KI-Exportkontrollen am Ende: Chinas Open-Weight-Modelle und Destillationsangriffe haben die Spitzen-KI demokratisiert

Jahrelang basierte die US-KI-Strategie auf einer einfachen Annahme: Beschränke den Zugang zu den fortschrittlichsten Chips und Modellgewichten, und chinesische KI-Labore bleiben ein bis zwei Generationen hinter der Spitze zurück. Drei Ereignisse innerhalb von zwei Wochen im Juni 2026 haben diese Annahme obsolet gemacht.

1. Zhipu AIs GLM-5.2: Open-Weight-Parität zu 1/6 der Kosten

Am 13. Juni 2026 veröffentlichte Zhipu AI (international als Z.ai tätig) GLM-5.2, ein Mixture-of-Experts-Modell mit 744–753 Milliarden Parametern und einem Kontextfenster von 1 Million Token, unter der freizügigen MIT Open-Source-Lizenz auf Hugging Face . Die Veröffentlichung erfolgte am selben Tag, an dem die US-Regierung Anthropic zwang, Claude Fable 5 und Mythos 5 aus Gründen der nationalen Sicherheit weltweit vom Netz zu nehmen .

Leistung in Cybersicherheits-Benchmarks:

• In unabhängigen Tests von Semgrep erzielte GLM-5.2 einen F1-Wert von 39 % bei der IDOR-Erkennung und schlug damit Claude Code (32 %) zu etwa 0,17 $ pro gefundener Schwachstelle – ein Bruchteil der Kosten proprietärer Alternativen .
• Einem Bericht des Wall Street Journal zufolge war GLM-5.2 in der Lage, Anthropics Mythos bei der Erkennung von Sicherheitslücken in gezielten Semgrep-Tests zu übertreffen .
• Es erreichte 81,0 im Terminal-Bench 2.1 (gegenüber 63,5 für GLM 5.1) und übertraf Claude Opus 4.8 im MCP-Atlas-Tool-Use-Benchmark (77,0 vs. 75,3) .
• Artificial Analysis stufte es als #1 Open-Weight-Modell weltweit und unter den Top 3 insgesamt ein .

Kostenvorteil: Das Modell läuft zu etwa 1/6 der Kosten vergleichbarer proprietärer US-Spitzenmodelle pro Token, und die Gewichte können zum Selbsthosten heruntergeladen werden – ohne API-Gebühren .

Wichtiger Hinweis: AVERIs Miles Brundage hat öffentlich eine 100-zu-1-Wette angeboten, die die Behauptung des WSJ, GLM-5.2 sei Mythos wirklich ebenbürtig, in Frage stellt. Er argumentiert, dass die Benchmark-Spanne zu schmal sei . Die Paritätsbehauptung ist bei bestimmten Semgrep-Tests real, lässt sich aber möglicherweise nicht auf umfassendere Bewertungen übertragen.

2. 360 Securitys „Tulongfeng": Eigenständige Schwachstellensuche

Am 24. Juni 2026 enthüllte der chinesische Cybersicherheitsriese 360 Security Technology (Qihoo 360) auf der ISC.AI-Konferenz in Peking zwei KI-gestützte Cybersicherheitstools :

• Tulongfeng – ein KI-System zur automatischen Erkennung von Software-Schwachstellen, von Gründer Zhou Hongyi explizit als „Chinas Version von Mythos" bezeichnet .
• Yitianzhen – eine Plattform zur Automatisierung von Cyberabwehr und Incident Response .

Zhou Hongyi erklärte, China „könne es sich nicht leisten", auf einheimisches Äquivalent zu Mythos zu verzichten, und bezeichnete es als strategische Cyberfähigkeit . Die Tools wurden entwickelt, um die Bedrohungserkennungsfähigkeiten der Spitzenklasse zu erreichen, ohne auf eingeschränkte US-Modelle oder -Hardware angewiesen zu sein . Berichten zufolge hat Tulongfeng bereits mehr als 3.400 Schwachstellen identifiziert, von denen 105 von der chinesischen CNVD-Datenbank bestätigt wurden .

3. Anthropics Anschuldigung gegen Alibaba: Destillation als Umgehungsmechanismus

Am 24.–25. Juni 2026 sandte Anthropic einen Brief an US-Senatoren (datiert auf den 10. Juni), in dem es Alibaba und seinem KI-Labor Qwen vorwarf, den „größten bekannten Destillationsangriff" gegen sein Claude-Modell durchgeführt zu haben .

