Das chinesische KI-Unternehmen Z.ai hat mit GLM-5.3 ein offenes Sprachmodell vorgestellt, das beim Sicherheits-Benchmark CyberGym mit 84,5 Prozent knapp vor Anthropics Mythos 5 und OpenAIs GPT-5.6 Sol liegt. Die Fähigkeit zur eigenständigen Planung von Cyberangriffen wuchs dabei laut Unternehmen deutlich stärker als beabsichtigt. Deshalb verzögert Z.ai die öffentliche Freigabe der Modellgewichte um mehrere Wochen.
GLM-5.3 überholt Anthropic und OpenAI im Angriffs-Benchmark
Z.ai baut GLM-5.3 auf derselben rund 743 Milliarden Parameter großen Basis wie den Vorgänger GLM-5.2 – sämtliche Verbesserungen stammen ausschließlich aus zusätzlichem Training nach dem eigentlichen Vortraining, nicht aus einem neuen Grundmodell. Bei CyberGym, einem Benchmark, der das eigenständige Ausnutzen bekannter Softwarelücken in abgeschotteten Testumgebungen misst, steigt der erreichte Wert von 77,2 auf 84,5 Prozent. Beim schwierigeren ExploitBench mehr als verdoppelt sich die Trefferquote von 24,4 auf 54,4 Prozent. Im Zeit-Benchmark ExploitGym löst das Modell binnen zwei Stunden 105 statt zuvor 29 Aufgaben, binnen sechs Stunden 130 statt 39 Aufgaben. Auch beim Programmieren legt GLM-5.3 deutlich zu: Im Terminal-Bench 3.0 klettert der Wert von 4,6 auf 28,3 Punkte, beim Coding-Benchmark DeepSWE v1.1 von 46,2 auf 66,9. Die Zahlen stammen aus Z.ais eigenen Veröffentlichungen und sind unabhängig nicht verifiziert. Für Anwenderinnen und Anwender heißt das vor allem: Ein offenes Modell aus China löst inzwischen komplexere, mehrstufige Programmier- und Sicherheitsaufgaben eigenständig, für die bislang meist geschlossene Spitzenmodelle nötig waren.
Modell entwickelt Angriffspläne ohne gezieltes Training dafür
Nach eigenen Angaben hatte Z.ai in der Trainingsphase gezielt Daten zur Schwachstellenerkennung ergänzt, um dem Modell das Auffinden einzelner Softwarelücken beizubringen. Die Fähigkeit sei jedoch über das erwartete Maß hinausgewachsen: GLM-5.3 verkette mehrere Angriffsschritte selbstständig zu zusammenhängenden Ausnutzungsplänen – eine Fähigkeit, die so nicht vorgesehen gewesen sei und erst während des Trainings sichtbar wurde. In einem Praxistest fand das Modell 2.436 Schwachstellen in 269 quelloffenen Softwareprojekten, davon 1.097 mit hohem oder kritischem Schweregrad – umgerechnet im Schnitt rund neun Lücken pro geprüftem Projekt, rund vier davon schwerwiegend. Bereits im Juli hatte eine Analyse des britischen AI Security Institute gezeigt, dass offene Modelle wie GLM-5.2 ihren Rückstand bei Angriffsfähigkeiten gegenüber Spitzenmodellen auf vier bis sieben Monate verkürzt hatten. GLM-5.3 setzt diesen Trend fort und verkürzt den Abstand nach den vorliegenden Werten weiter. Für Sicherheitsteams bedeutet das wachsenden Zeitdruck: Werkzeuge, die Schwachstellen selbstständig aufspüren und verketten, verkürzen das Zeitfenster zwischen Bekanntwerden einer Lücke und ihrer Ausnutzung zusätzlich.
Offene Gewichte folgen erst nach zusätzlicher Sicherheitsprüfung
Z.ai stellt GLM-5.3 zunächst nur eingeschränkt bereit: Zugänglich ist das Modell über den GLM Coding Plan, ein Abonnement ab 18 US-Dollar im Monat für die Einstiegsstufe Lite, 80 Dollar für die Stufe Pro und 168 Dollar für die Stufe Max. Ein Preis pro Token für den direkten API-Zugriff war zum Zeitpunkt der Veröffentlichung noch nicht bekannt; beim Vorgänger GLM-5.2 lag er bei 1,40 Dollar je Million Eingabe- und 4,40 Dollar je Million Ausgabe-Token. Sowohl der breitere API-Zugang als auch die öffentlichen Modellgewichte sollen laut Unternehmen erst nach abgeschlossener Sicherheitsprüfung und Härtung folgen, voraussichtlich Ende August 2026 – rund zwei Wochen nach dem jetzigen Start. Eine gesonderte Einschränkung für Deutschland oder die EU ist nicht bekannt; offizielle Angaben dazu liegen nicht vor, der Zugang läuft wie bei GLM-5.2 regulär über die Z.ai-Plattform. Wer das Modell schon jetzt nutzen will, braucht also ein Abonnement und kann nicht auf eine kostenlose, selbst gehostete Variante zurückgreifen.
Offen bleibt, ob Z.ai die zusätzliche Zeit bis zur Gewichtsfreigabe für eine externe Prüfung durch unabhängige Sicherheitsforscher nutzt oder die Verzögerung allein intern abläuft. Ein gestaffelter, sicherheitsgeprüfter Rollout wäre ein Novum unter chinesischen Open-Weight-Anbietern, die ihre Modelle bislang meist ohne gesonderte Freigabephase veröffentlicht haben.
