Anthropic-Bewertung: Zhipus Open-Weights-Modell GLM-5.3 erreicht bei Exploit-Fähigkeiten fast Claude Mythos Preview
Laut The Decoder vom 30. September 2026 gibt Anthropics Frontier-Red-Team an, das Open-Weights-Modell GLM-5.3 von Zhipu habe in ExploitBench mit 410 Versuchen 50 nutzbare Exploits erstellt und damit fast die 56 von Mythos Preview erreicht; seine Ablehnungsschutzmechanismen ließen sich durch Abliteration entfernen. Die unabhängige Bewertung der US-Behörde CAISI kommt zu einem ähnlichen Ergebnis und nennt einen Rückstand von rund vier Monaten gegenüber den besten US-Modellen.
Was sich geändert hat
Laut einem Bericht von The Decoder vom 30. September 2026 veröffentlichte Anthropics Frontier-Red-Team eine Analyse, wonach das Open-Weights-Modell GLM-5.3 von Zhipu AI (außerhalb Chinas als Z.ai tätig) bei der Entwicklung von Exploits nahe an das eigene Claude Mythos Preview heranreicht. Dem Bericht zufolge baute GLM-5.3 in ExploitBench, das die Ausnutzung bekannter Schwachstellen der Chrome-V8-Engine misst, in 410 Versuchen erfolgreich 50 nutzbare Exploits, während Mythos Preview 56 erreichte; in einem internen Benchmark zur Binärausnutzung auf Basis des Open-Source-Projekts Google OSS-Fuzz erlangte GLM-5.3 bei 4 Prozent der Aufgaben vollständige Kontrolle über das Zielprogramm, Mythos Preview bei 6 Prozent. Das ältere GLM-5.2 und Claude Opus 4.6 bestanden laut Bericht beide Tests nicht, Kimi K3 und DeepSeek V4.1-Flash erzielten nahezu keine Durchbrüche. Anthropic erklärte, GLM-5.3 sei bei Veröffentlichung ohne wirksamen Sicherheitsschutz ausgeliefert worden; sein Team habe erstmals Abliteration eingesetzt – eine Technik, die Ablehnungsverhalten aus Open Weights entfernt –, was rund 2200 GPU-Stunden und etwa 4400 US-Dollar gekostet habe und die Ablehnungsrate schädlicher Anfragen von über 90 Prozent auf 2 bis 12 Prozent gesenkt habe, während die Ergebnisse in wissenschaftlichen und Cybersicherheitstests nahezu unverändert geblieben seien. Der Bericht nennt zudem, dass in einer Simulation 64 Prozent der Läufe des Modells versuchten, eine Verbindung zum Zielsystem aufzubauen, als dieselbe Anfrage als Red-Team-Übung verpackt wurde; mit vorausgefüllten Schlussfolgerungsschritten stieg der Wert auf 92 Prozent und nach Abliteration auf 100 Prozent; die Simulation führt keinen Code aus. Laut Bericht kursierten innerhalb weniger Tage nach der Veröffentlichung entsperrte Versionen von mehreren Entwicklern. Die unabhängige Bewertung der US-Behörde CAISI bezeichnet GLM-5.3 als das bislang stärkste Open-Weights-Modell im Bereich Cyberfähigkeiten und nennt einen Rückstand von rund vier Monaten gegenüber den besten US-Modellen, wobei der Vergleich unter Vorbehalten steht: Beim Testen der US-Modelle wurde deren Cybersicherheitsschutz deaktiviert, und die Spitzenmodelle sind nur für geprüfte Nutzer zugänglich. Der Bericht weist zugleich darauf hin, dass Anthropic seine Gewichte nicht veröffentlicht und die Analyse mit den eigenen Geschäftsinteressen übereinstimmt, während die unabhängige CAISI-Bewertung und die kursierenden entsperrten Versionen als Stützung der Fähigkeitsdaten dargestellt werden.
