„Scaling post-training is all we did for GLM-5.3.“ Das klingt minimalistisch, ist aber eine klare Ansage. Andere Labore vergrößern ihre Basismodelle, das Team hinter GLM-5.3 hat das Fundament von GLM-5.2 unverändert gelassen und stattdessen die Phase nach dem Training massiv ausgebaut. Die Entscheidung führt zu einem Modell, das beim Programmieren neue Maßstäbe setzt und Sicherheitslücken findet – eine Entwicklung, die niemand vorhergesehen hat.
Bevor wir in die Details gehen: Was bedeutet Post-Training? Ein großes Sprachmodell wird mit riesigen Textmengen vortrainiert, lernt Sprache, Code und Muster. Danach folgt das Post-Training, in dem das Modell mit Techniken wie Reinforcement Learning (RL) auf bestimmte Aufgaben ausgerichtet wird. Es ist wie ein Rohling, der nach dem Gießen geschliffen wird. GLM-5.3 zeigt: Dieser Schliff ist nicht kosmetisch, er kann die Leistung drastisch verändern, ohne das Grundmaterial auszutauschen.
Die Infrastruktur: IndexShare, SAO und slime als Fundament
Für das Skalieren des Post-Trainings braucht es eine durchdachte technische Basis. Das Team nennt drei Bausteine: IndexShare für lange Kontexte, SAO für Reinforcement Learning über lange Aufgabenhorizonte und slime, ein Open-Source-Framework für asynchrones Training im großen Maßstab. Diese Komponenten sind die eigentliche Innovation. Sie ermöglichen Post-Training mit tausenden Umgebungen, vielfältigen Aufgaben und enormer Rechenkraft.
Der Schlüssel liegt in slimes Architektur: Training, Rollout und Datenpuffer laufen in einem einzigen Datenfluss. Mathematik, Code, Sandboxen, Verifier und agentische Umgebungen werden als Datenproduktion behandelt, nicht als Änderungen am Trainingsloop. So konnte das Team über die Versionen GLM-5.2 und GLM-5.3 hinweg neue Umgebungen hinzufügen, ohne den Trainingsstack neu aufzubauen. Das ist entscheidend, denn die Schwierigkeit liegt nicht im Modell selbst, sondern in der Umgebung: Sie muss ausführbar, verifizierbar und nah an echter Expertenarbeit sein – und es braucht viele davon, nicht nur ein paar handverlesene.
Stärkeres Coding: Von Terminal Bench bis zum eigenen Z.ai Code Bench
Die Ergebnisse auf öffentlichen Benchmarks sprechen für sich. Terminal-Bench 3.0 steigt von 4,6 auf 28,3 Punkte, DeepSWE v1.1 von 46,2 auf 66,9, und auf Agents‘ Last Exam verbessert sich das Modell von 23,8 auf 28,5. Das sind Sprünge, vor allem bei Aufgaben mit langwieriger Problemlösung. Die Entwickler haben die Umgebungen so gestaltet, dass sie eher wie echte Arbeitseinheiten wirken. Ein Beispiel aus der ML-Infrastruktur: Das Modell bekommt dieselbe Arbeitsumgebung wie ein Ingenieur, mit Zugriff auf Compute-Cluster, Speicher, interne Dokumentation, Codebasen und Experimentergebnisse. Es soll Engpässe im Trainingsstack diagnostizieren, Optimierungen implementieren, Experimente durchführen und am Ende eine messbare Beschleunigung liefern – ohne die Korrektheit zu verlieren.
Dieser Ansatz zwingt das Modell, vollständige Arbeitsabläufe zu übernehmen, statt sich auf den Nutzer zu verlassen, der das Problem in kleine Schritte zerlegt. Der Unterschied zu älteren Modellen ist deutlich: GLM-5.3 arbeitet nicht nur schneller, sondern auch effizienter. Auf dem hauseigenen Z.ai Code Bench, der reale Nutzerszenarien abbildet, erreicht das Modell bei Max-Effort eine Erfolgsquote von 34,5 % mit etwa 75.000 Output-Tokens pro Aufgabe – im Vergleich zu 23,4 % bei 96.000 Tokens für GLM-5.2. Mehr Leistung mit weniger Rechenaufwand.
