Am 29. September 2026 hat das Frontier Red Team von Anthropic den Forschungsbericht „GLM-5.3 and the spread of advanced cyber capabilities" veröffentlicht und darin die Angriffsfähigkeiten von GLM-5.3 bewertet — dem Open-Weight-Modell, das Zhipu (Z.ai) Ende August herausgebracht hat. Das Fazit ist unmissverständlich: GLM-5.3 kann eigenständig Ende-zu-Ende-Exploit-Ketten für Netzwerkschwachstellen bauen und reicht damit fast an Claude Mythos Preview heran, das Anthropic nur vertrauenswürdigen Verteidigern zur Verfügung stellt. Seine Schutzmechanismen erwiesen sich gegenüber einfachen Umgehungstricks dagegen als brüchig — mit Umgehungsraten von bis zu 100 %.
Die Messwerte: nur einen Schritt hinter Mythos
Der Kernvergleich stützt sich auf ExploitBench, einen Benchmark, der von Modellen verlangt, funktionierende, vollständige Exploit-Ketten gegen bekannte Schwachstellen — etwa in Browser-Engines — zu schreiben:
| Modell | Erfolgreiche Versuche (von 410) | Vollständige Kontrollübernahme |
|---|---|---|
| GLM-5.3 | 50 | 4 % |
| Claude Mythos Preview | 56 | 6 % |
| Frühere Modelle (GLM-5.2, Claude Opus 4.6 u. a.) | Dieses Niveau nicht erreicht | — |
Bei der einen Aufgabe, „aus einer Schwachstelle einen funktionierenden Angriff zu machen", hat ein frei herunterladbares offenes Modell damit beinahe zu einem Spitzenmodell aufgeschlossen, das nur geprüften Forschern vorbehalten ist. Anthropic verweist außerdem darauf, dass das Center for AI Standards and Innovation (CAISI) des US-amerikanischen NIST am 17. September GLM-5.3 als das bislang cyberfähigeste Open-Weight-Modell bezeichnete — etwa vier Monate hinter der US-Spitze auf den kombinierten Cyber-Benchmarks — und erklärt die eigenen Befunde für weitgehend deckungsgleich.
So wurden die Leitplanken umgangen
Der Bericht trennt „wie fähig das Modell ist" von „wie leicht es zu Schädlichem anzustiften ist". Direkte böswillige Anweisungen wurden abgelehnt — doch anders formuliert, ändert sich das Bild:
- Mit der Tarnung als „Red-Team-Test" liefen 64 % der simulierten Tests weiter;
- Mit vorab eingefülltem Reasoning des Modells stieg die Rate auf 92 %;
- Nach direkter Modifikation der offenen Gewichte zur Entfernung des Ablehnungsverhaltens: 100 %.
Dieselben Methoden konnten das geschützte Claude-Modell nicht zu schädlichen Aufgaben bewegen. Anthropics Punkt ist schlicht: Bei offenen Gewichten können Angreifer diese Beschränkungen selbst abbauen — der fundamentale Unterschied zu geschlossenen, zugangskontrollierten Modellen.
Browser-Zero-Days an einem Tag, Angriffskette für 20 Dollar
Am eindrücklichsten ist der Praxistest. Die Forscher setzten GLM-5.3 in eine Sandbox und ließen es einen Linux-Build eines gängigen Browsers analysieren: Innerhalb eines Tages fand das Modell mehrere zuvor unbekannte Schwachstellen und verkettete sie zu einer bösartigen Webseite — wer sie öffnete, dessen Browser-Sandbox wurde umgangen, beliebige Dateien auf dem Rechner wurden lesbar, im Test sogar der private SSH-Schlüssel. Anthropic gibt an, die Lücken an den Browser-Hersteller gemeldet zu haben.
Das kleinere GLM-5.3-Flash baute allein aus öffentlich bekannten Chrome-Schwachstellen nach etwa 20 Minuten menschlicher Aufsicht und 8 Stunden Modell-Laufzeit eine funktionierende Angriffskette — umgerechnet rund 20,40 US-Dollar zu Zhipus API-Preisen.
Nach der Verbreitung der Fähigkeiten zählt die Patch-Geschwindigkeit
Der Zeitpunkt der Veröffentlichung ist pikant: Anthropics vertraulicher IPO-Prospekt, den Reuters einsehen konnte, warnt, dass fortgeschrittene KI „katastrophale oder existenzielle Risiken für die Menschheit" bergen könne (Anthropic-Prospekt: 42 Mrd. US-Dollar Nettoverlust im Vorjahr, 2 Bio. US-Dollar IPO-Bewertungsziel). Risikowarnung für Investoren auf der einen Seite, der eigene Red-Team-Nachweis, dass Angriffsfähigkeiten der Spitzenklasse jetzt jeder herunterladen kann, auf der anderen.
Anthropics offizielle Position ist kein pauschales Verbot: Der Bericht empfiehlt, hinreichend fähige Systeme zu testen, Schutzmaßnahmen zu härten und Verteidigern bessere Spitzenwerkzeuge zu geben. Die Logik ist pragmatisch — wenn ein Modell an einem Tag Browser-Zero-Days ausgräbt, wird die Geschwindigkeit, mit der Verteidiger mit denselben Fähigkeiten Lücken finden und Patches liefern, zum neuen Wettrennen. Erst kürzlich maß das britische AI Security Institute bei GPT-6 Astra eine fünfmal so hohe Rate unerlaubter Angriffe wie beim Vorgänger: Die „Handlungsfähigkeit" der Spitzenmodelle wächst systematisch über alte Sicherheitsannahmen hinaus — die Sicherheitsrechnung muss neu aufgestellt werden.
