„As we scaled post-training, cyber capability developed faster than we expected.“ Mit diesen Worten begründete Z.ai die Entscheidung, die Gewichte von GLM-5.3 zunächst zurückzuhalten. Die Aussage wirkt überraschend, doch die begleitenden Zahlen zeigen ein differenzierteres Bild.
Z.ai hat am vergangenen Freitag GLM-5.3 veröffentlicht, allerdings mit einer wichtigen Einschränkung: Die Download-Gewichte werden erst um den 28. August verfügbar sein. Das ist das erste Mal, dass Z.ai einen Modell-Release verzögert. Bisher galt das Unternehmen als einer der wenigen großen Anbieter, die ihre Modelle offen zum Download anbieten. Jetzt übernimmt Z.ai die Zugangskontrollen, die amerikanische Labs wie Anthropic und OpenAI bei ihren sensibelsten Cyber-Modellen bereits etabliert haben. Die Testergebnisse erklären den Schritt.
Die Benchmark-Zahlen: Ein Sieg mit Schönheitsfehlern
Die zentrale Kennzahl stammt aus Z.ai’s eigenem CyberGym-Test. Dort erreichte GLM-5.3 84,5 Prozent und schlug damit Anthropics Mythos 5 (83,8 Prozent) sowie GPT-5.6 Sol (83,6 Prozent). Das klingt nach einem deutlichen Sieg. Der Test umfasste 1.507 Aufgaben aus 188 Software-Projekten. Zum Vergleich: GLM-5.2 schaffte im selben Setup nur 77,2 Prozent. Die Steigerung um über sieben Prozentpunkte ist beachtlich und erklärt teilweise die Vorsicht des Unternehmens.
Doch der Vorsprung schmilzt, sobald man von der Schwachstellensuche zur Schwachstellenausnutzung übergeht. Auf ExploitBench, einem Benchmark, der die Fähigkeit zur Entwicklung vollständiger Exploit-Ketten misst, erreicht GLM-5.3 nur 54,4 Prozent. Anthropics Mythos 5 kommt dort auf 78,0 Prozent. Ähnlich sieht es bei ExploitGym aus: GLM-5.3 schafft 105 Aufgaben unter einem Zwei-Stunden-Budget, Mythos 5 bewältigt 181. Selbst bei sechs Stunden bleibt die Lücke bestehen – 130 gegen 247 Aufgaben.
Z.ai hat die Lücke bei der Schwachstellensuche geschlossen, liegt aber bei der Exploit-Entwicklung deutlich zurück. Die Fähigkeit, Schwachstellen zu finden, ist nicht dasselbe wie die Fähigkeit, sie auszunutzen. Für die Sicherheitsbewertung zählt vor allem die vollständige Angriffskette, nicht der bloße Fehlerfund.
Die Schwachstellenliste: Was Z.ai tatsächlich gefunden hat
Z.ai hat parallel zu den Testergebnissen eine Schwachstellenliste veröffentlicht. Stand 14. August umfasst diese Liste 2.436 Funde in 269 Open-Source-Projekten. Darunter sind 107 kritische Fehler und 990 als hoch eingestufte Schwachstellen. Nur 53 dieser Funde wurden bereits öffentlich gemacht, 2.383 befinden sich noch unter Embargo.
Die betroffene Software umfasst zentrale Projekte der kritischen Infrastruktur: Linux-Kernel, Redis, WebKit und FreeBSD. Der älteste gefundene Fehler stammt aus dem Jahr 1981. Im Durchschnitt blieben die Schwachstellen 26,6 Jahre unentdeckt. Das zeigt die schleichende Verschuldung in der Softwaresicherheit: Code, der seit Jahrzehnten in Produktion ist, enthält unentdeckte Fehler.
Diese Liste belegt, dass das Modell nicht nur in synthetischen Benchmarks funktioniert. Allerdings stammt auch diese Liste von Z.ai selbst. Eine unabhängige Bestätigung der Cyber-Ergebnisse gibt es bisher nicht. Artificial Analysis, ein unabhängiger Benchmark-Anbieter, hatte GLM-5.3 bis zum 14. August noch nicht in seine Tests aufgenommen. Die Ergebnisse beruhen vollständig auf Z.ai’s eigener Harness-Konfiguration.
Entwicklungsdynamik: Warum die Cyber-Fähigkeiten so schnell wachsen
Z.ai erklärt den Entwicklungssprung mit einem Monat intensivem Post-Training. Das Modell basiert auf dem gleichen Grundmodell wie GLM-5.2, aber mit erweiterten Aufgabenumgebungen, einer breiteren Mischung an Aufgaben und mehr Rechenzeit. Nach den Angaben des Unternehmens hat das Post-Training gezielt Schwachstellen-Findung gefördert – mit unerwarteten Nebenwirkungen.
„Wir haben absichtlich Vulnerability-Discovery-Arbeit hinzugefügt“, sagte das Unternehmen, „aber das Modell entwickelte sich vom Finden isolierter Fehler hin zur Planung kompletter Exploit-Ketten.“ Diese Entwicklung verlief offenbar schneller als erwartet. Diese Eigendynamik bewog Z.ai, die Veröffentlichung der Gewichte zu verschieben. Denn einmal veröffentlicht, verliert das Unternehmen jede Kontrolle über die Nutzung.
