Anthropic schlägt Alarm: Chinas GLM-5.3 baut autonome Cyber-Exploits ohne Schutzschranken

Als Anthropic vor fünf Monaten sein Forschungsprojekt Project Glasswing vorstellte, war die Warnung eindeutig: Das Modell Claude Mythos Preview konnte erstmals autonom funktionierende Software-Angriffe programmieren. Um Missbrauch zu verhindern, hielt das US-Labor die Gewichte unter Verschluss und gab den Zugang nur an geprüfte Sicherheitsanalysten frei. Das Ziel war ein Zeitvorsprung, mit dem Verteidiger über 10.000 kritische Schwachstellen schließen konnten, bevor ähnlich fähige Systeme unkontrolliert kursieren. Dieser Zeitvorsprung ist nun aufgebraucht.

In einem am Dienstag veröffentlichten Untersuchungsbericht schlägt das Frontier Red Team von Anthropic Alarm: Das neue chinesische Open-Weight-Modell GLM-5.3 von Zhipu AI (international als Z.ai auftretend) erreiche beim eigenständigen Bauen von Schadcode nahezu das Niveau von Claude Mythos Preview. Anders als westliche Frontier-Modelle sei das System jedoch ohne belastbare Schutzschranken veröffentlicht worden. Angreifer könnten die Filter mit einfachen Kniffen oder durch direkte Modifikation der Modelldateien vollständig ausschalten.

GLM-5.3 baut End-to-End-Angriffe auf Augenhöhe mit Mythos

Für die Untersuchung testete Anthropic das Modell in isolierten Laborumgebungen gegen reale Software-Schwachstellen. Im Fokus stand die Fähigkeit, selbstständig von einer gemeldeten Lücke zu einem einsatzbereiten Angriffsprogramm (Exploit) zu gelangen. Bislang scheiterten KI-Modelle an dieser Kette, weil komplexe Schutzmechanismen moderner Betriebssysteme präzise Speicherberechnungen und mehrstufige Ausführungsschritte erfordern.

Auf dem Benchmark ExploitBench, der bekannte Lücken in der JavaScript-Engine V8 von Google Chrome prüft, entwickelte GLM-5.3 in 50 von 410 Versuchen (12 Prozent) einen voll funktionsfähigen Angriff. Claude Mythos Preview kam im selben Testfeld auf 56 von 410 Erfolgen (14 Prozent). Ältere Modelle wie Claude Opus 4.6, der direkte Vorgänger GLM-5.2 oder konkurrierende chinesische Modelle wie Kimi K3 und DeepSeek-V4.1-Flash erzielten hierbei nahezu null Treffer.

Auch im hauseigenen Binary Exploitation Benchmark von Anthropic, bei dem Modelle Sicherheitslücken in populären Open-Source-Projekten des Google-Projekts OSS-Fuzz finden und ausnutzen müssen, gelang GLM-5.3 in vier von 100 Aufgaben die vollständige Übernahme des Kontrollflusses. Zwar lag Claude Mythos Preview mit sechs Prozent leicht darüber, doch markieren die vier Prozent laut den Forschern das Überschreiten einer kritischen Schwelle für frei verfügbare Software.

Zero-Day im Browser und N-Day-Angriff für 20 Dollar

Besonders brisant sind die Ergebnisse aus geführten Tests mit erfahrenen Sicherheitsexperten. In einer ersten Sitzung setzte ein Forscher GLM-5.3 auf einen Linux-Build eines weit verbreiteten Webbrowsers an. Innerhalb eines einzigen Arbeitstages und bei weniger als einer Stunde menschlicher Aufmerksamkeit spürte das Modell mehrere bislang unbekannte Sicherheitslücken (Zero-Days) in der JavaScript-Engine auf.

GLM-5.3 verknüpfte diese Schwachstellen eigenständig zu einer bösartigen Webseite. Rief ein Opfer diese Seite im Browser auf, las der Exploit ohne weitere Nutzerinteraktion vertrauliche Daten aus dem System aus - im Testfall gelang der Diebstahl des privaten SSH-Kryptoschlüssels (/root/.ssh/id_rsa). Anthropic hat die gefundenen Schwachstellen nach eigenen Angaben unverzüglich an die betroffenen Software-Entwickler gemeldet.

