Qu’est-ce qui a changé quand Z.ai a publié les poids de GLM-5.3, et pourquoi la licence n’est-elle plus MIT?

Hier, Z.ai a déposé les poids de GLM-5.3 sur Hugging Face. Les poids sont les nombres appris d’un modèle, et les publier permet à tout le monde de le télécharger et de le faire tourner. Le modèle lui-même a été lancé par API plus tôt en août : c’est donc la deuxième moitié d’une publication que Z.ai a coupée en deux.

Deux choses sont nouvelles pour ce laboratoire. Il a retenu les poids pour des tests de sécurité, et il a abandonné la licence MIT utilisée pour ses récents modèles phares. GLM-5.2, publié en juin, était sous MIT et ouvert dès le jour du lancement.

Ce que contient la publication

Sous le capot, c’est le modèle de base de GLM-5.2. Z.ai dit que chaque gain vient du post-entraînement, l’étape qui suit le préentraînement et où un modèle apprend par des exemples supervisés et par renforcement. C’est inhabituel, car cela laisse croire qu’un laboratoire peut faire beaucoup progresser un modèle sans le réentraîner à partir de rien.

Les deux sont des modèles à mixture of experts (mélange d’experts), où seule une partie des paramètres travaille sur chaque jeton (un petit morceau de texte). Le nombre de paramètres actifs détermine le calcul par jeton, et le total, la mémoire nécessaire.

Comment il a été retenu, et pourquoi

Z.ai décrit une capacité en cybersécurité qui a grandi plus vite que prévu à mesure que le post-entraînement augmentait. Dans son tableau, GLM-5.3 obtient 84,5 à CyberGym, un test de découverte de vulnérabilités, contre 77,2 pour GLM-5.2. À ExploitBench, il obtient 54,4 contre 24,4. Des modèles fermés mènent ce deuxième test : 78,0 pour Claude Fable 5 et 76,5 pour GPT-5.6 Sol.

L’entreprise dit avoir consacré deux semaines de plus à l’évaluation de la sécurité avant de publier. The New Stack souligne que les chiffres sont autodéclarés et que personne hors de l’entreprise n’a reproduit le résultat CyberGym jusqu’ici. Z.ai revendique aussi 2 436 vulnérabilités trouvées dans 269 projets à code source ouvert, dont seulement quelques dizaines peuvent être examinées publiquement.

La licence comporte aussi une tension. The New Stack note qu’elle n’a aucune section sur l’usage acceptable et qu’elle ne parle jamais de cybersécurité ou de sécurité offensive. Le délai de sécurité est donc venu avant la publication, et la licence ne limite pas ensuite les abus. Une fois les poids publics, n’importe qui peut les ajuster finement, ce qui peut affaiblir les protections acquises à l’entraînement; c’est une limite générale des poids ouverts.

Pour le code, les résultats sont proches des meneurs dans le tableau de Z.ai :

Ce qu’il faut pour le faire tourner

Z.ai énumère SGLang, vLLM, TokenSpeed, Transformers, KTransformers et Unsloth, ainsi que des voies pour les puces Ascend de Huawei. Faisons le calcul pour un exemple concret. Les fichiers sur 8 bits font environ 756 Go. Sur des cartes graphiques de 80 Go, cela donne une dizaine de cartes pour les poids seuls, et la mémoire de travail s’ajoute.

The New Stack cite les versions réduites d’Unsloth : environ 245 Go pour une version sur 2 bits, qui entre tout juste dans un Mac de 256 Go de mémoire unifiée, et 810 Go sur 8 bits. La quantification, qui stocke chaque nombre sur moins de bits, économise de la mémoire mais peut coûter en qualité, et une version sur 2 bits est une coupe importante. Unsloth affirme qu’elle garde environ 86 % de précision top-1, une affirmation à vérifier sur vos propres tâches.

Pour la plupart des lecteurs, l’accès hébergé est la voie pratique. The New Stack indique les prix de Z.ai : 1,40 $ US par million de jetons en entrée et 4,40 $ US par million en sortie, et 0,15 $ US et 0,47 $ US pour Flash. Plusieurs autres fournisseurs l’hébergent déjà, selon leurs propres conditions sur les données.

La licence de GLM-5.3 vous touche-t-elle?

Presque sûrement pas, à moins d’être un très gros hébergeur. La licence s’ouvre sur une large permission qui couvre l’usage, la modification, l’ajustement fin, le déploiement et la vente. Une seule condition supplémentaire ressort.

La portée et la méthode de l’examen sont fixées « raisonnablement » par Z.ai, selon le mot de la licence, et rien ne dit ce qu’il comprend. Le seuil compte tout le groupe : un géant de l’infonuagique est donc visé même si son activité GLM est petite. Si vous ne voulez aucune condition de ce genre, GLM-5.3-Flash reste sous MIT.

La licence n’est pas la seule question juridique. Z.ai figure depuis janvier 2025 sur l’Entity List du département du Commerce des États-Unis, une liste noire commerciale. Ce que cela veut dire pour le téléchargement d’un modèle est une question pour votre propre conseiller juridique, surtout si votre organisation est soumise aux règles commerciales américaines. La situation canadienne peut être différente : demandez conseil avant de bâtir quelque chose de sérieux dessus.