GLM-5.2 ya roza la frontera en ciber y bio. La seguridad open-weight sigue en cero

Llevamos años mirando el ranking equivocado

Llevamos un par de años midiendo la carrera de la IA como si fuera una liga de fútbol: quién saca más puntos en el índice, quién escribe mejor código, quién resume un PDF sin inventarse la mitad. Está bien. Sirve. Pero es la mitad de la película.

La otra mitad es esta: un modelo open-weight chino de 744.000 millones de parámetros, liberado bajo licencia MIT, está solo unos meses por detrás de GPT-5.5 y Claude Opus 4.7 en capacidades de ciberseguridad ofensiva y biología de doble uso. Lo dice SaferAI, no un hilo de X con capturas recortadas. Y cuando lo evaluaron vía API pública, GLM-5.2 no rechazó ninguna tarea de esas. Cero. Claude Opus 4.7 se negó con tanta constancia que no pudieron ni terminar CyberGym.

Eso no es un empate técnico con asterisco. Es un desajuste estructural. La frontera de la capacidad ya no marca la frontera del riesgo. Henry Papadatos, de SaferAI, lo dice sin adornos: hay que mirar el estado de las mitigaciones, no solo el del modelo. Y ahí es donde el open-weight se cae del mapa.

No estoy aquí a pedir que se prohíban los pesos abiertos ni a hacerle el discurso al regulador de turno. Estoy aquí a nombrar lo que huele a mierda y casi nadie pone en el titular: descargar los pesos no es usar un modelo un poco más libre. Es saltarse por completo la capa de seguridad que los laboratorios cerrados venden como su gran diferencia. Esa capa no viaja en el archivo. Se queda en el servidor del proveedor.

Qué es open-weight de verdad (y qué no te están contando)

Open-weight significa una cosa concreta: los parámetros entrenados del modelo (los pesos) son públicos. Los bajas, los corres en tu máquina o en tu cluster, los modificas y, si la licencia lo permite, hasta montas negocio encima. No es lo mismo que open source "de manual", donde también tendrías datos de entrenamiento, receta completa y toolchain reproducible. Es otra categoría. Si te suena el openwashing de licencias "abiertas" que no lo son, aquí el matiz es al revés: los pesos sí salen, y eso es justo lo que complica la seguridad.

GLM-5.2 es Mixture-of-Experts de 744B parámetros, soltado en junio de 2026 por Zhipu AI (Z.AI) bajo MIT. MIT, no una licencia con letra pequeña de "no uso militar" ni "no fine-tunees para X". Descarga, ejecución local, modificación comercial sin coste de licencia. Según el Artificial Analysis Intelligence Index v4.1, saca 51 puntos: a cinco de Claude Opus 4.8 (56) y por delante de Gemini 3.5 Flash (50). Es el open-weight líder del índice compuesto. Por encima de DeepSeek V4 Pro (44) y Kimi K2.6 (43).

Ojo con lo que eso no dice. No dice que sea el mejor modelo del mundo en todas las tareas. Dice que en ese índice compuesto ya está en la pelea de arriba, y que entre los que puedes bajarte a disco, manda. Business Insider lo probó en uso cotidiano: más lento que los premium, con problemas de capacidad frecuentes; en escritura y recomendaciones, calidad comparable; en precios actualizados y diseño gráfico, se estrellaba. Traducción: no es magia universal. Es un bicho muy capaz que, además, te puedes llevar a casa.

Esa combinación (capacidad frontera-ish + archivo descargable + licencia permisiva) es el núcleo del problema de seguridad. No el benchmark de redacción.

La brecha que mide SaferAI (y la que no miden los rankings)

SaferAI metió a GLM-5.2 en el mismo tipo de evaluación de riesgos que debería poner nervioso a cualquiera con dos dedos de frente: ciber ofensivo y biología de doble uso. El contraste con Claude Opus 4.7 no es sutil. GLM no rechazó ninguna de esas tareas. Opus se negó de forma tan consistente que CyberGym (el benchmark de capacidades de ciberseguridad ofensiva que OpenAI ya usó en evaluaciones previas, y que SaferAI reutiliza) ni se pudo completar con el modelo cerrado.

