Mit GLM-5.3 wird leistungsfähige KI zur Schwachstellensuche breiter zugänglich. Das Sprachmodell des chinesischen Entwicklers Z.ai, früher Zhipu AI, kann Software analysieren und Code erzeugen; seine Modellgewichte lassen sich herunterladen und selbst betreiben. Für die Sicherheitsdebatte zählt damit zunehmend, wer solche Fähigkeiten einsetzen kann. Die US-Prüfstelle CAISI ordnet GLM-5.3 als bislang stärkstes Open-Weight-Modell für Cyberaufgaben ein, sieht aber weiterhin deutlichen Abstand zur aktuellen US-Spitze.[m][i]
Anthropic hatte Claude Mythos Preview am 7. April über Project Glasswing ausgewählten Organisationen für defensive Sicherheitsarbeit zugänglich gemacht. Zum Kreis gehörten Softwarehersteller und Betreiber kritischer Infrastruktur. Z.ai veröffentlichte GLM-5.3 laut NIST am 14. August und die Gewichte zwei Wochen später. Der zeitliche Abstand zeigt, wie kurz ein Vorsprung durch beschränkten Modellzugang sein kann.[n][m]
Was die Testergebnisse aussagen
Anthropic meldet am 29. September für den Test ExploitBench 50 erfolgreiche Versuche von 410 bei GLM-5.3, gegenüber 56 bei Mythos Preview: gerundet zwölf und 14 Prozent. Geprüft wurde die Entwicklung funktionsfähiger Angriffe aus bekannten Browserfehlern. Ein Exploit ist Code, der eine Sicherheitslücke ausnutzt. Das Ergebnis belegt Fähigkeiten unter Testbedingungen, keine Erfolgsquote gegen beliebige Rechner.[a]
Die unabhängige Einordnung liefert das Center for AI Standards and Innovation, kurz CAISI, beim US-Normeninstitut NIST. Seine Auswertung vom 17. September umfasst vier Tests zur Schwachstellensuche und Exploit-Entwicklung. Im zusammengefassten Leistungsmaß liegt GLM-5.3 etwa vier Monate hinter der US-Spitze. Diese schließt Modelle mit eingeschränktem Zugang ein; bei US-Modellen wurden vorhandene Cyberschutzmechanismen gegebenenfalls deaktiviert. Der Vergleich misst also Fähigkeiten unter den jeweiligen Prüfbedingungen, nicht die Möglichkeiten eines gewöhnlichen Kundenkontos.[m]
Auch identische Testnamen garantieren keine vergleichbaren Prozentwerte. CAISI vergibt bei ExploitBench Punkte für Teilergebnisse und wertet den besten von drei Versuchen je Aufgabe. Anthropics hier berichteter Wert zählt vollständig gelungene Versuche. Wer beide Zahlen nebeneinander als Rangliste liest, verwechselt unterschiedliche Messgrößen. Ebenso wenig bedeutet die Nähe zu Mythos Preview Gleichstand mit den neuesten US-Modellen.[m][a]
Schutzmechanismen: eine Simulation, kein Angriffsnachweis
Anthropic gab GLM-5.3 in einer Simulation ausdrücklich schädliche Angriffsaufträge. Gemessen wurde, ob das Modell eine Verbindung zum vermeintlichen Ziel aufbauen wollte. Bei direkten Anfragen geschah das nie. Wurde die Anfrage als legitime Übung ausgegeben, waren es 64 Prozent der Tests. Mit vorgegebenen Denkschritten, die Zustimmung nahelegten, waren es 92 Prozent; nach einer Veränderung der Modellgewichte zur Verringerung von Verweigerungen 100 Prozent. Je Bedingung gab es 50 Tests. Ein zweites Sprachmodell simulierte die Werkzeugausgaben. Es wurde kein Code ausgeführt und kein echtes System angegriffen.[a]
Anteil der Tests mit versuchter Verbindung zum simulierten Ziel; keine gemessene Erfolgsquote realer Angriffe. Je 50 Durchläufe.
