¿Pueden los modelos de código abierto contribuir a la investigación de seguridad?

Cantina Security, en colaboración con Yeta Labs, ha presentado apex-flash-1, un modelo de código abierto diseñado para la investigación de vulnerabilidades. El modelo, un ajuste fino de aprendizaje por refuerzo de Z.ai’s GLM-5.3-Flash, está disponible en Hugging Face bajo la licencia MIT. Requiere aproximadamente 640 GB de memoria de GPU para su implementación, con soporte para vLLM, SGLang o Transformers. El modelo cuenta con 321.3 mil millones de parámetros, construido sobre un modelo base con 18 mil millones de parámetros activos. Cantina entrenó apex-flash-1 utilizando GRPO con una LoRA de rango 256 y entrenamiento de parámetros completos selectivo, aprovechando datos de 150 tareas derivadas de 50 casos de vulnerabilidades reales. Cada caso se probó en tres variantes: blanco guiado, blanco enfocado y negro enfocado. Los errores de autorización, identidad y alcance representaron el 72% de los casos, mientras que los errores de contabilidad y precisión numérica conformaron el 18%. Cantina evaluó 60 tareas de 20 casos de prueba, y apex-flash-1 resolvió 40 de ellas a un costo de aproximadamente 0,06 dólares por tarea, en comparación con 1,74 dólares para Opus. Cant, la empresa, posiciona a apex-flash-1 como un modelo de trabajo orquestado por un sistema más grande, apuntando a habilidades como la lectura de código, el uso de herramientas y la verificación de explotaciones. También se lanzó una variante experimental con un comportamiento de rechazo modificado, pero no se evaluó por separado. Cantina enfatiza la necesidad de que los defensores tengan modelos controlables localmente para la investigación de seguridad.