Lee eso otra vez. Un benchmark pensado para medir hasta dónde llega un modelo en terreno peligroso no se puede terminar con Claude porque el modelo se planta. Con GLM-5.2, el techo lo marca la capacidad del modelo, no el freno ético del sistema.

Aquí entran dos lecturas que conviven mal en el debate público:

• Lectura A: "Los abiertos ya son tan peligrosos como los cerrados."
• Lectura B: "Los cerrados están blindados y los abiertos son el salvaje oeste."

Ninguna de las dos se sostiene limpia. Far.ai encontró cientos de jailbreaks universales en modelos frontera cerrados como Grok 4.5 y Gemini 3.1 Pro: roleplaying, suplantación de autoridad, historial falso. Las defensas de los cerrados ya son frágiles cuando el atacante se empeña. No son un muro de hormigón. Son una puerta con cerradura decente y mucha gente intentando la ganzúa.

Pero en open-weight, una vez tienes los pesos, esa puerta ni siquiera está en el edificio. No hay API que te ratee. No hay capa de moderación del proveedor que se actualice el martes. No hay "lo hemos parchado en producción". El modelo es tuyo. O del que se lo haya bajado. O del que lo haya fine-tuneado quitando lo poco que molestaba.

Papadatos lo resume mejor que cualquier panel de Davos: la frontera de la capacidad no es la frontera del riesgo; hay que mirar el estado de las mitigaciones. SaferAI señala, además, que Z.ai no publicó marco de seguridad, compromisos de testeo pre-despliegue ni evaluación de riesgos para GLM-5.2. TechCrunch no obtuvo respuesta de la empresa sobre evaluaciones internas o de terceros. Ojo: eso no prueba que no hicieran nada por dentro. Prueba que, de cara a fuera, no hay nada que auditar. En un modelo que cualquiera puede copiar, la opacidad del proceso de seguridad no es un detalle de PR. Es parte del riesgo.

Por qué "ponle un system prompt bueno" es de chiste

Si has montado un bot en producción, ya sabes la tentación: "le pongo en el system prompt que no ayude a hackear ni a sintetizar nada raro y listo". Eso es confiar la seguridad al input. Es poner un cartel de "prohibido robar" en la puerta y dar por hecho que el ladrón lee la normativa.

En modelos servidos por API, al menos hay una segunda línea: filtros de salida, clasificadores, políticas que se aplican después de que el modelo haya pensado lo que haya pensado. No son perfectos (los jailbreaks universales de Far.ai existen precisamente porque no lo son) pero son algo. En open-weight local, esa segunda línea la pones tú… o no la pones nadie.

La trampa técnica es doble:

1. El conocimiento ya está en los pesos. El filtrado de datos en pre-entrenamiento puede recortar conocimiento biológico peligroso sin hundir el rendimiento general. En ciberseguridad es otra historia: es muy difícil entrenar un modelo que sea cojonudo programando y a la vez torpe atacando sistemas. El código "bueno" y el código "ofensivo" comparten demasiado esqueleto. Si le quitas demasiado, se te muere la utilidad. Si no le quitas casi nada, te queda un ingeniero de exploits con paciencia infinita.

2. Lo que no va en el checkpoint no existe para el que lo descarga. Puedes tener el mejor pipeline de seguridad del mundo en tu API. El día que sueltas los pesos bajo MIT, el usuario no hereda tu pipeline. Hereda la matriz de números. Punto.

Por eso el debate de "¿open o closed?" mal planteado es una trampa. La pregunta útil es: ¿quién asume la mitigación cuando el modelo ya no pasa por tu gateway? Mientras la respuesta sea "nadie de forma sistemática", la carrera de capacidad open-weight es también una carrera de superficie de ataque distribuida.

