Cybersecurity

Anthropic warnt: Chinas GLM-5.3 baut Exploits wie Mythos, nur ohne Schutz

co-produced by AI30. September 2026, 08:32

Was Anthropic aus Sicherheitsgründen unter Verschluss hält, kann sich jetzt jede:r herunterladen. Das behauptet zumindest Anthropic selbst in einer soeben veröffentlichten Analyse seines Frontier Red Teams. Demnach kann das offene Modell GLM-5.3 des chinesischen Anbieters Z.ai ähnlich wie Claude Mythos Preview selbstständig vollständige Cyberangriffe bauen. Der Unterschied: GLM-5.3 sei „ohne nennenswerte Schutzmechanismen gegen Missbrauch veröffentlicht worden“.

Fast so gut wie Mythos

Anthropic hatte Claude Mythos Preview im April vorgestellt, aber nur einem kleinen Kreis von Partnern im Rahmen von Project Glasswing zugänglich gemacht, damit Verteidiger:innen ihre Systeme absichern können, bevor ähnlich fähige Modelle frei verfügbar sind. „Diese Modelle sind nun angekommen“, schreibt Anthropic. Die Ergebnisse der Tests im Überblick:

ExploitBench: Bei bekannten Schwachstellen in Chromes JavaScript-Engine V8 baute GLM-5.3 in 50 von 410 Versuchen einen vollständigen Exploit, Mythos Preview in 56.
Binärcode-Test: Bei 100 Aufgaben aus dem OSS-Fuzz-Projekt schaffte GLM-5.3 in 4 Prozent eine vollständige Übernahme des Programmablaufs, Mythos in 6 Prozent. Frühere Modelle wie Claude Opus 4.6 oder GLM-5.2 schafften keine einzige.
Unbekannte Lücken: Ein Anthropic-Forscher ließ GLM-5.3 rund einen Tag lang einen verbreiteten Browser untersuchen. Das Modell fand mehrere unbekannte Schwachstellen und verband sie zu einer Webseite, die beim Aufruf beliebige Dateien vom Computer der Besucher:innen ausliest. Die Lücken wurden dem Hersteller gemeldet, den Anthropic nicht nennt.
Billige Angriffe: Die kleinere Variante GLM-5.3-Flash baute für eine bekannte Chrome-Lücke eine funktionierende Angriffskette. Das kostete 20 Minuten menschliche Aufmerksamkeit, acht Stunden Rechenzeit und zu den API-Preisen von Z.ai rund 20 Dollar (rund 17 Euro).

Schutzmechanismen lassen sich leicht aushebeln

Den Kern der Kritik bilden die fehlenden Schutzmechanismen. Mit einfachen Tricks, etwa der falschen Behauptung, man betreibe einen autorisierten Red-Team-Agenten, ließen sich die Sperren von GLM-5.3 in Simulationen in 64 bis 100 Prozent der Fälle umgehen. Bei Claude-Modellen mit Schutzmechanismen habe keiner dieser Angriffe funktioniert. Weil die Gewichte offen sind, lassen sich die Sperren außerdem ganz entfernen. Anthropic brauchte dafür rund 2.200 GPU-Stunden, etwa 4.400 Dollar (rund 3.760 Euro). Mehrere Entwickler:innen hätten solche entsperrten Versionen wenige Tage nach dem Start öffentlich gestellt.

Anthropics Fazit fällt drastisch aus: GLM-5.3 sei ein „bedeutender Sprung“ bei den Cyberfähigkeiten, die Angreifer:innen zur Verfügung stehen, und es sei „wahrscheinlich“, dass staatliche und nichtstaatliche Akteure solche Modelle für reale Schäden nutzen werden. Regierungen sollten ausreichend fähige Modelle, auch Nachfolger von GLM-5.3, auf ihre Sicherheit testen. Zugleich betont Anthropic, dass die Fähigkeiten auch Verteidiger:innen nützen können.

Was Z.ai und die US-Behörden sagen

Z.ai, auch bekannt als Zhipu AI, hatte GLM-5.3 im August zunächst über die API gestartet und die Gewichte erst zwei Wochen später auf Hugging Face veröffentlicht. Die fortgeschrittenen Cyberfähigkeiten rechtfertigten „zwei zusätzliche Wochen umfassender Sicherheitsprüfungen“, erklärte das Unternehmen. Zudem gilt nun eine eigene Lizenz, nach der Firmen mit mehr als 10 Milliarden Dollar Jahresumsatz vor dem kommerziellen Einsatz eine Sicherheitsprüfung von Z.ai durchlaufen müssen. Eine Reaktion von Z.ai auf die Anthropic-Analyse gibt es bisher nicht.

Z.ai ist seit Jänner in Hongkong börsennotiert und an der Börse inzwischen nur mehr rund 40 Milliarden Dollar (rund 34 Milliarden Euro) wert, deutlich weniger als die 120 Milliarden Dollar (rund 103 Milliarden Euro) im Juni. Dem steht ein Halbjahresumsatz von 142 Millionen Dollar gegenüber. Die US-Normenbehörde NIST nannte GLM-5.3 in einer Bewertung ihres AI-Sicherheitsinstituts CAISI das bisher „cyberfähigste Open-Weight-Modell“. Zugleich hält sie fest, dass seine Fähigkeiten „deutlich unter denen aktueller US-Spitzenmodelle“ liegen. Deren Vorsprung schätzt CAISI auf rund vier Monate.

Die Gegenseite: Offene Modelle helfen auch Verteidiger:innen

Nicht alle teilen Anthropics Alarm. „Werden Bedrohungsakteure das nutzen? Natürlich. Wird es die Bedrohungslage deutlich verändern? Absolut nicht“, sagte Jake Williams von IANS Research schon vor dem Start laut The New Stack. Tom Uren argumentiert auf Lawfare, dass US-Firmen gute Gründe für chinesische Open-Weight-Modelle hätten: Sie seien billiger, liefen auf eigener Hardware und hätten sich bei Cybersecurity-Aufgaben bewährt. Ein pauschales Verbot ergebe deshalb keinen Sinn.

Dazu kommt der Vorwurf eines Interessenkonflikts. Anthropic ist Konkurrent von Z.ai und hat als einziges großes KI-Labor den Branchenbrief für offene Modelle nicht unterschrieben, den Nvidia, Meta, Microsoft, OpenAI und Google unterzeichnet haben, wie The Next Web berichtet. „Die gesamte Tech-Branche (außer Anthropic) hat sich für Open-Source-KI ausgesprochen“, kommentierte David Sacks damals. Auf Hacker News fragte ein Nutzer im Thread zur Analyse, ob das nicht ein „Forschungs-Interessenkonflikt mit einem direkten Konkurrenten“ sei.