Có gì mới
GLM-5.3 dùng cùng base model với GLM-5.2; Z.ai nói toàn bộ cải thiện đến từ việc scale post-training: thêm môi trường, thêm task đa dạng hơn và nhiều compute hơn cho training. Trọng tâm là các workflow dài hơi giống công việc thật của kỹ sư, không chỉ bài tập coding ngắn.
Các số chính trong bài công bố:
- Terminal-Bench 3.0 tăng từ 4,6 lên 28,3.
- DeepSWE v1.1 tăng từ 46,2 lên 66,9.
- Agents’ Last Exam CLI tăng từ 23,8 lên 28,5.
- CyberGym đạt 84,5%, cao hơn GLM-5.2 ở mức 77,2%.
- ExploitBench tăng từ 24,4 lên 54,4.
Z.ai cũng giới thiệu Z.ai Code Bench, benchmark nội bộ đo agent trong môi trường phát triển local phức tạp. Ở Max effort, GLM-5.3 đạt 34,5% với khoảng 75K output tokens mỗi task, so với 23,4% và 96K tokens ở GLM-5.2.
Thay đổi quan trọng
GLM-5.3 luôn bật thinking. Ứng dụng đang gửi thinking.type: "disabled" sẽ lỗi nếu chỉ đổi model ID. Z.ai khuyến nghị dùng reasoning_effort: "max" cho coding task.
{
"model": "glm-5.3",
"thinking": { "type": "enabled" },
"reasoning_effort": "max"
}Nếu đang tắt thinking, hãy đổi sang enabled và chọn low, high, hoặc max trước khi nâng model.
Cyber capability
Z.ai nói cyber capability tăng nhanh hơn kỳ vọng khi đưa dữ liệu và môi trường tìm lỗ hổng vào post-training. GLM-5.3 không chỉ nhận diện lỗi riêng lẻ mà còn lập kế hoạch qua nhiều bước khai thác.
Nhóm cũng công bố Security Disclosure Ledger: 2.436 findings trên 269 dự án, trong đó 1.097 mức medium-to-high hoặc cao hơn; 53 đã public và 2.383 còn trong quá trình disclosure. Đây là phần dev nên đọc kỹ: model coding mạnh hơn đồng nghĩa policy sử dụng cho bảo mật phải rõ hơn, không chỉ là thêm một provider vào router.
Cách nâng cấp
- Kiểm tra mọi request đang tắt thinking.
- Chạy eval nội bộ trên task thật trước khi đổi default model.
- Nếu dùng cho security workflow, định nghĩa rõ phạm vi được phép scan, cách ghi log và quy trình disclosure.
- Chờ weights mở sau giai đoạn safety/hardening nếu workload cần self-hosting.
Ý nghĩa với Dev
GLM-5.3 đáng thử cho coding agent vì có cả benchmark công khai, benchmark nội bộ và chi tiết API cụ thể. Nhưng bằng chứng vẫn chủ yếu đến từ vendor. Điều đúng đắn là đưa model vào routing thử nghiệm, so với task của chính bạn, rồi mới quyết định quota và policy.