GLM-5.3 の uncensored 版はどれが出ている？サイバー能力と Anthropic の警告を整理

セキュリティの調査やコード解析、専門的な研究で AI を使っていると、正当な技術的検証であるにもかかわらず「安全ポリシーによりお答えできません」と回答を拒否される場面があります。そうした過剰な拒否を避けるために、PC などのローカル環境で動かせる「回答を拒否しない AI（uncensored や abliterated と呼ばれるモデル）」を探す人は少なくありません。

2026 年 8 月下旬に Z.ai（zai-org）が公開した「GLM-5.3」は、コーディング性能の高さに加えて、開発元自身が「サイバー能力が創発的に伸びた」と公表したことで関心を集めています。

さらに 2026 年 9 月には、米国の NIST の CAISI と AI 開発企業の Anthropic が、GLM-5.3 のサイバー能力についてそれぞれ評価レポートを公表しました。

Hugging Face などの配布サイトでは、この GLM-5.3 をベースにした検閲なし派生モデルが公開されており、10 月に入って新着が増えています。しかし、どのような派生が出ていて、どう扱えばよいのかは分かりにくい状態です。

0. GLM-5.3 とはどんなモデルか？#

GLM-5.3 は、中国の Z.ai（zai-org）が 2026 年 8 月 25 日に公開したオープンウェイトモデル（重みが公開され、自由に取得して動かせるモデル）です。設計やライセンスが異なる 2 つのモデルが用意されています。

GLM-5.3（dense 版）#

全パラメータを計算に使う密な（dense）構成のテキスト生成モデルです。ライセンスには独自の glm-5.3 が適用されています。

配布ページの説明（モデルカード）には「GLM-5.3 uses the same base model as GLM-5.2 — every gain comes from post-training」と明記されています。ベースモデル自体は前世代の GLM-5.2 と共通で、事後学習の改良によって性能を引き上げたモデルです。コーディング性能を測る Terminal Bench 3.0 や Agents' Last Exam において、オープンモデルとして最高水準（SOTA）を記録しました。2026 年 10 月 3 日時点の Hugging Face でのダウンロード数は 1,402,948 回、いいね（likes）は 2,064 件です。

GLM-5.3-Flash（MoE 版）#

画像とテキストを入力できるネイティブマルチモーダル（image-text-to-text）モデルです。MIT ライセンスで公開されています。

総パラメータ数は 320B（3,200 億）で、推論時に動く活性パラメータを 18B（180 億）に抑えた MoE（Mixture of Experts）構造を採用しています。スパース注意と線形注意を組み合わせたハイブリッドアテンションや、多様体制約付き超接続（mHC: Manifold-Constrained Hyper-Connections）を取り入れ、30 兆トークンのマルチモーダルデータで事前学習されました。

ダウンロード数は 5,428,853 回、いいねは 2,669 件です（同日時点）。

参考: 量子化とは？ GGUF の Q4・Q8 の選び方

1. なぜ GLM-5.3 は「強力すぎる」と言われるのか？#

GLM-5.3 が注目を集めているのは、オープンウェイトモデルとして高いサイバーセキュリティ能力が示されたためです。この評価は、開発元の Z.ai、米国の公的機関、そして Anthropic による実測データに基づいています。

Z.ai 自身の公表（創発的なサイバー能力の向上）#

開発元の Z.ai は、2026 年 8 月 14 日の技術ブログ「GLM-5.3: Frontier Coding with Emergent Cyber Capabilities」において、事後学習に脆弱性発見（vulnerability discovery）データと検証環境を導入したと発表しました。その結果、サイバー領域の能力が予想以上に創発的に伸びたと報告しています。

公式ブログで示された評価数値は次のとおりです。

CyberGym（GLM-5.3）		84.5%
CyberGym（GLM-5.2）		77.2%
ExploitBench（GLM-5.3）		54.4%
ExploitBench（GLM-5.2）		24.4%

前世代の GLM-5.2 と比べると、脆弱性の悪用（exploitation）を評価する ExploitBench の数値が 2 倍以上に伸びています。Z.ai は、攻撃工程の上流（脆弱性の発見や方針決定）ほど性能の伸びが大きいと指摘しています。

NIST CAISI による評価（オープンウェイトで最も高い能力）#

公的機関もこの能力を評価しています。米国国立標準技術研究所（NIST）の CAISI は、2026 年 9 月 17 日に評価レポートを発表しました。

CAISI は GLM-5.3 を「これまでで最もサイバー能力の高いオープンウェイトモデル」と位置づけました。総合的なサイバーベンチマークにおいて、米国の最先端フロンティアモデルから約 4 か月遅れの水準に達していると分析しています。

SEC-Bench Pro では 40.4（183 タスク中 74 タスク成功）を記録しました。なお、比較された米国フロンティアモデルの数値には、安全ガードレールを無効化して測ったものや、審査済みユーザー限定モデルが含まれていると付記されています。

