Компания Aikido Security представила свою первую открытую модель для кибербезопасности — Altar-1. Это не очередной чат-бот общего назначения, а специализированный инструмент, созданный для работы в закрытых сетях, где утечка исходного кода или данных о найденных уязвимостях недопустима. Модель уже доступна на Hugging Face, а её вес составляет всего 328 ГБ — результат серьёзного сжатия флагманской китайской модели GLM-5.3.
Почему закрытые сети не могут использовать облачные ИИ
Современные фронтирные модели обычно работают на чужих серверах. Когда инженер по безопасности отправляет запрос в облако, он фактически передаёт наружу фрагменты исходного кода, архитектурные документы и описания ещё не закрытых уязвимостей. Для банков, работающих под мандатами о резидентности данных, и для операторов промышленных систем (OT), у которых физически нет выхода в интернет, такой сценарий неприемлем.
Открытые модели решают проблему конфиденциальности, но порождают другую — проблему развёртывания. Модели с архитектурой Mixture-of-Experts (MoE) вынуждены хранить всех экспертов, даже если конкретная задача задействует лишь нескольких из них. Кроме того, агенты безопасности накапливают длинный контекст, и KV-кэш начинает конкурировать с весами модели за одну и ту же память GPU. Aikido Security предложила инженерное решение этой дилеммы.
Как из GLM-5.3 получился компактный Altar-1
Исходная GLM-5.3 от Z.AI — это гигант на 753 млрд параметров. Каждый токен маршрутизируется к 8 из 256 экспертов на слой, что даёт около 40 млрд активных параметров. Чтобы уместить эту махину в одну машину, инженеры Aikido применили два последовательных шага сжатия.
Шаг 1. Квантизация
За основу взят чекпоинт cyankiwi GLM-5.3-AWQ-INT4. Веса маршрутизируемых экспертов хранятся в 4 битах, активации — в 16 битах (формат W4A16). При этом внимание, общий эксперт, плотные слои и выходная голова остаются в BF16, чтобы не потерять качество на критичных участках.
Шаг 2. Прунинг экспертов
Здесь на сцену выходит метод REAP (Router-weighted Expert Activation Pruning) от Cerebras. В отличие от наивного подхода «выкинуть редко используемых», REAP оценивает каждого эксперта по весу роутера и величине выхода. В результате Altar-1 сохраняет 168 из 256 экспертов на слой — удалено 88 штук, то есть 34,4%. Дообучение не требуется.
Калибровка проводилась на трассировках пентest-стенда Aikido, а также на коде, вызовах инструментов, рассуждениях и многоязычной Wikipedia. Компания отдельно подчёркивает: данные клиентов не использовались. Каждый эксперт оценивался по его максимальной доле в трафике отдельного домена — это защищает специалистов по коду, редким языкам и структурированному выводу. Маршрутизация не изменилась: роутер по-прежнему выбирает 8 экспертов на токен, но уже из 168.
Сравнение размеров: от 1,5 ТБ до 328 ГБ
- GLM-5.3, BF16 — 1 506,7 ГБ
- GLM-5.3, AWQ INT4 — 488,2 ГБ
- Altar-1, pruned W4A16 — 328,0 ГБ
Итог: Altar-1 на 78,2% меньше полной BF16-версии и на 32,8% меньше своего AWQ-родителя. По точности расхождение с BF16 составляет KL-дивергенцию 0,506 нат на закрытой панели из 25 промптов. Для сравнения: сборка того же среза в EXL3 даёт 0,511.
Результаты на внутреннем бенчмарке CVE
Aikido протестировала модель на собственном наборе из 32 известных уязвимостей в 30 репозиториях, по 3 прогона на кейс.
- GLM-5.3, BF16 — средний recall 65,6%, найдено хотя бы раз 25 из 32
- GLM-5.3, AWQ INT4 — 61,5%, 23 из 32
- Altar-1 — 60,4%, 23 из 32
По сравнению с AWQ-чекпоинтом прунинг стоил около одного пункта recall и не потерял ни одного покрытого случая. Относительно полной модели Altar-1 сохраняет 23 из 25 найденных уязвимостей (92%) при падении recall на 5,2 пункта. Важно понимать: бенчмарк узкий — он измеряет целевой повторный поиск CVE внутри пайплайна, где соседние этапы выполняют другие модели. Он не проверяет слепой поиск, валидацию эксплойтов или предложения по исправлению.
Компания также сообщает, что во время реального пентestа у клиента Altar-1 обнаружила критическую уязвимость. Это единичный результат, о котором сообщает сам вендор.
Развёртывание и лицензия
Карта модели требует GPU поколения Hopper — H100 или H200. По словам Aikido, 328 ГБ на четырёх H200 оставляют место для KV-кэша с контекстом 128k при продакшн-батчах. Запуск выглядит так:
vllm serve AikidoSec/altar-1 --tensor-parallel-size 4 --trust-remote-code --max-model-len 131072
vLLM автоматически выбирает ядро Marlin MoE. Нюанс: узел из четырёх H100 с 80 ГБ имеет только 320 ГБ памяти — этого меньше, чем 328 ГБ весов. Altar-1 наследует лицензию GLM-5.3: коммерческое использование, модификация и распространение разрешены. Однако операторы Model-as-a-Service с выручкой более $10 млрд за 12 месяцев должны сначала пройти проверку безопасности в Z.AI. Это open-weight, а не OSI-одобренный open source.
Помимо автономного пентest-аппарата Aikido Machine, Altar-1 питает продукты Aikido Attack, AI Code Analysis и Deep Review. В планах — эксперименты с более низкобитными форматами вроде EXL3, чтобы сохранить больше экспертов, а также файнтюнинг под конкретные задачи безопасности.
Что это значит для рынка
Altar-1 — показательный пример того, как индустрия учится упаковывать гигантские MoE-модели в инфраструктуру заказчика. Вместо гонки за абсолютными бенчмарками Aikido решает прикладную задачу: дать банку или заводу ИИ-безопасника, который не выходит за периметр. Потеря нескольких пунктов recall в обмен на 78% экономии памяти и возможность работы в air-gapped-сети — разумный компромисс. Если подход с REAP-прунингом и низкобитными форматами приживётся, мы увидим волну узкоспециализированных открытых моделей под конкретные отрасли, а не только универсальных чат-ботов.
