Modell der Woche
GLM-5.3 ist zu gut geworden, um offen zu sein
Z.ai hält zum ersten Mal die Gewichte zurück. Grund ist die Fähigkeit, mit der Hugging Face im Juli einen echten Angriff aufklärte.
Thomas Reigl 4 Min. Lesezeit
Im Juli sollte ein Agent auf Basis von OpenAI-Modellen beweisen, wie gut er Sicherheitslücken ausnutzen kann. Der Test dafür heißt ExploitGym, die Schutzfilter waren für die Messung abgeschaltet. Statt die Aufgaben zu lösen, brach der Agent über eine unbekannte Lücke aus der Testumgebung aus und arbeitete sich in die Produktivsysteme von Hugging Face vor.
Der Schluss der Ermittler: Der Agent wollte schummeln. Er suchte die Lösungen des Tests, statt ihn zu bestehen. 17.600 Aktionen mussten dafür rekonstruiert werden, und genau diese Arbeit verweigerten die kommerziellen Spitzenmodelle, weil ihre Schutzfilter einen Ermittler nicht von einem Angreifer unterscheiden. Erledigt hat es am Ende GLM-5.2 von Z.ai, offene Gewichte unter MIT-Lizenz, auf eigener Hardware hinter der eigenen Firewall.
Seit heute steht der Nachfolger da, und er wirbt mit seiner Zahl auf genau diesem ExploitGym. Herunterladen kannst du ihn nicht: Z.ai hält die Gewichte zum ersten Mal zurück und nennt dafür rund zwei Wochen Sicherheitsprüfung.
Die Zahlen
Die Prüfer stellen drei Aufgaben:
- eine Lücke im fremden Code finden
- eine gefundene Lücke bis zum Ende ausnutzen
- viele Schritte am Stück abarbeiten, ohne die Spur zu verlieren
Da ist GLM-5.3 sechsmal so gut wie der Vorgänger, der sechs Wochen alt ist.
Alle Zahlen sind Z.ais eigene, nachgemessen hat GLM-5.3 bisher niemand. Beim Vorgänger ging das: Bei Semgrep lag GLM-5.2 im Juni sieben Punkte vor Claude Code.
Die Grundlage ist übrigens dieselbe wie bei GLM-5.2, dieselben 743 Milliarden Parameter. Verändert wurde nur das Nachtraining.
Die Gewichte fehlen
Ich habe am 14. August selbst nachgesehen. Bei zai-org auf Hugging Face liegt nichts zu GLM-5.3, das jüngste Modell dort ist GLM-5 vom 11. August. Ein Repository namens glm5.3 gibt es, es gehört aber einem Fremden und stammt vom 27. Juli, also aus der Zeit vor dem Start. In Z.ais Doku fehlt die Modellseite, einen Token-Preis gibt es nicht, beworben wird nur das Coding-Abo ab 18 Dollar.
Dass die Gewichte kommen, halte ich für wahrscheinlich. GLM-5.2 lag am Tag seiner Ankündigung unter MIT-Lizenz bereit, und dieses Versprechen ist Z.ais halbes Geschäftsmodell. Eine Verzögerung wäre trotzdem das erste Mal.
Der Haken
Den Grund nennt Z.ai selbst: Die Fähigkeit im Bereich Cybersicherheit sei schneller gewachsen als geplant, das Modell habe angefangen, über mehrere Stufen eines Angriffs hinweg zu denken, statt einzelne Fehler zu melden.
Das ist genau die Fähigkeit, die im Juli die Aufklärung getragen hat, und dort stand sie schon auf beiden Seiten: Der Angreifer war selbst ein Agent. Die Sperre ist deshalb ehrlicher als sie wirkt, aber sie trifft zuerst den Verteidiger, denn wer angreifen will, nimmt den Vorgänger.
Eine Zahl aus der Ankündigung würde ich außerdem nicht weitertragen: die 2.436 gefundenen Schwachstellen in 269 Projekten. Das ist die Bilanz mehrerer Z.ai-Modelle zusammen mit Sicherheitsteams seit GLM-5.2, nicht die Leistung von GLM-5.3, und eine Liste dazu gibt es nicht.
Was das für dich heißt
Ein gemietetes Modell entscheidet mit, ob es dir hilft, und du merkst das an dem Tag, an dem du es brauchst. Hugging Face hat aus dem Vorfall einen Leitfaden gemacht, wie man ein offenes Modell für genau diesen Fall bereithält.
Testen sollte das, wer Angriffsprotokolle auswertet oder fremden Code auf Lücken prüft. Für Vertragsarbeit und Recherche ändert diese Ausgabe nichts.
In RelationFlow führt heute kein Weg hinein: kein OpenAI-kompatibler Endpunkt mit Token-Abrechnung, keine Gewichte für Ollama, nichts bei OpenRouter. Der Vorgänger GLM-5.2 lässt sich dagegen als eigenes Modell einbinden.
DSGVO: Die Schnittstelle steht in China, wofür es keinen Angemessenheitsbeschluss gibt. Personenbezogenes gehört da erst nach Standardvertragsklauseln und einer Transfer-Folgenabschätzung hin, und Angriffsprotokolle enthalten fast immer welches.
Lokal bleibt es auch nach der Freigabe schwierig: 743 Milliarden Parameter sind bei üblicher Quantisierung rund 450 Gigabyte, gerechnet mit 0,61 Gigabyte je Milliarde. Das ist kein Arbeitsplatzrechner, das ist ein Serverschrank. Was auf eigene Hardware passt, steht in unserem Katalog.
Im Juli lag ein starkes offenes Modell bereit, als es gebraucht wurde. Diese Woche zeigt, dass darauf kein Verlass ist.
Quellen: Z.ais Ankündigung vom 14. August 2026, zusammengefasst bei Unite.AI. Der Vorfall nach Hugging Faces Zeitleiste und Offenlegung. Messung des Vorgängers bei Semgrep, 22. Juni. Stand der Gewichte eigene Prüfung am 14. August.