Entfesselte KI-Modelle: Start-ups verkaufen Zugang ohne Sicherheitsfilter

Abliteration.ai entfernt Schutzmechanismen aus leistungsfähigen Open-Weight-Modellen und verkauft den Zugriff als Dienst. Dahinter steckt ein legitimer Markt, aber auch ein heikler Sicherheitskonflikt.

Wer die Gewichte eines Open-Weight-Modells besitzt, kann dessen trainierte Sicherheitsmechanismen verändern. Das US-Start-up Abliteration.ai macht daraus ein Geschäftsmodell: Ende August stellte es "abliterated-model-large-v2" vor, eine modifizierte Version von Z.AIs GLM-5.3, die sicherheitsrelevante Anfragen deutlich seltener verweigern soll.

Das Verfahren heißt Abliteration. Vereinfacht gesagt wird im Modell nach internen Aktivierungsmustern gesucht, die mit Verweigerungen zusammenhängen. Anschließend werden die Gewichte so verändert, dass sie weitgehend unterdrückt werden. Es handelt sich also um einen Eingriff ins Modell selbst, nicht um einen Prompt-Jailbreak. Abliteration.ai behauptet, dass Coding-, Cyber- und Agentenfähigkeiten dabei weitgehend erhalten blieben.

Die hauseigenen Evaluationen sollen das belegen: Für die abliterierte GLM-5.3-Version nennt der Anbieter 84,5 Prozent auf CyberGym, 41,8 Prozent auf Terminal-Bench 4.0 und 105 gelöste ExploitGym-Aufgaben in zwei Stunden. Durchgehend führend ist das Modell damit nicht: Beim CyberGym liegt in der eigenen Tabelle GPT-5.5 mit 85,6 Prozent vorn, bei ExploitGym schaffen GPT-5.6 Sol und Fable 5 deutlich mehr. Abliteration.ai weist zudem selbst darauf hin, dass die Vergleichswerte mit unterschiedlichen Harnesses und Budgets entstanden und daher nur eingeschränkt vergleichbar sind.

Warum ausgerechnet GLM?

Schon der Vorgänger "abliterated-model-large" basierte auf GLM-5.2. Abliteration.ai zufolge waren frühere GLM-Versionen bewusst so trainiert, dass sie sich für praktische Security-Arbeit schwerer einsetzen ließen. Z.AI selbst schreibt dazu, dass die Cyberfähigkeiten von GLM-5.3 im Post-Training schneller als erwartet gewachsen seien.

GLM verbindet hohe Coding-, Agenten- und Cyber-Leistung mit offenen Gewichten und einer kommerziell nutzbaren Lizenz. Alternativen bieten Modelle von Qwen, DeepSeek oder Mistral. Z.AI erlaubt Modifikationen, Derivate und kommerzielle "Model as a Service"-Angebote. Abliteration.ai darf GLM-5.3 daher verändern, selbst hosten und den Zugang verkaufen.

Offene Gewichte, proprietärer Dienst

Abliteration ist kein neues Verfahren. Entwickler veröffentlichen seit Jahren entsprechend modifizierte Modelle auf Hugging Face. Abliteration.ai stellt seine modifizierten Gewichte bislang jedoch nicht öffentlich zum Download bereit, sondern übernimmt Hosting und Betrieb. Das abliterierte GLM-5.3 kostet regulär fünf US-Dollar je eine Million Input- beziehungsweise Output-Token.

Damit verkauft die Firma vor allem einfachen Zugang und Infrastruktur: Kunden müssen ein sehr großes Modell weder herunterladen noch eigene GPU-Infrastruktur betreiben. Die schlüsselfertige Bereitstellung senkt allerdings auch die Zugangshürde für problematische Nutzung.

Der Markt dafür soll bereits existieren

Abliteration.ai vermarktet das Modell für offensive Cybersicherheit, AI Red Teaming, Agententests und Trust & Safety, darunter die Reproduktion bekannter Schwachstellen, Proof-of-Concept-Exploits, Malware-Analysen und simulierte Phishing-Angriffe.

Ein anonym auftretender Gründer des Start-ups sagte im Podcast ThursdAI, frühe Nachfrage sei insbesondere beim Testen von KI-Agenten großer Unternehmen und Banken entstanden. Solche Systeme müssten etwa darauf geprüft werden, ob Angreifer sie mittels Jailbreak oder Prompt Injection zu unerlaubten Aktionen bringen können.