China, regulación y el foco que no es el tuyo

Otro ángulo que el debate occidental suele aplastar con un titular perezoso: "China no regula la IA". Falso. Graham Webster (Stanford) lo sitúa con más precisión: la regulación china de IA se ha centrado en contenido político y estabilidad social, no en riesgos catastróficos tipo ciberataques a escala o mal uso biológico. Las empresas coordinan con reguladores en privado. Hay marco. No es el marco que obsesiona a quienes miran existential risk o ransomware industrial.

Eso importa porque GLM-5.2 no nace en el vacío. Nace en un entorno donde el incentivo principal de cumplimiento no es el mismo que en un lab que publica safety cards de 80 páginas para quedar bien con el Senado de EE.UU. o con la Comisión Europea. El 17 de julio de 2026, el Center for AI Standards and Innovation de EE.UU. publicó una evaluación formal de GLM-5.2: un open-weight chino pasado por revisión gubernamental directa. Eso es inusual. También es señal de que Washington ya no trata estos modelos como curiosidad de Hugging Face, sino como objeto de inspección.

¿Significa que Europa o EE.UU. tienen resuelto el open-weight? Ni de coña. Significa que el desajuste es geopolítico y técnico a la vez: capacidades que viajan a la velocidad de un torrent, mitigaciones que viajan a la velocidad de un comité.

Y sí, la UE ya puede inspeccionar modelos, bloquear mercado y multar. Eso aprieta a quien opera en su jurisdicción y sirve modelos como servicio. Aprieta mucho menos al pdf de pesos que se descarga un equipo en un datacenter que no te va a mandar el DPIA.

La tensión que hay que resolver (sin postureo)

Contrasta las piezas y salen tres hechos que no se llevan bien si pretendes una moralina limpia:

• Capacidad: GLM-5.2 lidera open-weight en el índice de Artificial Analysis y se sitúa a un suspiro de los cerrados top en ese compuesto. SaferAI lo sitúa a meses de GPT-5.5 y Claude Opus 4.7 en ciber y bio peligrosas.
• Mitigación en API: la diferencia de rechazo entre GLM-5.2 y Claude Opus 4.7 en tareas ofensivas/bio es abismal. Los cerrados, aun así, caen ante jailbreaks universales en cantidad.
• Mitigación post-descarga: las salvaguardas del proveedor no se aplican al peso local. Eso no es opinión. Es arquitectura.

Seamos justos: el open-weight no es un capricho de cuatro idealistas. Es la única vía realista para que la infraestructura de IA no se concentre en tres APIs americanas, para que la investigación sea reproducible y para que empresas y gobiernos puedan auditar lo que corren sin depender de la buena fe de un proveedor. Jensen Huang y media industria llevan tiempo empujando esa línea, y la inferencia local será cada vez menos cosa de laboratorio de lujo. Defender los pesos abiertos como dirección de largo plazo tiene sentido técnico, de competencia y de soberanía. El problema no es la apertura. El problema es soltar un modelo que compite en la frontera de capacidades peligrosas bajo MIT sin publicar marco de seguridad ni evaluación de riesgos. Eso no es democratizar la IA. Es externalizar el riesgo a todo el que se lo baje y a todo el que se cruce con quien se lo baje.

Qué implica esto para ti si no entrenas modelos frontera

La mayor parte de la gente que lee esto no va a fine-tunear un MoE de 744B para nada. Va a usar APIs, a montar agentes, a decidir si mete un modelo local en la empresa "porque así no salen los datos". Y ahí es donde la reflexión deja de ser de salón.

Si tu argumento para local es privacidad, perfecto: mide privacidad. Pero no te inventes que "local = más seguro en todos los ejes". Local puede ser más seguro para exfiltración de prompts a un tercero y mucho menos seguro para uso indebido interno, para un empleado con acceso al endpoint o para una copia del modelo que se sale del perímetro. Son riesgos distintos. Mezclarlos es cómo se cuelan las malas decisiones de arquitectura.