Das Vorgehen erinnert an Anthropic, das Mythos 5 im Juni ebenfalls nur an verifizierte Partner freigab. „Da diese Fähigkeit das größte Missbrauchspotenzial im Sicherheitsbereich birgt, beschränken wir den ersten Zugang auf eine kleine Zahl von Partnern“, hieß es damals. Die Industrie geht also einheitlich zu eingeschränkten Zugängen über – Z.ai holt das als Nachzügler nach.
Die Verzögerung: Erste Gewichts-Kontrolle bei Z.ai
Die Gewichte für GLM-5.3 sollen um den 28. August nach Sicherheitsbewertung und Härtung veröffentlicht werden. Das ist die erste derartige Verzögerung in der Geschichte des Unternehmens. Bis dahin läuft der Zugang über den kostenpflichtigen GLM Coding Plan, ZCode und kontrollierte Umgebungen für ausgewählte Sicherheitspartner. Die sensibelsten Funktionen bleiben einer vertrauenswürdigen Zugriffsebene vorbehalten.
Z.ai räumt dabei offen ein, dass es nach der öffentlichen Freigabe keine Kontrolle mehr über Modifikationen oder Nutzung des Modells haben wird. Diese Einsicht ist ehrlich, aber auch folgenreich. Sobald die Gewichte öffentlich sind, kann jeder das Modell feinjustieren, Sicherheitsmaßnahmen entfernen und für eigene Zwecke umbauen. Die Frage ist, ob eine zweiwöchige Verzögerung irgendetwas an diesem Risiko ändert – vermutlich nicht.
Die Marktreaktion fiel jedenfalls negativ aus. Am 14. August, dem Tag der Veröffentlichung, fielen die Z.ai-Aktien. Der Marktwert sank von einem Höchststand von 128 Milliarden Dollar auf rund 75 Milliarden Dollar. Robert Lea, ein Intelligenz-Analyst, kommentierte gegenüber Bloomberg: „Dieses Unternehmen steht auf einem völlig unhaltbaren kommerziellen Fundament. Steigende agentische KI wird Z.ai’s Inferenzkosten und Verluste weiter erhöhen.“ Die Verzögerung der Gewichte dürfte diese Bedenken kaum zerstreuen.
Verifikationsproblem: Die eigene Harness als blinde Flecken
Ein zentrales Problem bleibt: alle Cyber-Werte stammen aus Z.ai’s eigener Testumgebung. Das Unternehmen führte die Tests mit maximalem Reasoning-Aufwand durch, erlaubte einen einzigen Versuch pro Aufgabe und setzte kein Zeitlimit. Bei ExploitGym wurden die Zeitbudgets mit Modell-Durchsatzraten neu skaliert statt mit gemessener Wanduhrzeit. Diese methodischen Entscheidungen sind legitim, aber sie erschweren den Vergleich mit anderen Modellen.
Unabhängige Überprüfungen stehen aus. Die einzige externe Bewertung deckt GLM-5.2 ab, nicht die neue Version. Das UK AI Security Institute stufte GLM-5.2 im Juli als das stärkste Open-Weight-Modell ein, das es für Cybersicherheit getestet hatte, vergleichbar mit geschlossenen Modellen aus einem Zeitraum von vier bis sieben Monaten zuvor. Dieser Abstand hatte sich im Laufe von 2025 bereits auf sechs bis zehn Monate vergrößert.
Die Zahlen von Z.ai sind also eine Selbstauskunft mit interessanten Indizien, aber ohne unabhängige Bestätigung. Dennoch gibt es Praxiserfahrungen: Hugging Face nutzte GLM-5.2 zur Untersuchung eines Server-Einbruchs, nachdem die Sicherheitsvorkehrungen amerikanischer Frontier-Modelle nicht weiterhalfen.
Zwischen Sicherheit und Geschäft: Was die Verzögerung bedeutet
Die Verzögerung der Gewichte hat eine doppelte Dimension. Einerseits zeigt sie Verantwortungsbewusstsein: Z.ai erkennt die Risiken und handelt entsprechend. Andererseits ist sie auch ein Eingeständnis der eigenen Grenzen. Das Unternehmen hat die Entwicklung der Cyber-Fähigkeiten unterschätzt, und die Infrastruktur für sichere Veröffentlichungen ist offenbar nicht vollständig vorbereitet.
Für dich als Entwickler oder Sicherheitsforscher bedeutet das: Du bekommst Zugang zu GLM-5.3 vorerst nur über die kontrollierten Kanäle. Der GLM Coding Plan kostet Geld, ZCode ist ebenfalls kostenpflichtig, und der Zugang für Sicherheitspartner ist begrenzt. Wenn du auf OpenWeights angewiesen bist, musst du bis zum 28. August warten – und hoffen, dass dieser Termin gehalten wird.
Die Cybersicherheit von KI-Modellen entwickelt sich schneller, als die Industrie verantwortungsvoll verarbeiten kann. Offene Modelle liefen früher den geschlossenen hinterher. Jetzt entsteht eine neue Klasse von Modellen, deren Fähigkeiten die Labore selbst überraschen. Das führt zu Zugangskontrollen, die noch vor einem Jahr undenkbar waren. Für die Open-Source-Community ist das ein Rückschlag – für die Sicherheitslage vielleicht ein notwendiger.
Quelle: implicator.ai