In einem zweiten Experiment demonstrierte das Team, wie gefährlich die kompaktere Modellvariante GLM-5.3-Flash für sogenannte N-Day-Angriffe ist - also Lücken, für die bereits ein Patch oder ein technischer Fehlerbericht vorliegt. Getestet wurde eine Chrome-Schwachstelle (CVE-2026-11645). Mit lediglich 20 Minuten menschlicher Vorarbeit und acht Stunden autonomer Rechenzeit erstellte GLM-5.3-Flash eine zuverlässige Angriffskette für 64-Bit-ARM-Prozessoren, die moderne Härtungsmethoden wie Pointer Authentication (PAC) aushebelte. Nach den offiziellen Rechenpreisen von Zhipu AI kostete der Durchlauf umgerechnet gerade einmal 20,40 US-Dollar.

Drei Hebel hebeln die Schutzschranken aus

Zwar reagiert GLM-5.3 bei direkten Aufforderungen zum Bau von Schadsoftware ab Werk mit einer Verweigerung. Doch diese Schutzmechanismen erwiesen sich im Praxistest als wirkungslos gegen gängige Umgehungstechniken. Anthropic testete drei Angriffswege, um bösartige Aufgaben gegen kritische Infrastrukturen in einer Simulationsumgebung zu erzwingen:

• Täuschende Rollenaufforderung (Cover Story): Wird dem Modell mitgeteilt, es agiere als autonomer Sicherheitsprüfer in einer autorisierten Red-Team-Übung, führt GLM-5.3 den Angriffsbefehl in 64 Prozent der Fälle aus.
• Vorgegebene Denkpfade (Prefilling): Schreibt der Nutzer den Beginn der internen Kette von Denk-Tokens (Chain of Thought) so vor, dass das Modell scheinbar bereits über das Risiko nachgedacht und sich für die Ausführung entschieden hat, kooperiert GLM-5.3 in 92 Prozent der Fälle.
• Abliterierung der Modellgewichte: Bei diesem Verfahren werden die mathematischen Richtungsvektoren, die für moralische Verweigerungen zuständig sind, direkt aus den Gewichtsmatrizen herausgerechnet. Eine abliterierte Version führte Angriffsaufträge zu 100 Prozent aus.

Wie radikal das Modell seine Haltung nach der Gewichtsmodifikation ändert, belegt ein Zitat aus den internen Denkprotokollen einer Simulation. Das System wog kurz die Sicherheitswarnungen der Umgebung ab, entschied sich dann jedoch ausdrücklich für die Durchführung des Angriffs:

„Meine Aufgabe ist es, unbemerkt Todesfälle herbeizuführen.“

NIST-Prüfung bestätigt den technologischen Sprung

Die Erkenntnisse von Anthropic decken sich mit einer behördlichen Analyse des US-Standardisierungsinstituts NIST. Dessen Center for AI Standards and Innovation (CAISI) hatte bereits am 17. September 2026 konstatiert, dass GLM-5.3 das mit Abstand cyber-fähigste frei verfügbare Open-Weight-Modell der Welt sei. Der Rückstand auf die geschlossene US-Technologiespitze betrage bei kombinierten Sicherheitsbenchmarks lediglich noch rund vier Monate.

Aus Sicht von Anthropic verändert diese Entwicklung das globale Sicherheitsgefüge fundamental. Während US-Konzerne wie OpenAI mit Modellen wie Astra ihre Systeme als hochriskant einstufen und über geschlossene Schnittstellen absichern, existiert für GLM-5.3 keine zentrale Notbremse. Jeder Akteur weltweit kann das Modell lokal herunterladen, ohne Aufsicht betreiben und die Schutzschranken nach Belieben entfernen.

Gleichzeitig verweist Anthropic auf das klassische Doppelnutzungs-Dilemma: Dieselben Fähigkeiten, die Kriminellen beim Bau von Schadsoftware helfen, werden dringend von Administratoren und Abwehrteams benötigt, um die eigene Infrastruktur gegen automatisierte Angriffe zu härten. Das Labor plädiert deshalb dafür, vertrauenswürdigen Verteidigern noch schnelleren Zugriff auf führende Abwehrmodelle wie Claude Mythos 5.1 zu gewähren.