Für die Bewertung sind zwei Fragen auseinanderzuhalten: Kann ein Modell eine schwierige Aufgabe lösen, und hält es sich dabei an vorgesehene Grenzen? Ein Sicherheitstest beantwortet die zweite Frage nur für die geprüften Bedingungen. Die redaktionelle Schlussfolgerung lautet deshalb: Hohe Leistungsfähigkeit und leicht veränderbares Verhalten verdienen gemeinsame Prüfung. Aus einem einzelnen Laborergebnis lässt sich weder universelle Gefährlichkeit noch verlässliche Sicherheit ableiten.[a][m]
Offene Gewichte, eigene Interessen
Z.ais Lizenz erlaubt unter Bedingungen Nutzung, Weitergabe und Veränderung des Modells. Eine zusätzliche Sicherheitsprüfung vor kommerzieller Nutzung verlangt sie nur, wenn zwei Voraussetzungen zusammenkommen: Der Lizenznehmer oder ein verbundenes Unternehmen betreibt ein Geschäft mit Modelldiensten, und der gemeinsame Umsatz überschreitet zehn Milliarden US-Dollar in zwölf aufeinanderfolgenden Monaten. Gemeint sind etwa Dienste, bei denen Dritte die Modelleingaben wesentlich steuern können. Diese Klausel ist keine allgemeine Zulassungsprüfung für alle Nutzer; die Pflicht zur Einhaltung geltenden Rechts bleibt bestehen.[c]
Auch Anthropics Perspektive gehört zur Einordnung. Mit Glasswing organisiert das Unternehmen selbst den Zugang zu leistungsfähigen Sicherheitsmodellen. Die Initiative sieht zunächst Nutzungsguthaben und anschließend bezahlte Nutzung vor. Anthropic ist somit zugleich Forscher, Anbieter und Interessenvertreter seines Zugangsmodells. Das widerlegt einen Messwert nicht. Es spricht aber dafür, Prüfmethoden und unabhängige Ergebnisse stärker zu gewichten als die politische Schlussfolgerung eines Wettbewerbers.[n]
Warum veröffentlicht Anthropic diese Analyse – und welche eigenen Ziele verfolgt das Unternehmen damit? Der Beitrag warnt vor Missbrauch, wirbt zugleich aber für einen breiteren Zugang zu Claude für Verteidiger und fordert staatliche Sicherheitstests leistungsfähiger Modelle. Damit stellt sich die Frage, wie stark Sicherheitsaufklärung, Kundengewinnung und der Wunsch nach Regeln zusammenwirken, die Anthropics kontrolliertes Zugangsmodell begünstigen könnten. Die Veröffentlichung lässt sich daher auch als Werbung für den eigenen Ansatz lesen. Welche dieser Absichten intern den Ausschlag gab, belegt der Text nicht; Sicherheitsinteresse und wirtschaftlicher Nutzen können nebeneinander bestehen.[a][n]
Aus unserer Sicht bleibt eine Abwägung: Herunterladbare Modelle geben auch unabhängigen Verteidigern und Forschern Spielraum. Beschränkter Zugang erlaubt einem Anbieter dagegen, Nutzer auszuwählen. Weder aus der Lizenz noch aus dem Teilnehmerkreis eines Programms folgt allein, welches Modell der Gesellschaft insgesamt mehr Sicherheit bringt. Dazu müsste man auch den Nutzen für Verteidiger, den tatsächlichen Missbrauch und die Reichweite der jeweiligen Schutzmaßnahmen vergleichen.[c][n]
Was das für Verteidiger im deutschsprachigen Raum bedeutet
Die organisatorische Warnung ist älter als GLM-5.3. CERT.at griff am 23. Juni eine Sicherheitsinformation des Bundesamts für Sicherheit in der Informationstechnik auf: KI könne Schwachstellen schneller und teilweise autonom erschließen. Dadurch drohten mehr neue Lücken, Exploits, Patches und Folgevorfälle. Für Unternehmen in Deutschland, Österreich und der Schweiz liegt die praktische Frage deshalb bei der eigenen Reaktionsfähigkeit: Wie schnell wird aus einer Sicherheitsmeldung eine überprüfte Schutzmaßnahme?[h]
Unsere Ableitung daraus: Zuständigkeiten und dringende Updatewege sollten geklärt sein, bevor die nächste kritische Lücke bekannt wird. Wer nur die Zahl neu gefundener Fehler erhöht, gewinnt wenig, wenn Bewertung und Behebung anschließend liegen bleiben. Für kleinere Teams kann es sinnvoller sein, bekannte Schwachstellen konsequent abzuarbeiten, als sofort ein weiteres KI-Werkzeug einzuführen. Welcher Schritt Vorrang hat, hängt von den eigenen Systemen und ihrer Erreichbarkeit ab; eine pauschale Patchfrist liefern diese Modelltests nicht.[h]
Die europäische Regulierung adressiert eine andere Ebene. Nach den Leitlinien der EU-Kommission gelten Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025; die Durchsetzungsbefugnisse der Kommission greifen seit August 2026. Ob ein konkretes Modell als systemisches Risiko einzustufen ist, lässt sich aus einem Cyberbenchmark allein nicht entscheiden. Für Betreiber bleibt daher die unmittelbare Aufgabe, Sicherheitsmeldungen zügig zu bewerten und wirksame Änderungen umzusetzen. Auf eine regulatorische Einordnung zu warten, verkürzt kein offenes Updatefenster.[j][h]