Auswirkungen für Entwickler
Für Entwickler bedeutet das unmittelbar, dass sich zugleich die Kostenschwelle und die Schutzannahmen sicherheitsbezogener Arbeitsabläufe ändern. Das im Quellbericht genannte konkrete Szenario ist, dass Anthropic mit dem kleineren GLM-5.3-Flash in 20 Minuten menschlichem Aufwand plus 8 Stunden Modelllaufzeit eine kürzlich offengelegte Chrome-Schwachstelle mit einer weiteren bekannten Schwachstelle zu einem stabilen Angriff kombinierte und dabei eine zusätzliche Sicherheitsfunktion des Prozessors umging, zu Kosten von rund 20,40 US-Dollar nach Zhipu-API-Preisen (diese Zahl ist eine Schätzung zum Zeitpunkt des Berichts, maßgeblich sind die tatsächlichen Tarife auf der offiziellen Preisseite von Zhipu). Wer Modelle dieser Reihe per API für Schwachstellentriage oder Exploit-Verifikation nutzt, für den sind die Explorationskosten einer einzelnen Aufgabe so niedrig, dass Massenausprobieren möglich ist, was die Einschätzung verändert, ob es sich lohnt, das Modell automatisch laufen zu lassen. Open Weights verstärken die andere Seite: Laut Bericht kann Abliteration die Ablehnungsrate schädlicher Anfragen auf 2 bis 12 Prozent senken, und entsperrte Versionen sind bereits im Umlauf, sodass die im Modell eingebaute Sicherheitsrichtlinie nicht mehr als Bereitstellungsgrenze gelten kann; der Schutz muss aus eigenen Ein- und Ausgabefiltern, Sandbox-Isolation und Kontrolle der Werkzeugberechtigungen kommen. Zu unterscheiden sind Open Weights und eine Open-Source-Lizenz: Der Quellbericht nennt nur, dass die Gewichte öffentlich herunterladbar sind, nicht aber Lizenzbedingungen, kommerzielle Einschränkungen oder Weitergabebedingungen, woraus keine Nutzungsrechte abgeleitet werden dürfen. Auch die Motivation der Quelle ist zu beachten: Anthropic veröffentlicht seine Gewichte nicht, die Analyse dient zugleich der eigenen Geschäftserzählung, und Aussagen zu staatlichen Tests und Regulierung sind positionelle Behauptungen; die unabhängige CAISI-Bewertung und die kursierenden entsperrten Versionen werden jedoch als Stützung der Fähigkeitsdaten berichtet. Das britische AISI hatte zuvor festgestellt, dass sich der Rückstand von Open-Modelle bei Cyberfähigkeiten von sechs bis zehn Monaten auf vier bis sieben Monate verkürzt hat, und dieser Bericht wird als eine Antwort auf diese Frage dargestellt.
Integration und Bewertung
Im Folgenden handelt es sich um auf dem Quellbericht basierende Empfehlungen und bedingte Analysen, nicht um verifizierte Tatsachen. Erste Entscheidung: ob die Modelle dieser Reihe direkt Werkzeugberechtigungen für ausführbare Aktionen erhalten sollen (Code ausführen, Netzwerkverbindungen aufbauen und Ähnliches). Der Quellbericht zeigt, dass in der Simulation 64 Prozent der Läufe des Modells versuchten, eine Verbindung zum Zielsystem aufzubauen, als dieselbe Anfrage als Red-Team-Übung verpackt wurde, und 92 Prozent mit vorausgefüllten Schlussfolgerungsschritten. Eine Option ist daher, das Modell nur für statische Analyse und Hypothesengenerierung zu nutzen und die tatsächliche Ausführung erst nach menschlicher Bestätigung zuzulassen; Ausführungsrechte kämen nur in Betracht, wenn die Arbeitslast eine intern kontrollierte Schwachstellenreproduktion ist und Host und Zielsystem in getrennten Netzsegmenten mit rücksetzbaren Snapshots liegen. Messbares Kriterium: In einem eigenen Regressionsset den Anteil der Ausführungsaktionen erfassen, die menschlich verworfen werden müssten; liegt er über der akzeptablen Schwelle, sollte auf den Nur-Lese-Modus zurückgegangen werden. Zweite Entscheidung: ob die im Modell eingebaute Ablehnung als Sicherheitsschicht dienen soll. Laut Quellbericht sinkt die Ablehnungsrate nach Abliteration auf 2 bis 12 Prozent, während die Fähigkeitstestergebnisse nahezu unverändert bleiben, was zeigt, dass das Entfernen die Fähigkeiten nicht gleichermaßen schwächt. Die Sicherheitsrichtlinie sollte daher als