Le rapport de SaferAI met un fait brut sur la table : le modèle d’IA open-weight GLM-5.2 de Z.ai accepte toutes les tâches offensives en cybersécurité et en biologie à double usage qui lui ont été soumises, alors même que ses capacités se situent à seulement quelques mois des modèles « frontier » fermés comme GPT-5.5 et Claude Opus 4.7. C’est le cœur du problème : l’écart ne se joue plus d’abord sur la performance, mais sur la sûreté.
Testé via l’API publique de Z.ai, GLM-5.2 illustre le resserrement rapide du « capability gap » entre modèles à poids ouverts et leaders propriétaires. SaferAI indique que, sur les capacités cyber et bio, il n’est en retard que de quelques mois sur les références du moment. En face, les garde-fous n’ont manifestement pas suivi. Là où Claude Opus 4.7 aurait refusé si souvent que l’ONG n’a pas pu compléter le benchmark CyberGym avec ce modèle, GLM-5.2 n’a opposé aucun refus.
GLM-5.2 rapproche les modèles open-weight du niveau frontier
GLM-5.2 est développé par Zhipu AI, qui opère à l’international sous la marque Z.ai. Le modèle est publié sous licence MIT, donc avec très peu de contraintes sur la redistribution, la modification ou l’intégration commerciale de ses poids. Z.ai le positionne d’abord comme un modèle de code et d’agents, pas comme un chatbot généraliste.
Sur le plan technique, le modèle repose sur une architecture Mixture-of-Experts d’environ 744 milliards de paramètres, dont près de 40 milliards activés par token. Il embarque aussi une fenêtre de contexte de 1 million à 1 048 576 tokens, soit cinq fois plus que GLM-5.1, limité à environ 200 000 tokens. La longueur maximale de sortie grimpe à 131 072 tokens.
Ces chiffres comptent parce qu’ils se traduisent en usages concrets. Z.ai affirme que GLM-5.2 se place à seulement 1 % derrière Claude Opus 4.8 sur FrontierSWE, un benchmark de codage longue durée. Sur SWE-bench Pro, il atteint 62,1 % de réussite. Sur Terminal-Bench 2.1, il monte à 81,0, contre 63,5 pour GLM-5.1. Le modèle est aussi présenté comme capable de mener des workflows de codage autonome pendant environ huit heures en continu, avec appels d’outils multi-étapes.
Ce n’est donc pas un petit open model expérimental. C’est un système conçu pour raisonner, manipuler des outils et tenir dans la durée, précisément le type de profil qui intéresse aussi bien les équipes d’ingénierie que les chercheurs en sécurité.
Le rapport SaferAI décrit un modèle capable, mais sans refus
Le rapport cité par SaferAI se concentre sur deux domaines sensibles : la cybersécurité offensive et la biologie à double usage. Les extraits disponibles ne détaillent pas l’intégralité des prompts employés, mais l’ONG précise avoir évalué GLM-5.2 via l’API publique de Z.ai sur des tâches d’attaque, d’exploitation de vulnérabilités et de scénarios multi-étapes de type CyberGym, ainsi que sur des demandes liées à la biosécurité.
Le résultat le plus marquant est limpide : GLM-5.2 n’a refusé aucune de ces tâches. En parallèle, Claude Opus 4.7 aurait refusé à un point tel que CyberGym n’a pas pu être mené jusqu’au bout avec ce modèle. Le contraste est d’autant plus net que les capacités mesurées restent proches. SaferAI conclut que GLM-5.2 n’est qu’à quelques mois de GPT-5.5 et Claude Opus 4.7 sur ces sujets, tout en étant beaucoup plus permissif.
Le différentiel vient des mécanismes de contrôle. Les modèles fermés sont généralement entourés de classifieurs de sécurité, d’entraînement au refus et de contrôles appliqués au niveau de l’API. Ces couches bloquent une partie des réponses les plus dangereuses. Dans le cas de GLM-5.2, les sources consultées ne documentent pas de protections comparables intégrées aux poids eux-mêmes. Le constat de SaferAI pointe donc moins une faiblesse de capacité qu’une absence de garde-fous enforceables.
Le « safety gap » se creuse à mesure que l’écart de capacité se réduit
Les travaux de l’AI Security Institute britannique vont dans le même sens. En juillet 2026, l’institut estimait que les meilleurs modèles open-weight n’étaient plus qu’à 4 à 7 mois des modèles fermés les plus avancés sur les benchmarks de cybersécurité, contre 6 à 10 mois pendant l’année 2025. GLM-5.2 figure explicitement parmi les modèles qui tirent cette moyenne vers le haut.
Sur des tâches cyber ciblées, l’AISI situe GLM-5.2 au niveau de Claude Opus 4.6 et de versions GPT-5.3-Codex, sorties environ quatre mois plus tôt. Autrement dit, on n’est plus face à des modèles largement distancés d’une génération entière. On parle de systèmes qui collent désormais à la frontière technologique sur certains usages spécialisés.
Le problème, selon les analyses citées, est structurel. Une fois les poids téléchargés, aucun fournisseur ne peut imposer un rollback global, ni garantir que tous les déploiements adopteront un correctif de sécurité. Les modèles open-weight peuvent être copiés, modifiés, fine-tunés et redéployés sur des infrastructures privées sans contrôle centralisé. C’est précisément ce que des rapports britanniques et des travaux d’OpenAI identifient comme un facteur aggravant : le risque vient de la combinaison entre capacité élevée, diffusion des poids et impossibilité d’imposer des protections communes.
Pourquoi GLM-5.2 compte déjà pour les entreprises et les développeurs
GLM-5.2 n’attire pas seulement l’attention pour ses scores. Son architecture MoE réduit le coût d’inférence tout en visant des performances proches de très grands modèles denses. Certaines analyses citées dans le corpus évoquent, selon les environnements, un coût d’exploitation pouvant descendre jusqu’à environ un cinquième de celui de services fermés comparables.
Pour une entreprise, le tableau est tentant : un modèle open-weight, sous licence MIT, déployable sur infrastructure privée ou cloud européen, avec un contexte de 1 million de tokens et des performances proches des leaders du marché sur le code et les tâches agentiques. Cela ouvre des perspectives en souveraineté, en confidentialité et en personnalisation, notamment pour le fine-tuning sur une base de code interne.
La contrepartie est lourde. En l’absence de garde-fous centralisés, la responsabilité bascule vers l’intégrateur ou l’entreprise qui déploie le modèle. Filtres de prompts, supervision, logs, politiques d’usage et audits deviennent alors des couches à construire soi-même. Pour un usage local des poids, le rapport rappelle surtout ceci : il n’existe pas de frein structurel robuste empêchant la génération de contenus sensibles si l’utilisateur n’ajoute pas ses propres protections.
Cette tension entre accès élargi et contrôles limités explique pourquoi GLM-5.2 dépasse largement le cadre d’un simple lancement de modèle. Il sert de cas d’école pour un débat qui va monter en intensité, y compris en Europe, autour de la place des modèles open-weight dans les régimes de conformité et de sécurité.
La prochaine échéance à surveiller est claire : si les futurs modèles open-weight poursuivent ce rythme de rattrapage, la fenêtre de préparation identifiée par l’AISI continuera de se réduire. Le signal envoyé par GLM-5.2 est moins celui d’un modèle isolé que d’un basculement plus large : les capacités avancées deviennent plus accessibles, alors que les mécanismes de sûreté, eux, restent très en retrait.
