに対し、GLM-5.3は約7万5千トークンで34.5%に達している。出力量を減らしながらスコアを上げたという主張だ。High設定では約5万トークンで31.4%となり、Claude Opus 4.8（12万トークンで29.5%）を上回ったとしている。

公式ブログは、この伸びの難所が「モデル側から環境側に移った」とも書いている。良い訓練課題は、実行できて、正解を機械的に検証できて、実際の専門職の仕事に近い必要がある——そういう課題を手作業で数十個つくっても足りないので、課題環境そのものを合成するパイプラインを組んだ、という説明だ。研究役のエージェントが実際の仕事から課題の型を集めて実行可能な環境に変換し、別の判定役エージェントがそれを解いてみて「本当に解ける課題か」を検証する。この工程には依然として人手が必要だとも書かれている。

02 ​「公開」されたのに、​まだ​何も​手に​入らない

ここが、報道と実際のいちばん大きな差だ。オープンウェイトのモデルは通常、HuggingFace（AIモデルの共有サイト）に重みが置かれ、誰でもダウンロードして自社のサーバーで動かせる。GLM-5.3は、まだそうなっていない。

公式ブログの「Serve GLM-5.3 Locally（手元で動かす）」の項には、1行だけこう書かれている——重みは「2週間後に公開予定」。ページ上部のHuggingFaceボタンも Coming Soon で、リンク先はページ内アンカー（#）のままだ。

手元から機械的にも確かめた。HuggingFaceのAPIで問い合わせると、GLM-5.2は2026年6月16日公開・MITライセンス・直近30日のダウンロード268万件という情報が返る。一方、GLM-5.3のリポジトリは401（存在しないか非公開）を返す^[4]。前バージョンは即日MITで配られていたので、今回は明確な方針変更だ。

さらに、APIも使えない。 公式ドキュメントのGLM-5.3のページには The GLM-5.3 API is coming soon. と書かれている。料金ページを開いても、モデル一覧の最上位はGLM-5.2（入力$1.4／出力$4.4）のままで、GLM-5.3の行が存在しない（いずれも2026年8月15日時点で確認）^[3]。

いま（2026年8月15日時点）	できる	できない
GLM Coding Plan（月額サブスク）で使う	○
同社のツールZCodeで使う	○
Claude Code / OpenCode などから使う	○（Coding Plan経由）
APIキーで自社システムに組み込む		×（coming soon）
重みを落として自社サーバーで動かす		×（約2週間後の予定）
従量課金の単価を確認する		×（料金表に記載なし）

つまり、いま「GLM-5.3を使う」と言えるのは、Z.aiのサブスクリプションに入って、同社が用意した経路から触る場合だけだ。「オープンウェイトだから自社に置ける」と考えて社内検討を始めると、少なくとも2週間は前に進まない。

03 止めた​理由は、​狙って​作っていない能力が​伸びたから

なぜ重みだけを止めたのか。公式ブログは「安全性の評価と堅牢化（hardening）が完了してから公開する」と書いている。そして、その必要が生じた経緯も自分たちで説明している。

Z.aiは事後訓練の材料として、脆弱性（プログラムの欠陥）を見つける課題を訓練に混ぜた。狙いは「欠陥を見つけて説明できるモデルにすること」だった。ところが訓練の規模を上げるにつれ、想定より速く能力が伸びたというのが同社の説明だ。

しかも、伸び方の質が変わった。公式ブログの表現では、モデルは個別の欠陥を見つけるだけでなく「攻撃の複数の段階をまたいで推論し、完全な攻撃の連鎖について筋の通った計画を立てはじめた」。欠陥を1つ指摘することと、複数の欠陥を繋いで実際に侵入する道筋を描くことは、実務上まったく別の話である。

Z.aiはこれを emergent（創発的）＝狙って設計したのではなく現れた 能力と呼んでいる。オープンウェイトのモデルは、いったん配ってしまうと後から止められない。配る前に評価するという判断は、この性質から出ている。

なお、能力の内訳そのものは攻撃側だけのものではない。ソースコードを読んで欠陥を見つける作業は、守る側（自社製品の脆弱性診断）でも攻める側でも同じ技術だ。この二面性は、4日前に解説したOpenAIの取り組みでも中心的な論点だった。同じ問題に対して、OpenAIは「審査を通った相手にだけ渡す」と答え、Z.aiは「評価が済むまで全員に渡さない」と答えた——構図としてはそう並ぶ。