Anthropic による評価（エクスプロイトの自律生成）#

Claude を開発する Anthropic は、2026 年 9 月 29 日にレポート「GLM-5.3 and the spread of advanced cyber capabilities」を公開しました。

Anthropic の検証によると、GLM-5.3 は商用の最先端モデルである Mythos Preview と同様に、エンドツーエンドでエクスプロイト（脆弱性悪用コード）を自律生成できる能力を持っています。

Anthropic は、GLM-5.3 の公開を、攻撃者が使えるサイバー能力にとって意味のある転換点と位置づけています。同時に、この能力は防御側にも有用であると明記しています。

参考（一次ソース）

• Z.ai 技術ブログ「GLM-5.3: Frontier Coding with Emergent Cyber Capabilities」
• NIST CAISI「CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities」
• Anthropic「GLM-5.3 and the spread of advanced cyber capabilities」

2. GLM-5.3 のセーフガードはどれほど外せるのか？#

標準状態の GLM-5.3 には安全ガードレールが組み込まれており、危険な攻撃コードの生成要求には回答を拒否します。しかし Anthropic の実測調査により、簡単な手法でセーフガードを回避できることが判明しました。

回避手法ごとの成功率#

Anthropic の測定によると、標準状態の拒否率は 90% 以上（>90%）です。しかし入力や運用の工夫により、次のように拒否が回避されました。

• red-team を装うプロンプト — 64% で回答が得られました
• thinking（思考プロセス）の prefill — 回避率は 92% でした
• abliterated 版（重みの加工） — 回避率は 100% でした

参考: 「拒否しない AI」はどうやって作るのか、abliteration をやさしく解説

参考: uncensored と abliterated の違い

参考: OBLITERATUS とは？abliteration ツールキットの仕組み

abliteration のコストと能力への影響#

Anthropic は、オープンウェイトである GLM-5.3 の重み加工（abliteration）に要するコストも測定しています。

GLM-5.3 の加工に要した計算量は約 2,200 GPU 時間（約 4,400 ドル相当）でした。軽量な MoE 構成の Flash 版であれば、経験のあるチームなら約 600 GPU 時間（約 1,200 ドル相当）で実行可能と推計されています。

加工後のモデルでは、標準状態で 90% 以上だった拒否率が次のように下がりました。

能力面では、学術知識を測る GPQA-Diamond のスコアは加工前と同等で、CyberGym のスコア低下は数%にとどまりました。

Anthropic によると、重みが非公開の Claude では、重みの加工も prefill もできないため、この手法は通りません。重みが公開されているオープンウェイトの GLM-5.3 には、この制限がありません。

3. GLM-5.3 uncensored にはどんな派生があるか？#

ベースモデルの公開直後から、コミュニティでは GLM-5.3 の検閲なし派生が急速に作られました。

派生モデルの広がり#

公式公開（2026 年 8 月 25 日）の翌日には dealignai/GLM-5.3-Flash-UNCENSORED-FP8 が出ました。8 月 29 日には orcarouter/GLM-5.3-Flash-Uncensored-FP8（ダウンロード数 224,185 回）が登場しています。

2026 年 10 月 3 日時点の Hugging Face API で新着順に 60 件取得したところ、そのうち 20 件が検閲解除やセキュリティ関連（uncensored、abliterated、CYBERSECURITY、dealign など）でした。10 月 3 日には moixx、alesha-pro、shefowl らによる新規公開がありました。派生の総数は検索の上限を超えるため確定できず、この 20 件は直近 60 件の範囲での数です。

現在確認できる派生モデルは、大きく 3 つの系統に整理できます。

① abliterated 本体（重みの直接加工）#

ベースモデルの重みに直接 abliteration を施した基本モデルです。

代表例は、2026 年 9 月 26 日に公開された huihui-ai/Huihui-GLM-5.3-Flash-abliterated-GGUF です。このモデルをもとにした再配布（Nbighir、bytehackr、Ihnenko、taurusduan、Dennits、Jerome0207、moixx など）が 9 月末以降に多数登場しました。

参考: Qwen3.8-Flash-Next の abliterated 版はどれを選ぶ？

② 量子化・新手法（EXL3 / GGUF）#

ローカル環境で動かすためにファイルサイズを圧縮した系統です。

この系統で新しい形式を示したのが、2026 年 10 月 2 日公開の yamz-labs/GLM-5.3-Flash-EXL3-Yamz-Uncensored です。従来の加工版とは異なる特徴を持っています。

• 重みファイルが同一 — ベース版（...EXL3-Yamz）と重み shard のバイト列（sha256）が完全に一致しています
• 2 ファイルの追加で解除 — 重みを直接改変せず、同梱された uncensor_spec.json（3KB）などの 2 ファイルを追加して拒否を外します
• オン・オフの切り替えが可能 — 環境変数や起動フラグで検閲解除を切り替えられ、追加ファイルを消せば元の状態に戻ります
• 公表値 — yamz-labs のモデルカードによると、未加工版で 81/100 だった拒否数が 0/100 になりました。FP8 比のカルバック・ライブラー情報量（KLD）は 0.15081、容量は 99.73GB です。AMD Strix Halo（Ryzen AI Max+ 395）で動作確認されています