Wichtige Details aus dem Schreiben:

• Die Betreiber nutzten etwa 25.000 betrügerische Konten, um zwischen dem 22. April und dem 5. Juni 2026 mehr als 28,8 Millionen Interaktionen mit Claude durchzuführen .
• Die Kampagne zielte darauf ab, Modellfähigkeiten durch Destillation zu extrahieren – also Alibabas eigene Modelle mit den Ausgaben von Claude zu trainieren – und so US-Exportkontrollen zu umgehen, die die direkte Weitergabe von Modellgewichten einschränken .
• Anthropic bezeichnete die Aktion als „dreist" und „rechtswidrig" .

Alibaba hat sich öffentlich nicht zu den Vorwürfen geäußert . Die Destillation macht hardwarebasierte Exportkontrollen weniger relevant, weil Wissen (nicht Gewichte) übertragen wird und das trainierte Modell auf jeder lokal verfügbaren Rechenleistung laufen kann.

Was das für die US-Exportkontrollen bedeutet

Die gemeinsame Wirkung ist ein strategischer Schlag gegen Washingtons Rahmenwerk:

Säule der US-Strategie	Wie sie untergraben wurde
Hardware-Verweigerung (Chip-Exportkontrollen)	GLM-5.2 wurde auf heimischer chinesischer Rechenleistung trainiert und läuft darauf; Tulongfeng ist vollständig einheimisch .
Modellzugriffsbeschränkung (Exportverbote für Gewichte)	GLM-5.2-Gewichte sind unter der MIT-Lizenz frei herunterladbar – jeder auf der Welt kann sie selbst hosten .
Spitzenmodelle proprietär halten	Zhipu hat ein Spitzenmodell an genau dem Tag als Open Source veröffentlicht, an dem Anthropics Modell abgeschaltet wurde .
Spitzen-Cybertools in vertrauenswürdigen Händen halten	Tulongfeng + Yitianzhen bringen die Schwachstellensuche auf Mythos-Niveau zu chinesischen, staatsnahen Unternehmen .
Wissenstransfer verhindern	Alibabas angeblicher Destillationsangriff mit 28,8 Millionen Abfragen zeigt, dass die Regeln über API-Abfragen umgangen werden können, nicht über Gewichtstransfer .

Was das für die Kosten und Zugänglichkeit von Cybersicherheitstools bedeutet

1. Kosten fallen drastisch. Semgreps Tests zeigten, dass GLM-5.2 Schwachstellen für ~0,17 $ pro gefundener Sicherheitslücke findet, verglichen mit viel höheren Kosten pro Schwachstelle bei proprietären US-Modellen . Die Open-Weight-MIT-Lizenz bedeutet keine Lizenzgebühren. 360s Tools sind Inlandsprodukte für den chinesischen Markt, wahrscheinlich günstiger als US-Alternativen .

2. Zugänglichkeit steigt dramatisch.

• Jedes Sicherheitsteam mit bescheidener GPU-Infrastruktur kann GLM-5.2 für die automatisierte Code-Überprüfung selbst hosten .
• Chinesische Unternehmen und staatsnahe Einrichtungen haben jetzt direkten Zugang zu automatischen Zero-Day-Erkennungstools (Tulongfeng), die zuvor nur von US-Laboren unter strengen Kontrollen erhältlich waren .
• Die Kombination aus Open-Weight-LLMs, Destillation und einheimischen Tools bedeutet, dass fortschrittliche KI für Cybersicherheit kein US-Monopol mehr ist – zu keinem Preis .

3. Die Grenze zwischen Angriff und Verteidigung verschwimmt. Dasselbe GLM-5.2-Modell, das Schwachstellen für 0,17 $ pro Stück findet, und dasselbe Tulongfeng-Tool können sowohl für das Patchen von Schwachstellen als auch für die offensive Suche nach Exploits verwendet werden. Bei offenen Gewichten und ohne Aufsichtsebene ist es schwierig, defensive von offensiver Nutzung zu unterscheiden .

Fazit: Das Exportkontroll-Paradigma ging davon aus, dass die Einschränkung von NVIDIA-Chips und Modellgewichten die chinesischen KI-Fähigkeiten um 2-3 Generationen zurückwerfen würde. GLM-5.2 (Open-Weight, MIT-lizenziert, das US-Spitzenmodelle bei bestimmten Cybersicherheits-Benchmarks zu 1/6 der Kosten schlägt), Tulongfeng (einheimisches Mythos-Klasse-Tool) und die Alibaba-Destillationsepisode zeigen gemeinsam, dass Wissen, Fähigkeiten und Zugang dem Kontrollregime bereits entkommen sind. Fortschrittliche Cybersicherheitstools haben sich innerhalb weniger Wochen von knappen, nur in den USA erhältlichen, teuren Produkten zu global zugänglichen, kostengünstigen, offenen Kommoditäten entwickelt.