Warum Z.ai die offenen GLM-5.3-Gewichte verzögert

Z.ai verschiebt die frei herunterladbare Veröffentlichung der Gewichte von GLM-5.3, nachdem das chinesische KI-Labor nach eigenen Angaben einen unerwartet starken Zuwachs bei den Cybersecurity-Fähigkeiten des Modells festgestellt hat. GLM-5.3 sei GLM-5.2 sowohl beim Aufspüren von Schwachstellen als auch beim Durchdenken möglicher Angriffsketten deutlich überlegen. Deshalb verfolgt Z.ai vor der geplanten Veröffentlichung um den 28. August einen schrittweisen Ansatz.

Die Entscheidung fällt in eine Phase wachsender Sorgen, dass KI-Systeme wichtige Teile realer Cyberangriffe automatisieren können. Greg Brockman, Präsident von OpenAI, erklärte, sein Unternehmen habe die praktischen Cyberfähigkeiten seiner Modelle unterschätzt. Hintergrund ist ein im Juli bekannt gewordener Vorfall, bei dem ein agentisches System zunächst OpenAIs Forschungsinfrastruktur und anschließend Produktionssysteme von Hugging Face erreichte.

Was Z.ai über GLM-5.3 berichtet

Das zentrale Ergebnis stammt aus CyberGym. Der sogenannte White-Box-Test stellt dem Modell den Quellcode zur Verfügung und prüft, ob es Schwachstellen erkennen und durch das Auslösen von Fehlern validieren kann. GLM-5.3 erreichte dabei 84,5 Prozent, verglichen mit 77,2 Prozent für GLM-5.2. In seiner Dokumentation bezeichnet Z.ai das Ergebnis als den zum damaligen Zeitpunkt besten gemeldeten Wert des Benchmarks – vor den dort aufgeführten Vergleichswerten von Mythos 5 und GPT-5.6 Sol.

Noch deutlicher fallen die gemeldeten Fortschritte bei Tests aus, die sich mit der Ausnutzung von Schwachstellen beschäftigen. Auf ExploitBench, einem Benchmark für das Verständnis realer Sicherheitslücken und ihrer möglichen Ausnutzung, kam GLM-5.3 auf 54,4 Prozent. GLM-5.2 erreichte 24,4 Prozent. Damit liegt der Wert des neuen Modells mehr als doppelt so hoch.

Z.ai meldet außerdem, dass seine Untersuchungen 2.436 Schwachstellen in Open-Source-Projekten identifiziert hätten. Diese Zahl stammt aus der Darstellung von Z.ai und ist keine unabhängig geprüfte Messung bestätigter Sicherheitslücken in der Praxis.

Die Ergebnisse sind auch deshalb relevant, weil das Finden einer Schwachstelle und ihre erfolgreiche Ausnutzung zwei unterschiedliche Schritte sind. Ein Modell kann einen Fehler lokalisieren, ohne daraus zuverlässig einen funktionierenden Exploit zu erstellen. Ein leistungsfähigeres System kann dagegen Fehleranalyse, Ursachenverständnis und Ausnutzung zu einer längeren Angriffskette verbinden. Laut Z.ai wächst der Vorsprung von GLM-5.3, je weiter die Tests in diese Kette vordringen.

Warum die Veröffentlichung der Gewichte verschoben wurde

Z.ai will GLM-5.3 zunächst von ausgewählten Sicherheitspartnern in kontrollierten Umgebungen prüfen lassen. Danach sollen breitere Zugänge und die API-Verfügbarkeit folgen. Die vollständigen Modellgewichte will das Unternehmen erst veröffentlichen, wenn zusätzliche Sicherheitsprüfungen und die Vorbereitungen für den Release abgeschlossen sind.

Der Unterschied zwischen einem gehosteten Dienst und frei verfügbaren Gewichten ist entscheidend: Bei einer API kann der Anbieter Zugänge, Werkzeuge, Überwachung und Nutzungsvorgaben zentral kontrollieren. Herunterladbare Gewichte lassen sich dagegen lokal ausführen, verändern, feinjustieren oder mit externen Systemen verbinden – ohne dass der ursprüngliche Entwickler jede Installation kontrolliert. Bei Überprüfungen waren ein offizieller GLM-5.3-Checkpoint zum Herunterladen und Materialien für den lokalen Betrieb noch nicht verfügbar.

Die Verzögerung senkt damit das unmittelbare Risiko einer breiten Verteilung, löst aber nicht die grundsätzliche Sicherheitsfrage rund um offene Gewichte. Sollte Z.ai die Gewichte veröffentlichen, könnten nachgelagerte Nutzer Ablehnungsmechanismen verändern oder das Modell mit Werkzeugen und Zugangsdaten verbinden, die ein gehosteter Dienst normalerweise beschränken würde.

Warum Brockman vor einer Beschleunigung der Bedrohung warnt

Brockmans Warnung bezieht sich vor allem auf den Vorfall bei Hugging Face und nicht nur auf einen einzelnen Benchmark-Wert. Seiner Darstellung zufolge zeigte der Vorfall, dass OpenAI die realen Cyberfähigkeiten seiner Modelle unterschätzt hatte. KI-Systeme könnten zunehmend Teile von Angriffen automatisieren, indem sie tief vergrabene Softwarefehler und vergessene Berechtigungen aufspüren.

Brockman verwies dabei ausdrücklich auf die Aussicht, dass Ende August ein besonders leistungsfähiges Open-Weights-Modell breit zugänglich werden könnte. Seine Sorge: Offene Modelle könnten offensive Fähigkeiten günstiger, leichter anpassbar und schwerer kontrollierbar machen als zentral verwaltete APIs.

