Circa 600 ore di calcolo su GPU e circa 1.200 dollari. È quanto servirebbe, secondo una stima di Anthropic, a un team esperto che parta da zero per togliere a GLM-5.3, un modello di AI cinese, la capacità di rifiutare le richieste dannose. Il tentativo di Anthropic ne ha richieste circa 2.200 (le GPU sono i processori grafici usati per questi calcoli), per circa 4.400 dollari, in gran parte per provare varianti.

Un modello a cui il rifiuto è stato tolto si dice “abliterated”. Un modello rifiuta certe richieste perché in addestramento ha imparato a farlo, ma nel 2024 un gruppo di ricercatori, con Arditi primo autore, ha mostrato che in 13 modelli di chat open-source il rifiuto dipende da una sola direzione nello spazio interno del modello. È come in una macchina in cui un solo comando aziona il freno: tolto quello, il rifiuto non scatta più e non serve riaddestrare nulla. La parola “abliteration”, che non compare nel paper, la usa Maxime Labonne in un post su Hugging Face del giugno 2024.

Che cosa cambia lo misura Anthropic in un rapporto del 29 settembre 2026. Con 50 campioni per condizione, GLM-5.3 ha accettato richieste offensive esplicite nello 0% dei casi se la richiesta era diretta e nel 100% nella versione abliterated. Anthropic precisa che le simulazioni “are not perfect portrayals of real-world conditions”: nessun codice generato viene eseguito, quindi sono tassi di adesione e non di successo di attacchi reali.

Lo stesso rapporto misura anche il modello originale. Con una falsa copertura, cioè presentandosi come un agente autonomo di red team (il gruppo che simula attacchi), l’adesione sale al 64%, e al 92% con l’inizio del ragionamento già impostato: il rifiuto si può aggirare anche senza abliteration. Anthropic, che sviluppa modelli concorrenti, è parte in causa. Resta da capire chi ne approfitta di più, chi difende o chi attacca.

Chi cerca le falle

Una prima risposta arriva dal lato di chi le falle le cerca per segnalarle. Il 21 ottobre 2026 Wiz, un’azienda di sicurezza informatica, ha pubblicato il caso PHP2Shell, uno dei quattro casi di ottobre che ho guardato: due falle critiche in PHP, un linguaggio di programmazione usato nei siti web. Secondo Wiz erano nel codice da decenni e sono state trovate con l’aiuto di Wiz Atlas, uno strumento dell’azienda, e dei modelli Gemini 4 Argon e GPT-5.6 Sol.

Per Wiz, che racconta il proprio lavoro, il punto è la barriera. Dimostrare che quelle falle si potessero sfruttare richiedeva una catena di passaggi al limite di ciò che i ricercatori umani riuscivano a fare, e “Frontier AI models substantially reduced that barrier, turning a longstanding flaw into an exploit”.

La CISA, l’agenzia statunitense per la sicurezza informatica, ha inserito le due falle il 26 ottobre nel suo catalogo delle vulnerabilità sfruttate. Sansec, riprendendo una segnalazione di Cloudflare, riporta tentativi precoci il 21 ottobre, ma scrive che uno sfruttamento di massa è meno probabile del previsto.

Chi cerca falle, del resto, non è per forza un malintenzionato. L’RFC 1392, un glossario di Internet del gennaio 1993, chiama hacker chi ama capire a fondo come funziona un sistema, e cracker chi cerca di entrare nei sistemi senza autorizzazione.

Nel resoconto dell’intrusione subita a luglio, Hugging Face scrive che le salvaguardie (in inglese guardrail) dei modelli commerciali via API bloccavano il lavoro dei difensori, perché non distinguono chi risponde a un incidente da chi attacca. Hugging Face ospita modelli di questo tipo ed è quindi parte in causa. Per l’analisi ha usato GLM-5.2, un modello open-weight: con i pesi pubblicati e scaricabili, cosa diversa dall’open source in senso stretto.

Le versioni abliterated dei modelli cinesi, intanto, compaiono in fretta. Secondo Anthropic, diversi sviluppatori hanno pubblicato versioni abliterated di GLM-5.3 entro pochi giorni dal rilascio: per questi modelli è l’unica prova di fonte primaria che ho trovato. Per DeepSeek e Alibaba ci sono riprese. Pillitteri, un blog personale che non linka fonti primarie, scrive che le prime versioni di DeepSeek 4.1 Flash sono arrivate poche ore dopo il rilascio, e CBS News riporta che i ricercatori di Tech Against Terrorism hanno trovato versioni abliterated di un modello di Alibaba entro un giorno.

