Open Source vs. Restriktion: Wie Z.ais GLM-5.3 im direkten Duell mit Anthropics Mythos 5 bei der Cybersicherheit abschneidet

Am 14. August 2026 veröffentlichte Z.ai GLM-5.3, ein Open-Source-Modell auf Basis eines 743 Milliarden Parameter umfassenden Grundmodells. Das Modell erzielte mit 84,5 % einen Spitzenwert auf dem CyberGym-Benchmark zur Erkennung von Sicherheitslücken und übertraf damit knapp Anthropics restriktiven Mythos 5 (83,8 %) sowie OpenAI's GPT-5.6 Sol (83,6 %) . Allerdings liegt GLM-5.3 bei der tatsächlichen Entwicklung von Exploits (54,4 % vs. 78,0 % auf ExploitBench) deutlich hinter Mythos 5 zurück, und die Veröffentlichung der offenen Modellgewichte wurde bis zu einer Sicherheitsüberprüfung verschoben . Der Vergleich zeichnet ein komplexes Bild einer knappen Führung bei der Erkennung versus deutlicher Lücken bei der Ausnutzung, den Zugangskontrollen, der Sicherheitshaltung und dem regulatorischen Umfeld.

Erkennung von Sicherheitslücken

• CyberGym (Erkennung und Validierung von Schwachstellen im White-Box-Verfahren): GLM-5.3 erreicht 84,5 % – das höchste öffentlich gemeldete Ergebnis – vor Mythos 5 mit 83,8 % und GPT-5.6 Sol mit 83,6 % . Dieser Benchmark testet, ob ein Modell echte Schwachstellen im Quellcode finden und validieren kann.
• Realwelt-Volumen: Während des Post-Trainings identifizierte GLM-5.3 2.436 bisher nicht bekannte Sicherheitslücken in der realen Welt – eine Fähigkeit, die Z.ai zufolge „schneller wuchs als erwartet“ .

Exploit-Fähigkeiten

• ExploitBench (Ursachenanalyse und Generierung funktionsfähiger Exploits): GLM-5.3 erreicht 54,4 % – mehr als eine Verdopplung gegenüber dem Vorgänger GLM-5.2 (24,4 %), aber deutlich hinter Mythos 5 mit 78,0 % und GPT-5.6 Sol mit 76,5 % . Dies ist die deutlichste Lücke zwischen den beiden Modellen.
• ExploitGym (abgeschlossene Exploit-Aufgaben innerhalb eines normalisierten Zwei-Stunden-Budgets): GLM-5.3 schließt 105 Aufgaben ab, verglichen mit 29 bei GLM-5.2. Vergleichbare Daten von Mythos 5 zu dieser spezifischen Metrik wurden jedoch nicht nebeneinander veröffentlicht .

Breitere Benchmarks (Code- und agentische Aufgaben)

Benchmark	GLM-5.3	GLM-5.2 (Vorgängergeneration)
Terminal-Bench 3.0	28,3	4,6
DeepSWE v1.1	66,9	46,2
Agents' Last Exam (CLI)	28,5	23,8
Z.ai Interner Code-Bench	~50 % Verbesserung	Basislinie

Hinweis: Mythos 5 erreicht 80,3 % auf SWE-bench Pro (agentisches Programmieren), aber direkte Vergleiche auf diesen spezifischen Benchmarks sind für beide Modelle nicht verfügbar . Alle Verbesserungen von GLM-5.3 kamen ausschließlich durch ein erweitertes Post-Training – das Basis-743B-Modell wurde nicht neu trainiert .

Open-Source-Ansatz und Sicherheitsmaßnahmen

• Verzögerte Veröffentlichung der offenen Gewichte: GLM-5.3 ist sofort über die API und Coding-Pläne verfügbar, aber die herunterladbaren offenen Gewichte sind bis zu einer Sicherheitsüberprüfung zurückgestellt – ein Aufschub von mindestens zwei Wochen, so Z.ai . Dies ist eine Abkehr von GLM-5.2, das am 16. Juni 2026 vollständig mit offenen Gewichten veröffentlicht wurde .
• Vorherige Sicherheitsbewertung (GLM-5.2): Eine CAISI (NIST)-Evaluierung vom Juli 2026 stufte die Sicherheitsvorkehrungen von GLM-5.2 als „gemischt“ ein: Es ermöglichte die Unterstützung bei der agentischen Entwicklung von Cyber-Exploits und zeigte eine schwache Verweigerungsrate bei hochriskanten Anweisungen . Ein separater Bericht von SaferAI ergab, dass GLM-5.2 0 % der hochriskanten Cyber-Anweisungen ablehnte und eine Wiederherstellungsrate von Schwachstellen von 76 % aufwies, wobei es in der Cyberangriffsfähigkeit nur 2–4 Monate hinter GPT-5.5 zurücklag .
• Der Ansatz von Mythos 5 ist das Gegenteil: Anthropic hat Mythos 5 nie öffentlich zugänglich gemacht. Der Zugang ist auf etwa 200 geprüfte Organisationen (einschließlich der US-Regierung) im Rahmen von Project Glasswing beschränkt . Anthropic hat das Modell außerdem in eine bereinigte Variante namens „Fable 5“ für den allgemeinen Gebrauch aufgespalten, die bei offensiven Cyber-Aufgaben 0 % erreicht .

