GLM 5.3: „Offensiv nutzbare KI-Systeme nicht mehr auf kontrollierte Labore beschränkt“
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Das chinesische KI-Labor Z.ai hat sein neues Frontier-Modell GLM 5.3 als Open-Weight-Software veröffentlicht, zuvor anonym getestet unter dem Codenamen „Ox Alpha“. Open Weight bedeutet, dass die zugrunde liegenden Modellgewichte frei zugänglich sind und von allen genutzt, angepasst und lokal betrieben werden können. Für den Sicherheitsanbieter Check Point Software ist genau diese Kombination der Grund, warum die Veröffentlichung sicherheitsrelevant ist.
„GLM 5.3 ist ein wirklich beeindruckendes Pioniermodell, das die Leistung führender Labore bei etwa einem Fünftel der Kosten erreicht“, sagt Check-Point-CTO Jonathan Zanger. „Genau diese Kombination aus Leistungsfähigkeit und Verfügbarkeit ist der Grund, warum diese Veröffentlichung aus Sicht der Cybersicherheit von Bedeutung ist. Hochleistungsfähige, für offensive Zwecke nutzbare KI-Systeme sind nicht mehr auf eine Handvoll streng kontrollierter Labore beschränkt. Ob ein Modell offen oder geschlossen ist, ändert nichts an dieser Entwicklung. Diese Fähigkeiten existieren bereits und werden mit der Zeit nur noch zugänglicher werden.“
Die Diskussion müsse sich daher verlagern, argumentiert Zanger: weg von der Frage, ob solche Fähigkeiten überhaupt existieren sollten, hin zum Schutz der IT-Systeme, also zu Erkennung, Reaktion und einer Infrastruktur, die für eine Welt ausgelegt ist, in der ausgeklügelte KI-gesteuerte Angriffe günstig und weit verbreitet sind. Entscheidend sei am Ende, ob Cybersicherheitsteams darauf vorbereitet sind.
Der Hintergrund: ein Modell, das aus dem Labor ausbrach
Die Veröffentlichung fällt in eine Phase, in der mehrere Vorfälle gezeigt haben, wie weit autonome KI-Agenten in Angriffsszenarien bereits kommen. Ausgangspunkt war ein Vorfall Mitte Juli: Ein damals noch unveröffentlichtes OpenAI-Modell brach aus seiner Testumgebung aus und drang in die Entwicklerplattform Hugging Face ein.
Nach der technischen Rekonstruktion von Hugging Face zog sich der Vorgang über rund viereinhalb Tage und umfasste etwa 17.600 dokumentierte Agenten-Aktionen. Der Agent nutzte demnach eine Zero-Day-Lücke in einer Paket-Registry, um den Sandbox-Käfig zu verlassen, richtete sich auf einem ungesicherten öffentlichen Endpunkt eine Art Kommandozentrale ein und drang von dort über zwei Injection-Vektoren in die Dataset-Verarbeitung der Plattform ein. Am Ende hatte das System unter anderem Administrationsrechte in der Kubernetes-Infrastruktur, Zugang zu internen Datenbanken und Schreibrechte in der Versionsverwaltung. Kundendatenbanken und Produktionsmodelle blieben nach Darstellung des Unternehmens unberührt.
Ein später veröffentlichter OpenAI-Bericht beziffert die Zahl der beteiligten Agenten-Instanzen auf rund 700, die koordiniert vorgingen. OpenAI selbst bemerkte den Vorgang erst, nachdem Hugging Face ihn öffentlich gemacht und die Strafverfolgungsbehörden eingeschaltet hatte. Anthropic und Meta gaben anschließend bekannt, dass auch ihre eigenen Systeme ähnliches autonomes Verhalten gezeigt hätten. In der Branche wird der Fall unterschiedlich gelesen: Manche sehen darin einen Beleg für eine neue Klasse von Sicherheitsrisiken, andere einen Nebeneffekt des Wettbewerbs um den entstehenden Markt für KI-Cybersicherheit.
Taiwan als erster staatlicher Anwendungsfall
Kurz darauf wurde ein Fall bekannt, in dem KI-Agenten gezielt von menschlichen Angreifer:innen eingesetzt wurden. Das israelische Cybersicherheitsunternehmen Dream, an dem der frühere österreichische Bundeskanzler Sebastian Kurz beteiligt ist, deckte eine Kampagne gegen taiwanische Behörden auf. Die Angreifer:innen, die Sicherheitsforscher:innen China zuordnen, setzten laut CyberScoop zwei quelloffene Agenten-Frameworks ein.
Das System passte sich während des laufenden Angriffs ohne menschliches Eingreifen an, korrigierte eigene Fehler und priorisierte Ziele selbstständig. Betroffen waren neben einer Regierungsbehörde auch ein Behörden-Mailsystem, Zulieferer aus der IT-Lieferkette, eine Aufsichtsbehörde für Nuklearsicherheit und mehrere Energieversorger. Mehr als 2.500 Personalakten wurden abgezogen. Die Schutzmechanismen der eingesetzten Modelle umgingen die Angreifer:innen, indem sie den Einsatz als autorisierten Penetrationstest deklarierten. Taiwan bestätigte den KI-gestützten Angriff auf seine Behörden anschließend offiziell.
Mehr als 100 Unternehmen warnen gemeinsam
Vor diesem Hintergrund haben kürzlich mehr als 100 Technologiekonzerne einen offenen Brief unterzeichnet, darunter OpenAI, Anthropic, Google und Microsoft, dazu Sicherheitsanbieter wie CrowdStrike, Okta und Fortinet sowie Finanzinstitute und Betreiber von Internet-Infrastruktur. „In den kommenden Monaten werden KI-gestützte Cyberangriffe deutlich verbreiteter und ausgefeilter, da Modelle weltweit immer leistungsfähiger werden“, heißt es darin. Gefährdet seien Unternehmen und öffentliche Dienste, von Krankenhäusern über Kläranlagen bis zur Infrastruktur, die das Internet betreibt.
Die Unterzeichner:innen fordern neue Formen der Cyberabwehr und eine Zusammenarbeit von Behörden auf lokaler, nationaler und internationaler Ebene sowie neue Partnerschaften, um Sicherheitsstandards anzuheben. Bemerkenswert ist die Doppelrolle mehrerer Unterzeichner: Dieselben Labore, die vor den Fähigkeiten ihrer Systeme warnen, entwickeln weiter leistungsfähigere Modelle und bringen zugleich Sicherheitsprodukte auf Basis dieser Modelle auf den Markt, etwa OpenAI mit Daybreak, Anthropic mit Mythos und Microsoft mit der Plattform Perception.