Emergente Cyber-Fähigkeiten: Mehr als nur ein Nebeneffekt
Der überraschendste Teil des Berichts betrifft die Cyber-Sicherheit. Das Team erwartete, dass das Modell durch das Training mit Schwachstellen-Daten besser Codefehler findet. Nicht erwartet hatten sie die Geschwindigkeit, mit der sich diese Fähigkeit entwickelte. GLM-5.3 identifiziert nicht nur isolierte Schwächen – es denkt über mehrere Stufen der Exploitation nach und formuliert kohärente Pläne für komplette Angriffsketten. Auf CyberGym erreicht das Modell 84,5 % und liegt damit vor Mythos 5 (83,8 %) und GPT-5.6 Sol (83,6 %). Noch beeindruckender sind die Zahlen auf ExploitBench: 54,4 % – mehr als das Doppelte des Vorgängermodells (24,4 %). Der Abstand zu den Closed-Source-Modellen bleibt zwar groß (Mythos 5: 78,0 %, GPT-5.6 Sol: 76,5 %), aber die Wachstumsrate ist aufschlussreich.
Das Muster ist interessant: Je weiter oben in der Exploitation-Kette ein Benchmark liegt, desto größer ist der Sprung von GLM-5.2 zu GLM-5.3 – und gleichzeitig bleibt die Lücke zu den führenden Closed-Source-Modellen am breitesten. Das Team kommentiert nüchtern: „Capability is growing fastest exactly where we are furthest behind.“ Das ist keine Selbstzufriedenheit, sondern eine realistische Einschätzung. Die praktische Relevanz zeigt sich in einer Kooperation mit mehreren Sicherheitsteams in China, bei der das Modell gegen reale Codebasen getestet wurde. Nach Expertenprüfung und Deduplizierung identifizierte es 2.436 Schwachstellen in 269 Projekten, davon 1.097 mit mittlerer bis hoher Schwere. Einige dieser Fehler waren seit Jahrzehnten unbemerkt – der älteste stammt aus dem Jahr 1981.
Der Security Disclosure Ledger: Verantwortung im Umgang mit neuen Fähigkeiten
Solche Fähigkeiten werfen die Frage nach Verantwortung auf. Das Team hat eine klare Antwort: Sie haben den Z.ai Security Disclosure Ledger eingeführt, ein öffentliches Register, das gemeldete Schwachstellen dokumentiert, während sie durch den Offenlegungsprozess laufen. Bisher sind 53 der 2.436 Funde öffentlich bekannt gemacht, der Rest steht unter Embargo. Der Ledger unterscheidet veröffentlichte von noch unter Embargo stehenden Fällen und speichert Details wie betroffenes Projekt, Schweregrad, CVE-Nummer und Verweildauer des Fehlers im Code.
Diese Transparenz ist bemerkenswert, denn sie zeigt, dass die Entwickler die Risiken ernst nehmen. Gleichzeitig ist sie pragmatisch: Indem man die Funde offenlegt, bevor sie zu Angriffen genutzt werden können, trägt man zur Sicherheit der Open-Source-Community bei. Es ist ein schmaler Grat zwischen der Präsentation von Fähigkeiten und der Verantwortung, die damit einhergeht. Das Team geht diesen Weg, ohne in Hysterie zu verfallen – ein erwachsener Umgang mit KI-Sicherheit.
Was das für die Praxis bedeutet: Ein Werkzeug, das Verantwortung übernimmt
Was bedeutet das für dich als Entwickler, Security-Experten oder Technik-Enthusiast? GLM-5.3 ist kein weiteres KI-Modell, das ein paar Prozentpunkte auf einem Benchmark erreicht. Es bewältigt eigenständig komplexe Aufgaben über lange Zeiträume – sei es das Optimieren einer ML-Infrastruktur oder das Aufspüren von Sicherheitslücken in alten Codebasen. Die Fähigkeit, über mehrere Schritte hinweg zu planen, ist der eigentliche Durchbruch. Das ist ein Assistent, der nicht nur sagt, was zu tun ist, sondern es auch tut, mit Verständnis für den gesamten Zusammenhang.
Die Entwicklung zeigt: Open-Source-Modelle können in einigen Bereichen bereits mit den teuren Closed-Source-Modellen mithalten – besonders beim Coding und bei der Problemlösung. Die Lücke im Cyber-Sektor ist noch da, aber sie schließt sich schneller als gedacht. In zwei Wochen werden die Gewichte veröffentlicht, nach Abschluss der Sicherheitsbewertung. Dann kann sich jeder selbst ein Bild machen. Bedenke: Diese Fähigkeiten sind ein zweischneidiges Schwert. Ein Modell, das Exploits findet, kann sie auch nutzen – die Verantwortung liegt beim Anwender. Die Entwickler haben mit dem Disclosure Ledger einen ersten Schritt getan, um diese Verantwortung zu strukturieren. Der Rest liegt bei der Community.
Quelle: z.ai
