GLM-5.3 laat zien dat open-weight modellen inspectie bieden maar safeguards wijzigbaar maken

De keuze tussen een open-weight en een gesloten AI-model draait niet om welk model beter presteert, maar om wat je onafhankelijk kunt auditen. Open modellen bieden inspectie en lokale uitvoering, maar maken safeguards wijzigbaar; gesloten modellen houden beschermingslagen centraal, maar beperken externe controle en vergroten leveranciersafhankelijkheid.

Op 17 september 2026 publiceerde het Center for AI Standards and Innovation (CAISI) van het Amerikaanse normalisatie-instituut NIST een beoordeling van de cybercapaciteiten van Z.ai's open-weight model GLM-5.3. CAISI noemde het model op dat moment het meest cybercapabele publiek uitgebrachte open-weight model, testte het op vier cyberbenchmarks en rapporteerde prestaties, benchmarkcondities en betrouwbaarheidsintervallen. Dat maakt een abstracte discussie concreet: een overheidsinstituut meet wat een publiek beschikbaar model kan en legt de meting reproduceerbaar vast.

Wat stelden NIST en Anthropic precies vast over het open-weight model GLM-5.3?

NIST/CAISI stelde vast dat GLM-5.3 op cyberbenchmarks hoog scoorde onder publiek uitgebrachte open-weight modellen, met vergelijking tegen Amerikaanse en Chinese modellen. Anthropic voegde daar op 29 september 2026 een eigen red-teamanalyse aan toe. Beide bronnen beschrijven testresultaten, geen universeel oordeel dat open modellen onveilig zijn.

In een aanvullende analyse van het Frontier Red Team van Anthropic beoordeelde het bedrijf GLM-5.3 op exploitontwikkeling en het omzeilen van safeguards. In gesimuleerde, geïsoleerde tests kon het model volgens Anthropic end-to-end exploits ontwikkelen. Belangrijk is dat dit testomstandigheden zijn, niet een vastgestelde praktijk. Anthropic wijst erop dat open gewichten modificatie van de beschermingslagen mogelijk maken: wie het model lokaal draait, kan de ingebouwde waarborgen aanpassen.

Waarom maken open gewichten veiligheidsmaatregelen aanpasbaar en daardoor omzeilbaar?

Bij een open-weight model krijgt de gebruiker de modelparameters zelf in handen. Die kunnen lokaal worden gedraaid, aangepast en gefinetuned. Juist die vrijheid betekent dat de safeguards die de maker meelevert, door een derde kunnen worden verwijderd of veranderd.

Hier zit de kern waar beide onderzoeken naar wijzen. Bij een gesloten model via een API blijft de veiligheidslaag bij de aanbieder; die kan safeguards afdwingen en updaten. Bij een open-weight model is dat niet gegarandeerd. Naar onze inschatting heeft dit een direct gevolg voor auditwaarde: een beoordeling van het oorspronkelijke model bewijst niet dat een lokaal gefinetunede of gequantiseerde versie zich hetzelfde gedraagt. Een geslaagde audit van het upstreammodel is dus geen bewijs voor het model dat feitelijk in productie draait.

Welk verschil in auditbaarheid bestaat er tussen open-weight en gesloten modellen?

Open distributie vergroot de inspecteerbaarheid, maar "open-source" betekent niet automatisch volledige transparantie. Een systematische literatuurstudie van de Britse ministeries voor digitale zaken en voor wetenschap maakt dat scherp: open-source AI is geen eenduidige categorie.

Die review over cybersecurityliteratuur rond open-source software en AI stelt dat code, gewichten, trainingsdata, pijplijnen en tooling afzonderlijk moeten worden beoordeeld. Open-weight is niet hetzelfde als volledig open-source. Risico's als dataset poisoning, weight tampering, ontbrekende provenance en onvolledige documentatie leveren specifieke auditproblemen op, en de academische evidence base voor upstream-governance is volgens de studie beperkt. Het Stanford Institute for Human-Centered AI (HAI) vult dit aan: zichtbare gewichten betekenen niet dat trainingsdata, trainingscode of modelontwikkeling controleerbaar zijn, terwijl gesloten modellen risico's van concentratie en afhankelijkheid meebrengen.