Wie notwendig eine Abliteration dafür tatsächlich ist, bleibt offen. SaferAI zufolge verweigerte bereits das unveränderte GLM-5.2 in seinen Offensive-Security-Evals keine einzige Aufgabe. Auch aus der Praxis kommt Skepsis: Mehrere von Techcrunch befragte Red-Team-Anbieter nutzen abliterierte Modelle bislang nicht im Alltag. Das Sicherheitsunternehmen Fabraix setzt beispielsweise eher auf Fine-Tuning offener Modelle.

Zero Retention als Vorteil und Risiko

TechCrunch brachte das Modell nach eigenen Angaben ohne größere Hürden dazu, Code zum Auslesen gespeicherter Chrome-Passwörter sowie eine detaillierte Anleitung zur Kultivierung eines gefährlichen Krankheitserregers auszugeben. Bei Selbstverletzungsanfragen griffen dagegen weiterhin Schutzmechanismen. Laut FAQ blockiert Abliteration.ai außerdem sexuelle Inhalte mit Kindern.

Prompts und Antworten werden laut Anbieter nicht gespeichert, operative Metadaten wie Tokenzahlen, Zeitstempel, Modell-ID und Abrechnungsdaten dagegen schon. Das kann verhindern, dass vertraulicher Quellcode oder unveröffentlichte Schwachstellen beim Anbieter landen. Im Missbrauchsfall fehlen Abliteration.ai jedoch die Inhalte für eine spätere Analyse. Eine Identitäts- oder Ausweisprüfung verlangt das Unternehmen bislang ebenfalls nicht. Das kann die Nachvollziehbarkeit problematischer Nutzung erschweren, auch wenn Account-, Zahlungs- und Nutzungsmetadaten erhalten bleiben.

Der anonyme Unternehmensvertreter begründet den Verzicht damit, dass selbst eine Identitätsprüfung legitime und illegitime Nutzung nicht zuverlässig auseinanderhalten könne. Strenge Zugangskontrollen könnten zudem kleinere Security-Firmen gegenüber Großunternehmen benachteiligen.

Die Regeln soll der Kunde machen

Über einen optionalen Policy Gateway können Unternehmenskunden selbst festlegen, welche Anfragen zugelassen, blockiert, verändert oder protokolliert werden. Daneben verkauft die Firma synthetische Trainings- und Evaluationsdaten. Der reguläre Modellzugang bleibt jedoch weitgehend uneingeschränkt, zusätzliche Kontrollregeln müssen ausdrücklich aktiviert werden.

Besonders deutlich wird das beim Staat. Abliteration.ai ist nach eigenen Angaben für US-Regierungsbeschaffung bei SAM.gov registriert und wirbt mit versionierten Modellen, Audit-Logs und behördeneigenen Regeln sowie zunächst mit Pilotprojekten ohne sogenannte Controlled Unclassified Information (CUI).

Lizenzrechtlich ist die Modifikation von GLM-5.3 grundsätzlich erlaubt. Ob der Einsatz legal ist, hängt von der konkreten Nutzung und der jeweiligen Rechtsordnung ab. Für Security-Tests verlangt Abliteration.ai ausdrücklich eine schriftliche Autorisierung für Zielsysteme und die Einhaltung geltender Gesetze. Die schwierigere Frage lautet, welche Sorgfaltspflichten ein Anbieter übernehmen sollte, der leistungsfähige offensive Fähigkeiten als leicht zugänglichen Dienst bereitstellt.

Abliteration.ai ist dabei kein Einzelfall. Anbieter wie Audn.AI mit PenClaw oder Silk Compute hosten ebenfalls abliterierte oder weitgehend unbeschränkte Modelle für Sicherheitsanwendungen. Auffällig ist bei Abliteration.ai die Kombination aus aktuellem GLM-5.3, leicht zugänglichem API-Dienst und optionaler Kontrollschicht für Unternehmen.

Der Eingriff bleibt nicht folgenlos

Eine vorläufige Studie deutet darauf hin, dass sich Refusals bei bestimmten Modellen stark reduzieren lassen, ohne die gemessene Code-Generierungsfähigkeit gleichermaßen zu verschlechtern. Andere Experimente finden jedoch Verhaltensänderungen auch bei Aufgaben, bei denen das Ausgangsmodell gar nichts verweigert. Abliteration entfernt also nicht chirurgisch eine einzige Eigenschaft, sondern greift tiefer in das Modellverhalten ein.

Bei Abliteration.ai geht es damit auch um die Frage, wer die Grenzen des Modells festlegt. Das Unternehmen überlässt die Entscheidung weitgehend den Nutzern. Entscheidend ist, ob das funktioniert, ohne problematische Nutzung deutlich zu erleichtern.