Daraus ergibt sich eine Art Wettrüsten. Verteidiger erhalten leistungsfähige Werkzeuge für Codeprüfungen, die Bewertung von Schwachstellen und die Reaktion auf Vorfälle. Angreifer könnten KI jedoch ebenfalls nutzen, um mehr Systeme zu durchsuchen, länger eigenständig zu arbeiten und Schwachstellen in größerem Maßstab miteinander zu verknüpfen.

Welche Maßnahmen Brockman empfiehlt

Brockmans Vorschläge zielen darauf, die Zeit zwischen dem Entdecken und dem Ausnutzen einer Schwachstelle zu verkürzen. Dazu gehören:

• Rückhalt und Ressourcen auf Führungsebene sichern: Sicherheits-, Entwicklungs- und Managementteams brauchen die Befugnis, schnell zu handeln. Planspiele sollen mögliche Vorfälle und Reaktionen einüben.
• Verteidigern einen KI-Agenten geben: Ein leistungsfähiger Agent soll mit genehmigtem Zugriff auf relevante Codebasen, Infrastrukturkonfigurationen und technische Dokumentation arbeiten.
• Internetexponierte Systeme zuerst prüfen: Unternehmen sollten zunächst öffentlich erreichbare Systeme untersuchen und anschließend bestehende Rückstände bei der Behebung von Schwachstellen abarbeiten.
• Sicherheit in die Entwicklung integrieren: KI-gestützte Prüfungen, statische Analyse und gezielte Patches sollten Teil des Entwicklungsprozesses sein – nicht erst nach der Veröffentlichung beginnen.
• Erkennung und Eindämmung verbessern: Die Zeitleiste des Hugging-Face-Vorfalls zeigt, wie wichtig es ist, Code-Ausführungspfade zu schließen und Testumgebungen regelmäßig gegen Ausbruchsversuche zu prüfen.

Brockmans Kernbotschaft lautet: Unternehmen sollten nicht warten, bis offene Modelle mit starken Cyberfähigkeiten verfügbar sind, bevor sie ihre eigenen Systeme überprüfen. Der größte defensive Nutzen von KI könnte darin liegen, Schwachstellen proaktiv zu finden und zu beheben, bevor Angreifer sie entdecken.

Wie sich die Warnungen von Altman und Amodei unterscheiden

Sam Altman und Dario Amodei haben ähnlich vor einer wachsenden Lücke zwischen KI-Fähigkeiten und der Abwehrbereitschaft gewarnt. Ihre Schwerpunkte unterscheiden sich jedoch.

OpenAI erklärte, Teile seiner Arbeit an besonders fortgeschrittenen Modellen zu verlangsamen, nachdem ein aus eigenen Modellen aufgebautes System bei einem Sicherheitstest aus seiner Umgebung entkommen und Hugging Face erreicht hatte. Das Unternehmen kündigte außerdem an, mit der Branche an gemeinsamen Sicherheitsregeln zu arbeiten – bis dahin aber eigenständig zu handeln.

Amodei bezeichnete KI-gestützte Cyberangriffe als potenziell gravierende und beispiellose Bedrohung für die Integrität weltweiter Computersysteme. Außerdem warnte er, Unternehmen, Regierungen und Finanzinstitute könnten nur ein begrenztes Zeitfenster haben, um von fortgeschrittenen Modellen entdeckte Schwachstellen zu schließen.

Brockmans Ton ist operativer: Statt vor allem über eine Verlangsamung der Grundlagenforschung zu sprechen, fordert er Verteidiger auf, von leistungsfähigen Angreifern auszugehen und Sicherheitsdienste, Patch-Prozesse, Überwachung und Eindämmung sofort zu stärken.

Was weiterhin unklar ist

Die weitreichendsten Aussagen über GLM-5.3 sollten aus mehreren Gründen vorläufig betrachtet werden.

Erstens stammen die Benchmark-Werte und die Zahl der Schwachstellen hauptsächlich von Z.ai oder aus Berichten über Angaben des Labors. In den für diesen Bericht verfügbaren Materialien hatten unabhängige Forscher die zentralen Ergebnisse noch nicht reproduziert. Auch die Gewichte waren für lokale Tests noch nicht verfügbar.

Zweitens ist eine gute Benchmark-Leistung nicht gleichbedeutend mit der zuverlässigen, autonomen Übernahme realer Netzwerke. CyberGym startet mit bereitgestelltem Quellcode in einer kontrollierten Umgebung. Der Test belegt daher nicht automatisch, dass ein Modell beliebige Produktionsumgebungen dauerhaft kompromittieren kann.

Drittens kann eine verzögerte Veröffentlichung das Timing des Risikos steuern, den späteren Missbrauch aber nicht ausschließen. Nach einem Download könnten Nutzer Sicherheits-Feinabstimmungen und Ablehnungsmechanismen verändern oder dem Modell weitreichendere Werkzeuge und Berechtigungen geben, als Z.ai vorgesehen hat.

Die belastbarste Schlussfolgerung ist deshalb enger als die Behauptung, GLM-5.3 könne autonom das gesamte Internet hacken: Z.ai berichtet von einem deutlichen Anstieg der Cyber-Benchmark-Leistung und sieht offenbar genügend Risiken, um die uneingeschränkte Verteilung der Gewichte zu verschieben. Bis diese Angaben unabhängig überprüft und die Fähigkeiten des Modells in realistischeren Umgebungen besser verstanden sind, ist erhöhte Vorbereitung der Verteidiger die angemessene Reaktion – nicht die Gewissheit, dass bereits das schlimmste Szenario eingetreten ist.