De vergelijking per dimensie:

• Inspectie: Onze analyse: open-weight biedt doorgaans inzage in parameters; gesloten modellen beperken externe inspectie doorgaans tot wat de aanbieder vrijgeeft.
• Lokale uitvoering: open-weight kan on-premise draaien; wanneer een gesloten model via een externe API wordt aangeboden, gaan prompts naar de dienst van de aanbieder.
• Controle over safeguards: bij open-weight ligt die bij de gebruiker en is dus wijzigbaar; bij gesloten modellen bij de aanbieder en centraal afdwingbaar.
• Provenance en trainingsinformatie: bij beide typen vaak onvolledig; zichtbare gewichten leveren geen dataherkomst.
• Afhankelijkheid: Onze analyse: open-weight kan leveranciersbinding verminderen, terwijl gesloten modellen die afhankelijkheid doorgaans vergroten.

Wat betekent deze beoordeling voor bestuurders, juristen en CISO's die een model kiezen?

Onze analyse: omdat een lokaal gefinetunede open-weight versie ander gedrag kan vertonen dan het upstreammodel, verliest een eenmalige leveranciersaudit zijn waarde voor de versie die daadwerkelijk draait; daarom moet de CISO vastleggen dat elke audit geldt voor één exacte modelhash en versie, en de audit herhalen na elke fine-tuning, quantisatie of toolwijziging. Omdat gesloten modellen vertrouwelijke prompts naar een externe dienst sturen, ontstaat voor advocaten en artsen een verwerkings- en geheimhoudingsvraag die vóór ingebruikname contractueel moet zijn geregeld; daarom hoort in het inkooptraject nu een clausule over dataretentie, logging en subverwerkers, met de route van de data per verwerkingsstap. Omdat NIST en Anthropic alleen testresultaten en geen universele rangorde leveren, mag een bestuurder een leverancier niet afrekenen op "open is onveilig" of omgekeerd; daarom hoort de modelkeuze te worden onderbouwd met de concrete auditbaarheid die past bij de eigen gevoeligheid van de gegevens. En omdat de evidence base voor upstream-governance beperkt is, kan een organisatie niet leunen op het label "open-source"; daarom moet de jurist of inkoper afzonderlijk om gewichten, code, trainingsdata-informatie, provenance, fine-tuninggeschiedenis, evaluatieharnas en licentie vragen voordat een contract wordt getekend.

De praktische vertaling daarvan is een reproduceerbaar auditprotocol voor AI-governance dat niet stopt bij het model.

Hoe audit ik model, configuratie, dataherkomst en gebruiksomgeving reproduceerbaar?

Een verdedigbare audit toetst niet alleen het model, maar de hele keten: welk model, met welke configuratie, waar het draait en wat het gedrag feitelijk is. Dat geldt voor open-weight én gesloten modellen; alleen de nadruk verschuift. Deze aanpak sluit aan bij het principe dat je het lokale systeem valideert en niet alleen de gepubliceerde score.

1. Registreer de exacte modelhash en versie van wat in productie draait, niet van het upstreammodel.
2. Bepaal waar inferentie en logging plaatsvinden en stel de dataroute per verwerkingsstap vast.
3. Verifieer dataretentie en netwerktoegang: wat wordt bewaard, waar, en wie heeft toegang.
4. Test de feitelijke lokale configuratie, inclusief prompts en tools, niet alleen het model zoals de maker het uitbracht.
5. Bewaar benchmarktaken, instellingen, prompts, outputs en menselijke beoordelingen zodat de evaluatie reproduceerbaar is.
6. Herhaal de audit na fine-tuning, quantisatie, prompt- of toolwijzigingen en toets safeguards zowel vóór als na elke wijziging.

Deze stappen vormen samen een verdedigbare verificatieketen rond het model in gebruik. De les uit de GLM-5.3-beoordeling is niet dat open of gesloten per definitie beter is, maar dat de controleerbaarheid van model, configuratie, dataherkomst en gebruiksomgeving de doorslag geeft.

Bronnen: Het artikel steunt op de GLM-5.3-beoordeling van NIST/CAISI, de red-teamanalyse van Anthropic, de literatuurstudie van de Britse ministeries en een standpunt van Stanford HAI.