Sulle capacità c’è una fonte indipendente, il CAISI, un centro del NIST, l’istituto statunitense per gli standard e la tecnologia. Il 17 settembre 2026 ha scritto che “GLM-5.3 is the most cyber-capable open-weight model released to date”, ma che “lags the capability level of the U.S. frontier by about four months”, cioè resta indietro di circa quattro mesi rispetto alla frontiera statunitense. Quel ritardo riguarda il modello originale: la pagina non parla di abliteration e non ho trovato una misura sul modello abliterated. Secondo Anthropic, l’abliteration lascia le capacità sostanzialmente invariate.

Il caso reale e le rimozioni di Hugging Face

Un caso reale c’è, ed è di CrowdStrike, del 7 ottobre 2026. Secondo CrowdStrike, tra fine settembre e inizio ottobre un attore sconosciuto ha colpito organizzazioni finanziarie sudcoreane con ARTEX, uno strumento open source sviluppato in Cina per i penetration test (prove di intrusione), capace di agire in autonomia.

Come modello principale ha usato DeepSeek v4.1-flash, probabilmente tramite un proxy o un rivenditore di API, mentre GLM-5.3 e Grok 4.6 compaiono in altre sessioni.

Secondo CrowdStrike l’AI può permettere a un attore con fini di lucro di compiere più intrusioni in poco tempo. Ma la pagina non dice che i modelli fossero abliterated, e attribuisce l’attore a un probabile parlante cinese, con fiducia moderata e nessun gruppo noto. Ho cercato un attacco reale con un modello abliterated e non l’ho trovato, anche se la mia ricerca non è esaustiva.

Dei quattro casi, l’uso di modelli di AI è dichiarato solo per PHP: per Node.js e Brotli la pagina elenca tra i segnalatori “OpenAI Codex Security” senza dire come sia stata trovata la falla, per WordPress 7.1.4 e Tailscale non dice nulla in proposito. Per nessuno dei quattro ho trovato un legame documentato con modelli cinesi o abliterated.

Restava da capire che cosa abbia fatto Hugging Face, ed è qui che l’idea di partenza non ha retto. Ero partito dal presupposto che avesse rimosso tutti questi modelli. Le fonti dicono altro. Una rimozione è confermata: il repository penclaw-GLM-5.3-abliterated-for-offensive-cyber, dell’account Audn AI, risulta disabilitato per violazione della Content Policy, come dice la pagina del repository. Su quando sia accaduto, le fonti che ho letto non coincidono e la pagina non ha una data.

La Content Policy non nomina i modelli “uncensored” o “abliterated” e la pagina del repository non dice quale clausola sia stata applicata. Altre sparizioni segnalate online, come quella del repository di Kimi K2.7 Code, restano senza una causa nota, e per MiMo non sono riuscito a verificare nulla. Il 29 ottobre, intanto, la ricerca “abliterated” su Hugging Face dava 8.803 risultati: è il conteggio della ricerca, non un censimento, e include quantizzazioni (versioni compresse, per girare su macchine più piccole) e copie.

Hugging Face, in una nota scritta a CBS da Yacine Jernite, dice che “conducts ongoing moderation and regularly acts on datasets, models, and Spaces that go against its content policy”. Secondo la sintesi di CBS, Jernite sostiene che abliterated non vada equiparato a harmful, cioè dannoso, perché un modello che rifiuta può bloccare anche usi legittimi. Non ho trovato nessuna dichiarazione ufficiale su rimozioni specifiche o su un divieto generale.

Alla domanda da cui sono partito le fonti non permettono di rispondere. Documentano l’aiuto a chi cerca falle, con modelli statunitensi (il caso PHP) e nei test controllati su GLM-5.3, e un caso reale dal lato dell’attacco di cui la pagina non dice se i modelli fossero abliterated. Resta aperto cosa accadrà se le versioni senza rifiuti diventeranno più facili da trovare o da fermare. Non resta che vedere come Hugging Face, i laboratori e chi difende useranno questi strumenti nei prossimi mesi.

Una precisazione prima delle fonti: la redazione con cui lavoro usa modelli Anthropic, e Anthropic è tra le fonti di questo articolo. Per questo ne ho attribuito ogni affermazione e ho segnato dove è parte in causa.

