Anthropic: Frei verfügbares GLM-5.3 baut Exploits fast auf Mythos-Niveau

Mythos Preview hatte Anthropic bewusst nur über Project Glasswing an ausgewählte Verteidiger gegeben, damit sie einen Vorsprung haben. Die hätten damit mehr als 10.000 Schwachstellen in kritischer Software gefunden. OpenAI folgt mit Daybreak einem ähnlichen Muster. GLM-5.3 kann dagegen jeder herunterladen.

Exploits zum Preis eines Mittagessens

Auf ExploitBench wird gemessen, wie gut Modelle bekannte Lücken in Chromes V8-Engine ausnutzen. Dort baute GLM-5.3 in 50 von 410 Versuchen einen funktionierenden Exploit, Mythos Preview in 56. In Anthropics internem Binary-Exploitation-Benchmark mit Open-Source-Projekten aus Googles OSS-Fuzz übernahm GLM-5.3 in 4 Prozent der Aufgaben die volle Kontrolle über das angegriffene Programm, Mythos Preview in 6 Prozent. Frühere Modelle wie GLM-5.2 und Claude Opus 4.6 scheiterten in beiden Tests, auch Kimi K3 und DeepSeek V4.1-Flash kamen kaum über null.

Im Test mit einem menschlichen Experten fand GLM-5.3 laut Anthropic innerhalb eines Tages und mit wenig menschlicher Aufmerksamkeit mehrere unbekannte Lücken in der JavaScript-Engine eines verbreiteten Browsers. Das Modell verkettete sie zu einer Webseite, die beim Besuch beliebige Dateien vom Rechner ausliest, im Test einen privaten SSH-Schlüssel. Die Lücken habe Anthropic den Entwicklern des Browsers gemeldet. Weitere Funde in Treibern und Gerätesoftware würden noch geprüft.

Die kleinere Variante GLM-5.3-Flash sollte zeigen, wie schnell sich aus einer frisch veröffentlichten Sicherheitslücke ein funktionierender Angriff machen lässt. Das Modell kombinierte eine kürzlich bekannt gewordene Chrome-Lücke mit einer weiteren bekannten Schwachstelle. Weitgehend ohne Anleitung baute es daraus einen zuverlässigen Angriff, der sogar eine zusätzliche Schutzfunktion des Prozessors umging. Das kostete 20 Minuten menschliche Aufmerksamkeit und acht Stunden Modellarbeit. Zu Zhipus API-Preisen wären das 20,40 Dollar gewesen.

Die US-Behörde CAISI kam in einer eigenen Bewertung zu ähnlichen Ergebnissen: GLM-5.3 sei das bislang cyberstärkste Open-Weight-Modell und liege rund vier Monate hinter der US-Spitze. Allerdings testete CAISI die US-Modelle ohne Cyber-Schutzmechanismen. Zur Spitze zählen zudem Modelle, die nur geprüften Nutzern zugänglich sind.

Offene Gewichte, offene Tür

Offen bösartige Angriffsbefehle lehnte GLM-5.3 in einer Simulation von Anthropic ab. Tarnte man den Befehl als Red-Team-Übung, versuchte das Modell in 64 Prozent der Durchläufe, eine Verbindung zum Zielsystem aufzubauen, mit vorausgefüllten Denkschritten in 92 Prozent. Nach einer Abliteration, bei der Ablehnungen aus den offenen Gewichten entfernt werden, waren es 100 Prozent. In der Simulation wird kein Code ausgeführt, ob ein Angriff gelungen wäre, misst der Test also nicht. Geschützte Claude-Modelle blieben bei null.

Für die Abliteration brauchte Anthropics Team, das die Technik laut eigener Aussage erstmals anwandte, rund 2.200 GPU-Stunden für etwa 4.400 Dollar. Ein erfahrenes Team käme laut Schätzung mit rund 1.200 Dollar aus. Die Ablehnungsrate bei schädlichen Anfragen sank dabei von über 90 Prozent auf 2 bis 12 Prozent, während die Leistung in Wissenschafts- und Cyber-Tests nahezu gleich blieb. Mehrere Entwickler hätten solche entsperrten Versionen schon wenige Tage nach dem Release veröffentlicht.

Anthropic hält es deshalb für wahrscheinlich, dass staatliche und nichtstaatliche Akteure Modelle wie GLM-5.3 für reale Schäden nutzen werden. Es verweist dabei auf eigene Berichte und solche anderer US-Labore über Angreifer, die KI einsetzen. Regierungen sollten fähige Modelle testen, Verteidiger müssten mindestens so gute Werkzeuge bekommen wie ihre Gegner.

Warnung mit Eigeninteresse

Ganz uneigennützig ist die Analyse allerdings nicht. Anthropic gibt die Gewichte seiner Modelle nicht heraus, und genau das stellt der Bericht als entscheidenden Sicherheitsvorteil dar. Ein günstiges chinesisches Open-Weight-Modell nahe der Spitze ist zugleich ein direkter Konkurrent.

Auch die Schlussfolgerungen passen zum Geschäft. Anthropic will Claudes Cyberfähigkeiten mehr Verteidigern zugänglich machen, geprüfte Nutzer erhalten bereits Claude Mythos 5.1. Die Forderung nach staatlichen Tests auch für Nachfolger von GLM-5.3 setzt sich schnell dem Verdacht der "Regulatory Capture" aus, also einer Regulierung, die vor allem etablierte Anbieter schützt.

Gegen reine Interessenpolitik spricht, dass CAISI die Fähigkeitswerte unabhängig stützt und entsperrte Versionen bereits kursieren.

Vor kurzem hatte bereits das britische AI Security Institute ermittelt, dass der Rückstand offener Modelle bei Cyberfähigkeiten von sechs bis zehn auf vier bis sieben Monate geschrumpft sei. Ihr Betrieb sei zudem deutlich günstiger und ihre Schutzmaßnahmen seien weitgehend wirkungslos. Das Institut sprach von einem "dauerhaften und irreversiblen Missbrauchsrisiko", betonte aber auch Vorteile wie privates Hosting, Anpassbarkeit und niedrigere Kosten.

Den Rückstand deutete das AISI als Vorbereitungszeit für Verteidiger. Ob offene Modelle auch den Sprung von Mythos Preview nachvollziehen würden, war damals noch offen. Nach den Messungen von Anthropic und CAISI liefert GLM-5.3 darauf nun eine erste Antwort.