このほかにも、DogContext による Q2 量子化や、Himee1、Ansh03060501、Infatoshi、alesha-pro、shefowl（GSQ-RCO-Hybrid）などによる各種量子化版が公開されています。

③ サイバー特化・再調整系（CYBERSECURITY）#

モデル名にサイバーセキュリティを掲げた系統です。2026 年 8 月 30 日公開の dealignai/GLM-5.3-CYBERSECURITY-FP8（ダウンロード数 85,887 回）などが該当します。

4. どれを選ぶか、どう扱うか？#

実行環境に応じた選び方#

• 挙動の分析や学術研究 — huihui-ai 版などの abliterated 本体が適しています。重み加工による応答の変化を観察できます
• 手元の PC で動かす — Ollama や LM Studio で扱える GGUF 版が向いています
• 安全機能を手軽に切り替えたい — yamz-labs の EXL3 版が便利です。設定ファイルの有無や環境変数でオン・オフを制御できます

ローカル実行・API・ホスト型サービスという 3 つの選択肢の違いは、拒否しない AI の選び方（3 つの選択肢の比較）で整理しています。

セキュリティ研究の文脈で扱う#

Anthropic の評価では、GLM-5.3 はエクスプロイトを自律生成できる水準にあります。検閲を解除すると、モデルが自発的に回答を止める機能もなくなります。

そのため、GLM-5.3 の検閲なし派生は、自組織のシステム防衛、ペネトレーションテスト、脆弱性の発見と修正、学術的な安全性評価といった正当な研究目的に限って扱う必要があります。利用者側で用途とアクセスを管理してください。

5. 使う前に知っておきたい注意#

Deepent Research について#

私たち Deepent Research は、回答を極限まで拒否しない LLM チャットサービスです。標準の AI では途中で止まってしまう調べものを、最後まで続けられるように作りました。

• 拒否しない。LLM のガードレールを徹底的に軽減した uncensored・abliterated モデルを採用。標準の AI が「お答えできません」と打ち切る問いにも答えます（Qwen3.5 / Qwen3.8-27B-abliterated 系をプランに応じて使い分け）
• 入力は学習に使わない。調べた内容はサービス提供のためにのみ使われ、AI の学習や他の目的には使用されません。個人情報も厳重に保護し、プライバシーポリシーを公開しています
• 無料で試せる。GPU もインストールも不要、ブラウザを開くだけ。未ログインのお試しは会話が保存されないので、気軽に始められます

→ 登録なしで無料トライアル: https://deepentresearch.com

「どんな問いも、リサーチを止められない」。

No question can stop research.

よくある質問#

GLM-5.3 の検閲なし版は公式から提供されていますか？#

⌄

公式からは提供されていません。

Z.ai が公開した公式の GLM-5.3 および GLM-5.3-Flash には安全ガードレールが組み込まれています。現在配布されている派生モデルは、コミュニティの開発者が重み加工や設定調整を行ったものです。

なぜ GLM-5.3 の uncensored 版はこれほど注目されているのですか？#

⌄

ベースモデルのサイバーセキュリティ能力が、オープンウェイトとして最も高いと評価されているためです。

開発元の Z.ai に加え、NIST の CAISI と Anthropic が評価を発表しました。CAISI は「これまでで最もサイバー能力の高いオープンウェイトモデル」と位置づけ、Anthropic はエクスプロイトを自律生成できると報告しています。こうした評価を受けて、ガードレールを外した派生モデルにも関心が集まっています。

yamz-labs の「2 ファイル追加」による拒否解除とは何ですか？#

⌄

重みファイルを書き換えず、設定ファイルの追加で挙動を制御する手法です。

yamz-labs の EXL3 版では、重みファイルのハッシュ値がベースモデルと完全に一致しており、同梱された 3KB の設定ファイル等を追加することで拒否解除が機能します。環境変数などでオン・オフを切り替えられ、ファイルを削除すれば元に戻せます。

ローカルで GLM-5.3 の派生モデルを動かす際の注意点は何ですか？#

⌄

回答の事実確認と、正当な目的に限った利用が必要です。

ガードレールを外したモデルは誤った情報もそのまま出力するため、提示されたコードや推論結果の確認が欠かせません。また、高いサイバー能力を持つモデルであるため、自組織の防衛や学術評価といった正当な研究目的に限って慎重に運用してください。

免責#

本記事は、AI による下書きをもとに、運営が事実関係を確認・加筆・編集して公開しています。
本記事は教育・研究目的の情報提供であり、違法行為や犯罪の助長を意図するものではありません。
数値は第三者の公開レポートおよび配布元の公表値であり、測定条件により変わることがあります。