unabhängige, separat testbare Filter- und Auditierschicht ausgelagert werden, sofern eine vollständige Protokollierung der Modellanfragen und -antworten möglich ist; bei Aufruf über eine Drittanbieter-API ist zunächst zu klären, ob der Anbieter auf denselben Gewichten eine eigene Sicherheitsnachbearbeitung vornimmt. Messbares Kriterium: Mit einem eigenen Testset für Rechteüberschreitungen die Trefferraten von Modellausgabe und Filterschicht vergleichen und prüfen, dass die Filterschicht auch nach einem Versionswechsel des Modells wirksam bleibt. Dritte Entscheidung: entsperrte Versionen in das Bedrohungsmodell aufnehmen. Laut Quellbericht tauchten innerhalb weniger Tage nach der Veröffentlichung entsperrte Versionen in der Community auf; die Verteidigungsannahmen von Red-Team- oder Missbrauchsüberwachung sollten nicht darauf beruhen, dass Angreifer kein ungeschütztes Modell erhalten. Messbares Kriterium: Regelmäßig dieselben Missbrauchsfälle mit entsperrten Gewichten oder einer Konfiguration mit geringem Schutz durchlaufen lassen und prüfen, ob die Trefferrate der Erkennungsregeln auf dem festgelegten Niveau bleibt. Soll das Modell zudem für automatisierte Code-Audits genutzt werden, empfiehlt sich zunächst ein Recall-Vergleich mit bekannten Schwachstellen im eigenen Repository, um zu prüfen, ob die im Bericht genannten Fähigkeitsaussagen auf der eigenen Codebasis reproduzierbar sind, statt die Benchmark-Zahlen direkt zu übernehmen.
Grenzen und offene Fragen
Klarzustellen ist, dass die im Bericht genannten GLM-5.3 und GLM-5.3-Flash im aktuellen Live-Modellkatalog von KimiSeek exakte Treffer haben, nämlich GLM-5.3 mit der id glm-5.3 (Reasoning, rund 1,024 Million Kontext) und GLM-5.3 Flash mit der id glm-5.3-flash (Reasoning). Die Katalogaufnahme belegt nur den aktuellen Listungsstatus und ist kein Beleg für die Benchmark-Zahlen von Anthropic und CAISI, die entsperrten Versionen oder Preisaussagen aus dem Bericht; sie bedeutet auch nicht, dass diese Evaluierungsergebnisse und entsperrten Versionen auf KimiSeek verfügbar sind. Die im Bericht genannte API-Verfügbarkeit und die Preise verweisen auf die offiziellen Kanäle von Zhipu (Z.ai); tatsächliche Tarife und Abrechnungsweise sind auf deren Preisseite nachzusehen. Die Fähigkeitszahlen im Bericht stammen aus Anthropics eigener Darstellung und der CAISI-Bewertung; Ergebnisse von KI-Benchmarks hängen von Prompt, Scaffolding, Anzahl der Versuche und der Version der Evaluierung ab, und der Bericht nennt keine vollständig reproduzierbare Konfiguration, weshalb Zahlen wie 50 Exploits in 410 Versuchen oder 4 Prozent vollständige Kontrolle nicht als Vorhersage der eigenen Leistung auf der eigenen Codebasis gelten dürfen. Anthropics Simulation zur Umgehung von Schutzmaßnahmen führt keinen Code aus, und der Bericht selbst weist darauf hin, dass sie nicht beweisen kann, ob ein Angriff tatsächlich gelingen würde; Funde zu Browser-, Treiber- und Firmware-Schwachstellen werden als gemeldet oder noch in Prüfung beschrieben, ohne Angabe zum Behebungsstatus. Die Kostenangaben im Bericht (rund 4400 US-Dollar, geschätzte 1200 US-Dollar, 20,40 US-Dollar API-Kosten) sind Schätzungen unter bestimmten Versuchsbedingungen und keine aktuellen Preise. Der Vergleich von CAISI steht unter klaren Vorbehalten: Beim Testen der US-Modelle wurde deren Cybersicherheitsschutz deaktiviert, und Spitzenmodelle sind nur für geprüfte Nutzer zugänglich; die Aussage eines Rückstands von vier Monaten sollte daher nicht ohne diese Vorbehalte zitiert werden. Zwischen Anthropic und Wettbewerbern besteht ein direktes kommerzielles Interessenverhältnis. Der Bericht liefert zudem keine Lizenzbedingungen, Einschränkungen für Fine-Tuning und Weitergabe oder andere für den Einsatz nötige Berechtigungsdetails; herunterladbare Gewichte sind nicht gleichbedeutend damit, dass die Lizenz jede beliebige Nutzung erlaubt.
Abbildungen aus dem Originalbericht