関連記事 ｜ 同じ問題への、もう一方の答えOpenAI Daybreak Blue / Red とは何か ──AIの制限を「外す」のではなく「誰に外すか」を審査する仕組みを解説 →

04 2,436件と​いう​数字を、​自分で​開いて​確かめる

Z.aiは、この能力が実験室の外でも通用するか検証したと公表している。GLM-5.2の頃から中国国内の複数のセキュリティチームと組み、実在のソースコードにモデルを当ててきた。専門家によるレビュー・選別・重複排除を経て、269のオープンソースプロジェクトで2,436件の脆弱性を特定した、という内容だ。

しかもこれは公表しただけではなく、Z.ai Security Disclosure Ledger（公開台帳） として誰でも閲覧できる形に置かれている。実際に開いて確認した内容が、これだ^[2]。

台帳の項目	件数
収録された発見	2,436
すでに公開されたもの	53
まだ公開されていないもの	2,383
Critical（最も深刻）	107
High	990
Medium	1,286
Low	53
対象プロジェクト	269

台帳には、影響の時間幅についても記載がある。最も古い欠陥は1981年に作り込まれたもので、平均すると1件あたり26.6年間、誰にも気づかれずにコードの中に残っていた。

ここで、読むときに気をつけたい点が1つある。一部の報道が「1,097件のcritical（深刻）な脆弱性」と書いているが、台帳の内訳ではCriticalは107件だ。 1,097は「Critical 107 + High 990」の合計にあたる。公式ブログ本文も、この1,097を「medium-to-high severity（中〜高深刻度）」と表現していて、台帳側のラベル（Critical & High）と一致していない^[5]。数字そのものは公式が出したものだが、深刻度のラベルは発表者側でも揺れているので、社内に共有するときは合計と内訳を分けて書くのが安全だ。

そしてもう1つ。公開済みは53件、残る2,383件はまだ公開されていない。 開示のプロセスが進行中という意味であり、修正が終わっていないものも含まれると読むのが自然だ。その状態で、これらを見つけた能力を持つモデルの重みが2週間後に配布される——時間の並びとしては、そういうことになる。

05 ​「最強」と​読む前に、​数字の​並べ方を​見る

公式ブログとその報道を読むと「中国のオープンウェイトモデルがサイバー分野で世界最高になった」という印象を受ける。しかし公式が出した表を最後まで見ると、印象は変わる。

ベンチマーク	GLM-5.2	GLM-5.3	Fable 5	GPT-5.6 Sol
CyberGym（脆弱性の発見）	77.2	84.5	83.8	83.6
ExploitBench（悪用の深い理解）	24.4	54.4	78.0	76.5
ExploitGym（2時間 / 6時間で完了した課題数）	29 / 39	105 / 130	181 / 247	216 / 293

GLM-5.3が首位なのは、3つのうち1つ（CyberGym）だけだ。しかもこれは「ソースコードを見せた状態で欠陥を見つけられるか」という、攻撃の連鎖でいえば入口の課題である。より奥に進んだExploitBenchでは54.4に対して相手は78.0、ExploitGymでは6時間で130課題に対して247課題と、差が開く。

この構造を、Z.ai自身が正直に書いている。攻撃の連鎖を上に行くほどGLM-5.2からの伸びは大きく、同時にクローズドなモデルとの差も大きい——そして、こう結んでいる。

能力がいちばん速く伸びているのは、まさに我々がいちばん遅れている場所だ。
（Capability is growing fastest exactly where we are furthest behind.／CAG訳）

公式が自分でこう書いている以上、「中国モデルがサイバー分野で最強になった」は言い過ぎだ。正確には「入口の課題では追いついたが、奥に行くほど差があり、その差が縮む速度が速い」である。

ついでに、比較表を読むときの細かい注意を2つ。ひとつは、比較相手のAnthropic製モデルが表では「Fable 5（フォールバック付き）」、本文では「Mythos 5」と呼ばれていて、数値が完全に同じという点だ（83.8 / 78.0 / 181・247）。同じ列を2つの名前で呼んでいることになる。この2つのモデルは、CAGでも過去に提供停止と再展開を追った経緯があり、誰でも契約できるモデルとは限らない。「勝った／負けた」を見るときは、相手が自社で使えるモデルかどうかまで含めて見る必要がある。

