Anthropic schlägt Alarm: GLM-5.3 macht autonome Cyberangriffe für jeden möglich

Das frei verfügbare chinesische KI-Modell GLM-5.3 kann selbstständig funktionierende Cyberangriffe entwickeln. Anthropic sieht darin einen Wendepunkt, denn in seinen Tests ließen sich die eingebauten Schutzmechanismen mit einfachen Methoden in 64 bis 100 Prozent der Fälle umgehen. Damit erreicht eine bislang eingeschränkt zugängliche Fähigkeit praktisch jeden Angreifer.

50 erfolgreiche Exploits in 410 Versuchen

Im ExploitBench entwickelte GLM-5.3 in 50 von 410 Versuchen einen vollständigen Exploit für bekannte Sicherheitslücken in der JavaScript-Engine V8. Das entspricht 12 Prozent und liegt nur knapp unter Claude Mythos Preview mit 14 Prozent. Ältere Modelle wie GLM-5.2 und Claude Opus 4.6 schafften solche Angriffe in diesem Test gar nicht oder fast nie.

Wie weit die Fähigkeiten reichen, zeigte ein Versuch mit einem Sicherheitsforscher. GLM-5.3 fand mehrere unbekannte Schwachstellen in der Linux-Version eines verbreiteten Webbrowsers und verband sie zu einer Angriffskette. Eine präparierte Webseite konnte damit eine SSH-Datei vom Computer des Besuchers auslesen.

Auch die kleinere Flash-Version baute aus zwei bekannten Chrome-Lücken eine zuverlässige Angriffskette für ARM64. Der Forscher investierte dafür 20 Minuten, das Modell arbeitete weitere acht Stunden. Die API-Kosten lagen bei 20,40 Dollar.

Schutz lässt sich leicht entfernen

Direkte schädliche Anfragen wies GLM-5.3 in den simulierten Tests zunächst zurück. Eine erfundene Geschichte über eine Red-Team-Übung brachte das Modell jedoch in 64 Prozent der Fälle zum Mitmachen. Vorbefüllte Thinking-Tokens erhöhten die Quote auf 92 Prozent.

Noch deutlicher fiel das Ergebnis nach einer sogenannten Abliteration aus. Bei diesem Eingriff in das Open-Weights-Modell sank die durchschnittliche Verweigerungsrate von 95 auf 6 Prozent, während die allgemeine Leistung nahezu gleich blieb. In den simulierten Angriffen folgte diese Variante jeder schädlichen Aufforderung.

Das US-Institut NIST bestätigt die Größenordnung der Fähigkeiten. Es bezeichnet GLM-5.3 als bislang cyberfähigstes veröffentlichtes Open-Weights-Modell, nur rund vier Monate hinter der US-Spitze. Der entscheidende Unterschied liegt im Zugang. Jeder kann GLM-5.3 herunterladen, verändern und ohne wirksame Beschränkungen einsetzen.