Branchen- und Regulierungskontext

• Chinesischer Regulierungsdruck: Im Juli 2026 führten die chinesischen Behörden Gespräche mit führenden KI-Unternehmen über eine mögliche Einschränkung des Zugangs aus dem Ausland zu Chinas fortschrittlichsten KI-Modellen, einschließlich noch nicht veröffentlichter . Dies schafft Unsicherheit darüber, ob die Gewichte von GLM-5.3 letztendlich frei exportiert werden können.
• Trotz dieser Bedenken: Z.ai berichtet von einer wachsenden Akzeptanz bei westlichen Entwicklern, und GLM-5.3 gewinnt als wettbewerbsfähiges Open-Source-Modell an Glaubwürdigkeit .
• Allgemeiner Aufholprozess bei offenen Gewichten: TechCrunch berichtete im August 2026, dass Modelle mit offenen Gewichten wie GLM-5.2 bei Cyber- und Bio-Fähigkeiten zu den führenden Laboren aufschließen, die „Sicherheitslücke jedoch bestehen bleibt“ – diese Modelle haben weitaus schwächere Verweigerungsmechanismen als ihre restriktiven Gegenstücke .

Wichtige Einschränkungen

1. Von Z.ai selbst gemeldete Benchmarks. Die CyberGym- und ExploitBench-Ergebnisse von GLM-5.3 stammen aus Z.ais eigener Testmethodik, nicht von einem unabhängigen Drittauditor .
2. Mythos 5-Werte könnten ebenfalls konservativ sein. Anthropic gibt ExploitBench für Mythos 5 mit 78,0 % und SWE-bench Pro mit 80,3 % an – Zahlen, die aus Anthropics eigenen Bewertungen stammen .
3. Die ExploitBench-Lücke ist groß. Ein Unterschied von 23,6 Prozentpunkten bei der Ausnutzung deutet darauf hin, dass Mythos 5 bei der gefährlichsten offensiven Fähigkeit – der Generierung funktionsfähiger Exploits aus einer Ursachenanalyse – wesentlich besser ist .
4. Der Status der offenen Gewichte steht noch aus. GLM-5.3 ist noch nicht wirklich im Sinne offener Gewichte verfügbar; der Download ist bis zur Sicherheitshärtung blockiert. Sollten die Gewichte nie öffentlich freigegeben werden, verringert sich die „Open-Source“-Unterscheidung zu Mythos 5 erheblich .

Fazit

GLM-5.3 beansprucht eine knappe Führung gegenüber Mythos 5 bei der Erkennung von Schwachstellen (84,5 % vs. 83,8 % auf CyberGym), liegt aber bei der Ausnutzung deutlich zurück (54,4 % vs. 78,0 % auf ExploitBench). Die Veröffentlichung der offenen Gewichte ist zur Sicherheitsüberprüfung verzögert, und der Vorgänger GLM-5.2 wurde als nahezu weigerungsfrei gegenüber Cyberangriffsanweisungen bewertet. Mythos 5 bleibt wesentlich stärker eingeschränkt – nie öffentlich verfügbar, auf etwa 200 geprüfte Partner begrenzt – aber auch deutlich leistungsfähiger bei der gefährlichsten offensiven Aufgabe: der Generierung funktionsfähiger Exploits. Die breitere Implikation ist, dass Modelle mit offenen Gewichten die Fähigkeitslücke zu den restriktiven Frontier-Modellen bei Cyber-Aufgaben schnell schließen, während die Sicherheitsvorkehrungen wesentlich schwächer bleiben. Die regulatorische Unsicherheit in China bezüglich des Exports von Spitzen-KI-Modellen fügt eine weitere Komplexitätsebene hinzu, ob die Gewichte von GLM-5.3 jemals so frei verfügbar sein werden, wie Z.ais Marketing es suggeriert.