Fonti

Consultate il 29 ottobre 2026. Segno quando una fonte è primaria, una ripresa o di parte.

  1. Anthropic Frontier Red Team, “GLM-5.3 and the spread of advanced cyber capabilities”, 29 settembre 2026. Fonte primaria e parte in causa. https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
  2. Arditi, Obeso, Syed, Paleka, Panickssery, Gurnee, Nanda, “Refusal in Language Models Is Mediated by a Single Direction”, arXiv:2406.11717, giugno 2024. https://arxiv.org/abs/2406.11717
  3. Maxime Labonne, “Uncensor any LLM with abliteration”, Hugging Face, 13 giugno 2024. Non riporto il link: è un tutorial sul procedimento.
  4. Wiz Research, “PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet”, 21 ottobre 2026. Fonte primaria e parte in causa. https://www.wiz.io/blog/php2shell-php-rce
  5. CISA, “CISA Adds Two Known Exploited Vulnerabilities to Catalog”, 26 ottobre 2026. https://www.cisa.gov/news-events/alerts/2026/10/26/cisa-adds-two-known-exploited-vulnerabilities-catalog
  6. Sansec, “PHP2Shell”, 21 ottobre 2026. Ripresa di una segnalazione di Cloudflare. https://sansec.io/research/php2shell
  7. RFC 1392, “Internet Users’ Glossary”, gennaio 1993. https://www.rfc-editor.org/rfc/rfc1392
  8. Hugging Face, “Security incident disclosure – July 2026”, 16 luglio 2026. Fonte primaria e parte in causa. https://huggingface.co/blog/security-incident-july-2026
  9. Pasquale Pillitteri, “DeepSeek 4.1 Flash Uncensored, Abliterated Builds Hit HuggingFace Hours After Release”, data sulla pagina 13 settembre 2026 (probabilmente modificata dopo). Ripresa. https://pasqualepillitteri.it/en/news/16070/deepseek-41-flash-uncensored-abliterated-builds
  10. CBS News, Lauren Fichten, “Researchers asked AI models to help with terrorist operations. Here’s how they responded.”, 9 ottobre 2026. Ripresa del rapporto di Tech Against Terrorism. https://www.cbsnews.com/news/researchers-ai-terrorist-operations-responded/
  11. NIST CAISI, “CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities”, 17 settembre 2026. Fonte primaria, indipendente. https://www.nist.gov/news-events/news/2026/09/caisis-assessment-zais-glm-53-cyber-capabilities
  12. CrowdStrike, “Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance”, 7 ottobre 2026. Fonte primaria. https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/
  13. Node.js, “Wednesday, October 21, 2026 Security Releases”, 21 ottobre 2026. https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
  14. WordPress.org News, Aaron Jorbin, “WordPress 7.1.4”, 28 ottobre 2026. https://wordpress.org/news/2026/10/wordpress-7-1-4/
  15. Erica Windisch, Cyberdione Labs, “Tailworm”, rapporto su Tailscale v1.104.2 e headscale v0.29.5, aggiornato il 27 ottobre 2026. https://tailworm.com/
  16. Hugging Face, pagina del repository penclaw-GLM-5.3-abliterated-for-offensive-cyber (account audnai), senza data sulla pagina. Fonte primaria. Non riporto il link, perché il repository è offensivo.
  17. Hugging Face, Content Policy, in vigore dal 10 aprile 2025. https://huggingface.co/content-policy
  18. Hugging Face, ricerca “abliterated”, 8.803 risultati il 29 ottobre 2026 (la pagina non ha data assoluta). https://huggingface.co/models?search=abliterated
  19. Pasquale Pillitteri, “Hugging Face bans first uncensored models, Kimi K2.7 Code vanishes”, 25 ottobre 2026. Ripresa di un post su X. Il titolo parla di divieto, ma l’articolo stesso descrive rimozioni una repository alla volta e la lettura di un divieto generale come non supportata per intero. https://pasqualepillitteri.it/en/news/27102/hugging-face-bans-uncensored-models-kimi-k27-code
  20. Pasquale Pillitteri, “Hugging Face Pulls GLM-5.3 Build Made for Cyberattacks”, data sulla pagina 02/10/2026, formato non esplicito. Ripresa senza fonti primarie. https://pasqualepillitteri.it/en/news/20174/glm53-huggingface-takedown-cyber-en