Si montas producto encima de open-weight:

• Endurece en la salida, no en el sermón del prompt. Clasifica, filtra, limita herramientas, audita. El prompt es educación vial. El filtro de salida es el airbag.
• Separa capacidad de permiso. Que el modelo sepa escribir un exploit no significa que tu agente tenga red libre, credenciales amplias y shell. El modelo es el cerebro alquilado; el blast radius lo defines tú en la capa de tools.
• No asumas que "el laboratorio ya lo alineó". En cerrado, al menos hay un equipo que se come el marrón reputacional. En abierto, el marrón es tuyo el día que tu despliegue haga algo que no querías.
• Mira quién publica evaluaciones y quién no. Que un modelo saque 51 en un índice de inteligencia no te dice nada sobre su política de rechazo en CyberGym. Son ejes ortogonales. Tratarlos como el mismo ranking es el error que SaferAI está intentando tumbar.

Y si solo eres usuario de ChatGPT/Claude de toda la vida: la lección sigue siendo útil. Los jailbreaks universales existen en los cerrados. La sensación de "esto no me va a ayudar a hacer el mal" es una política del producto, no una ley de la física. Cuando el mismo tipo de capacidad vive en un fichero MIT, esa sensación se diluye del todo.

El matiz que evita el pánico inútil

Conviene no caer en el otro extremo: el de "los open-weight son bombas sueltas y hay que criminalizar la descarga". No todos los open-weight tienen el mismo perfil que GLM-5.2. No toda capacidad ciber se traduce en ataque real sin acceso, sin cadena de explotación, sin operador competente. Un modelo que te explica una técnica no te regala el acceso al hospital ni al pipeline industrial. Hay un trecho entre "el modelo no rechaza" y "el mundo arde".

Pero ese trecho se acorta cuando mezclas tres cosas a la vez: capacidad alta, negativa a rechazar, y distribución sin fricción. GLM-5.2, según el material público de SaferAI y la cobertura de TechCrunch, pisa exactamente ese cruce. El índice de Artificial Analysis te dice que además no es un juguete de nicho: es el referente abierto del momento en inteligencia general medida. Business Insider te recuerda que en el día a día aún tiene latencia y fallos ordinarios. Conviven las dos cosas. Un modelo puede ser lento sirviendo recetas y muy competente ayudando en un flujo ofensivo si no se le pone freno.

La evaluación gubernamental estadounidense de julio de 2026 apunta a que esto ya no es solo debate de researcher en Discord. Es objeto de Estado. Bien. Lo que no basta es evaluar una vez, publicar un PDF y volver al ranking de chatbot del mes.

Dejar de fingir que el archivo es inocente

El humo de este tema tiene una forma concreta: hablar de open-weight solo como filosofía de libertad y de closed solo como filosofía de seguridad. Los datos de 2026 rompen las dos estampitas. Los abiertos pillan la frontera de capacidades que nos preocupan. Los cerrados ya filtran mejor en API (a veces de forma tan agresiva que ni puedes medir el techo) pero siguen siendo jailbreakeables en masa. Y la licencia MIT no incluye un demonio de seguridad que se instala solo.

Lo que casi nadie tiene ganas de escribir es la consecuencia práctica: cada vez que la industria celebra "otro open-weight a la altura de los de pago", está celebrando también una ampliación del perímetro de gente que puede correr esa capacidad sin pasar por un filtro central. Eso puede ser bueno para la ciencia, la competencia y la soberanía tecnológica. También es un aumento neto de superficie si no inventamos mitigaciones que vivan fuera del laboratorio original: herramientas de evaluación pública, normas de publicación de riesgos, controles en la capa de despliegue empresarial, y un poco menos de fe mística en el system prompt.

No hace falta pretender que en diez años pasará X. Hace falta mirar lo que ya pasó con GLM-5.2: capacidad que se acerca, rechazos que no aparecen, marco de seguridad no publicado, y un benchmark de ciber donde el cerrado se niega y el abierto tira mil. Si con eso seguimos discutiendo solo quién gana el leaderboard de "inteligencia", estamos haciendo el gilipollas con método.

La frontera que importa ahora no es quién tiene medio punto más en el índice. Es quién puede hacer qué con el modelo cuando nadie está mirando el API log. Y esa frontera, en open-weight, empieza en el momento en que el archivo termina de descargarse.