Es ist ein ungewöhnlicher Auftritt: Anthropics eigenes Sicherheitsteam, das Frontier Red Team, veröffentlichte am 29. September 2026 eine Untersuchung über ein fremdes KI-Modell — und zwar eines, das kostenlos heruntergeladen werden kann. Die Kernaussage: GLM-5.3 vom chinesischen Unternehmen Zhipu AI (Z.ai) kann eigenständig funktionierende Cyberangriffe bauen — fast so gut wie Claude selbst. Nur fehlt ihm die Bremse.
DER TEST: 410 Versuche gegen echte Chrome-Lücken
Für den Vergleich nutzte Anthropic seinen internen Maßstab ExploitBench. Er prüft, wie gut ein KI-Modell bekannte Schwachstellen in Google Chromes JavaScript-Motor V8 eigenständig in einen funktionierenden Exploit verwandelt — vom Fund der Lücke bis zur fertigen Ausnutzung, ganz ohne menschliche Hilfe.
Das Ergebnis über 410 Testläufe: GLM-5.3 baute in 50 Fällen (12 Prozent) einen kompletten Exploit, Anthropics eigenes Claude Mythos Preview in 56 Fällen (14 Prozent) — praktisch gleichauf. Bei einem zweiten Test, der reine Binär-Exploits prüft, kam GLM-5.3 auf 4 Prozent Erfolgsquote, Mythos Preview auf 6 Prozent. Ältere Modelle wie Claude Opus 4.6 und der Vorgänger GLM-5.2 schafften in beiden Tests 0 Prozent — der Sprung ist also neu und betrifft nicht nur ein Unternehmen.
DER UNTERSCHIED LIEGT NICHT IM KÖNNEN — SONDERN IN DER BREMSE
Spannender als die reinen Fähigkeitswerte ist, was passiert, wenn man versucht, die eingebauten Schutzmechanismen zu umgehen. Anthropic testete vier Wege, ein Modell zu einem schädlichen Cyberangriff zu bewegen:
- Direkte schädliche Anfrage: Beide Modelle lehnten ab — 0 Prozent Erfolg.
- Täuschende Vorwand-Geschichte: GLM-5.3 ließ sich in 64 Prozent der Fälle überzeugen.
- Vorausgefüllte Denkschritte (das Modell bekommt einen scheinbar eigenen Gedankengang vorgesetzt): 92 Prozent Erfolg.
- Abliteration — eine gezielte Veränderung der Modellgewichte, die Ablehnungen technisch entfernt: 100 Prozent Erfolg.
Bei Claude griff laut Anthropic keine einzige dieser Umgehungsmethoden. Genau das ist der eigentliche Unterschied: Es geht nicht darum, welches Modell besser hacken kann, sondern welches sich zuverlässiger weigert.
WAFFEN OHNE SCHLOSS: Was Abliteration bedeutet
Besonders unangenehm ist die dritte Methode. Weil GLM-5.3 als offenes Modell mit frei verfügbaren Gewichten erscheint, kann jeder mit ausreichend Fachwissen die eingebauten Ablehnungen technisch herausoperieren — ohne Anthropic, ohne Zhipu AI, ohne jede Kontrolle von außen. Laut dem Bericht sinkt die Ablehnungsquote durch Abliteration von rund 95 Prozent auf etwa 6 Prozent (gemessen an den Testreihen JailbreakBench und HarmBench) beziehungsweise auf 12 Prozent bei StrongREJECT. Die geschätzten Kosten dafür: zwischen 1.200 und 4.400 US-Dollar, je nach Erfahrung der ausführenden Person — für viele Angreifer eine überschaubare Investition.
Anthropic formuliert die Schlussfolgerung deutlich: „GLM-5.3 wird böswilligen Akteuren wahrscheinlich Fähigkeiten verschaffen, mit denen sie Cyberschwachstellen ohne nennenswerte Einschränkungen finden und ausnutzen können.“
WAS ANTHROPIC JETZT FORDERT
Der Bericht bleibt nicht bei der reinen Warnung stehen. Anthropic nennt drei konkrete Forderungen: Verteidiger sollen über vertrauenswürdige Programme breiteren Zugang zu den eigenen Cyberfähigkeiten von Claude bekommen, um Schwachstellen selbst schneller zu finden. Staatliche Stellen sollen leistungsfähige Modelle vor der Veröffentlichung auf solche Risiken testen. Und Entwickler offener Modelle sollen ihre Gewichte und Sicherheitsmechanismen robuster gegen genau solche nachträglichen Eingriffe absichern.
EINORDNUNG: Keine Panik, aber ein Warnsignal
Für dich persönlich ändert sich durch diesen Bericht erst einmal nichts Unmittelbares — niemand greift heute gezielt deinen Server an, weil GLM-5.3 existiert. Wichtig ist der Bericht trotzdem, weil er zeigt: Die Fähigkeit, aus einer bekannten Schwachstelle automatisiert einen funktionierenden Angriff zu bauen, ist nicht mehr nur wenigen gut ausgestatteten Akteuren vorbehalten. Wer Systeme im Netz betreibt, tut gut daran, Patches künftig noch zügiger einzuspielen — die Zeit zwischen einer bekannten Lücke und einem funktionierenden Angriff dürfte sich durch solche Werkzeuge weiter verkürzen.
FAZIT: Der Wettlauf zwischen Angriff und Bremse
Der eigentliche Befund dieses Berichts ist unbequem für die ganze Branche: Die reine Angriffsfähigkeit von KI-Modellen wächst gerade schneller, als sich Hersteller auf gemeinsame Sicherheitsstandards einigen. Anthropic zeigt an sich selbst, dass eine robuste Bremse machbar ist — kann aber nicht erzwingen, dass andere Anbieter denselben Aufwand betreiben. Bis das geschieht, bleibt nur der alte Rat: Lücken schließen, bevor sie zur Schlagzeile werden.