もうひとつは、コーディング能力の評価だ。公式ブログは「GLM-5.3はClaude Fable 5には及ばない」（Max設定で39.5%に対し34.5%）と明記しているのに、同じZ.aiの開発者向けドキュメントには「プログラミングとエージェントの能力はClaude Fable 5と同等（on par）」と書かれている。発表ページと製品ドキュメントで評価が食い違っているので、どちらか一方だけを引用しないほうが安全だ。

06 いま使うなら、​効いてくる​6つの​実務

サブスクリプション経由で試す場合、あるいは2週間後の重み公開を待って検討する場合に、先に知っておくと事故が減る点をまとめる。

1. 旧バージョンに留まれない。 公式ドキュメントによると、GLM-5.2およびGLM-5.1へのリクエストは自動的にGLM-5.3へ振り替えられる。「まだ検証していないので前のモデルのままで」という運用ができない。

2. 「考えさせない」設定は廃止された。 GLM-5.3では思考モードを無効化（thinking.type: "disabled"）できない。設定したままモデル名を切り替えるとリクエストが失敗する。移行時は、無効化をやめて reasoning_effort を low にしてから切り替える、と公式が案内している。

3. 労力（effort）は3段階。 low / high / max で、既定は max。コーディング用途には max が推奨されている。既定が最も重い設定である点は、費用の見積もりに直結する。

4. 安い時間帯が、日本の業務時間とずれる。 GLM Coding Planはポイント制で、ピーク時間帯以外はポイント消費が50%になる。ピークは中国時間の平日14:00〜18:00＝日本時間の15:00〜19:00。日本の夕方の実働時間帯がまるごと割高で、深夜と週末が割安、という構造だ。

5. キャッシュとキャンペーンで実効コストが動く。 同社は自社ツールZCodeについて、98%以上のキャッシュヒット率で実効トークンが約30%増える、8月31日まで1.5倍のクォータ増量、と告知している。期間限定の条件が実効単価に効くので、比較検討は期限も一緒に記録しておきたい。

6. ベンチマークの数字は、ハーネス込みの数字。 公式の脚注を読むと、CyberGymもExploitGymもTerminal-Benchも、評価はすべてClaude Code 2.1.207という外部の実行環境（ハーネス）の上で走らせた結果だと明記されている^[6]。同じモデルでも、動かす土台が違えば成績は変わる。自社で試すときは、モデル名だけでなく「どの土台で動かした数字か」まで見てほしい。CAGでも、モデルそのものより土台の設計が結果を左右する場面を何度も見てきた。

関連記事 ｜ 成績を決めるのはモデルだけではない「最強モデル」より「強いharness」──frontier AIが"政策で止まる"時代のエージェント設計 →

07 まとめ——読み方の​チェックリスト

GLM-5.3は、土台のモデルを作り直さずに事後訓練だけで大きく伸びた、という点で技術的に興味深い発表だ。同時に、「オープンウェイトのモデルが発表された」という一行だけを受け取ると、実態を取り違える。今回確認したことを、そのままチェックリストにしておく。

• 「公開」と「手に入る」は別。 重みは約2週間後、APIは未提供。今日触れるのはサブスクリプション経由だけ（2026年8月15日時点）。
• 止めた理由は不具合ではなく能力。 攻撃の連鎖を計画する力が想定より速く伸びたため、評価と堅牢化を先に行うという判断。
• 数字は合計と内訳を分ける。 2,436件のうちCriticalは107件、公開済みは53件、2,383件はまだ公開されていない。
• 「最強」は3分の1。 首位はCyberGymのみ。奥の課題では差があり、それは公式自身が書いている。
• 比較相手と土台を確認する。 相手が自社で契約できるモデルか、どのハーネスで測った数字か。

自社で検討するなら、いま動くべきことは1つだけだ。2週間後に重みが出た時点で、自社のどのデータを、どの隔離された環境で試すかを、先に決めておく。 配布が始まってから考えると、社内の合意形成のほうが時間を食う。