El debate sobre los modelos open-weight apunta al blanco equivocado. GLM 5.3 revela el problema real

Nathan Lambert retoma su defensa de los modelos open-weight tras la sucesión de vulnerabilidades graves de octubre. Sostiene que el debate sigue la variable equivocada: en lugar del tipo de modelo, debería examinar toda la cadena, desde el hallazgo de un fallo hasta la capacidad del atacante y la velocidad de la defensa.

Lambert mantiene su apuesta, pero los datos de Firefox la vuelven más precisa

Lambert escribe que las pruebas públicas todavía no muestran un salto brusco en los daños causados por modelos open-weight. A su juicio, importan más la capacidad de los modelos, su difusión, el coste de cómputo y quién los utiliza realmente. También reconoce una gran incertidumbre y admite que los incidentes de octubre le hacen sostener su pronóstico con menos tranquilidad.

Epoch AI aportó un contrapeso concreto. Sus investigadores hicieron que GLM 5.3 explotara el patch gap, el intervalo entre la publicación de una corrección y su llegada a los usuarios. El modelo construyó una web capaz de enviar un archivo desde el ordenador de un usuario de Firefox con solo visitarla. El ataque funcionó contra 6 versiones publicadas entre el 17 de septiembre y el 26 de octubre.

Una vez preparado el entorno, cada ataque exitoso costó unos 1.000 dólares por versión. El intento más rápido tardó 12 horas y los investigadores daban al modelo hasta 48 horas. La cadena también utilizó un fallo hasta entonces desconocido que Mozilla corrigió en Firefox 159.0, publicado el 27 de octubre.

Los defensores necesitan ver toda la cadena, no la etiqueta del modelo

El argumento más sólido de Lambert se refiere al reparto del trabajo. Descubrir una vulnerabilidad no ataca a nadie por sí solo. El atacante debe elegir el objetivo, montar la cadena, entregarla a la víctima y superar otras protecciones. El defensor debe encontrar el fallo, corregirlo, distribuir la actualización y lograr que los usuarios la instalen.

La diferencia entre un API y los pesos abiertos sigue importando. Quien opera un modelo open-weight puede retirar los guardrails y el proveedor deja de ver las consultas. Un API cerrado puede ser más fácil y a menudo más barato de usar, lo que acelera la difusión de sus capacidades. Por eso, a un equipo de seguridad le sirve más medir el tiempo entre parche y exploit, el coste de un ataque repetible y la adopción de actualizaciones que discutir sobre una sola categoría de modelos.

Un experimento no demuestra ni seguridad ni catástrofe

El resultado de Epoch AI es serio, pero mide un experimento preparado. Los investigadores construyeron el entorno, eligieron el objetivo y facilitaron al modelo el material público relevante. El programa completo costó más de 100.000 dólares, mientras que la cifra de 1.000 dólares describe el coste marginal después de montar el sistema. El ataque también necesitó una segunda vulnerabilidad, hasta entonces desconocida, que ya ha sido corregida.

Lambert, por su parte, apoya parte de su argumento en la escasez de daños atribuidos públicamente. Esa ausencia es un indicador débil porque las víctimas y los investigadores a menudo ignoran qué modelo usó el atacante. Los datos disponibles no permiten declarar ganador a ningún bando. Sí muestran que un modelo open-weight montó un exploit chain complejo sin dirección humana continua.

La investigación forense, el coste y la velocidad de parcheo decidirán

Los próximos meses deben aportar mejores mediciones de incidentes reales. Será necesario distinguir entre pesos abiertos y API comerciales, cuantificar el trabajo humano requerido y comprobar si el modelo acortó el intervalo entre una corrección publicada y su explotación.

Los defensores afrontan la segunda prueba. Si las empresas aceleran la distribución de parches, separan los cambios de seguridad de las pistas públicas y usan los mismos modelos para encontrar fallos, el equilibrio puede mantenerse. Si el coste de atacar sigue cayendo y los parches llegan tarde, la licencia del modelo será una nota al pie de una factura creciente.

El veredicto de Lilith

Washington discute por la etiqueta de la caja mientras el atacante cuenta las horas entre una corrección de Firefox y su instalación. Quien acorte ese intervalo ganará más que otra ronda del debate sobre open weight.