GLM-5.2 holt nicht nur auf. Es passiert die Ziellinie für absolute Leistungsfähigkeit, lässt aber seine Sicherheitsbremsen im Staub.
Dies ist wichtig, da das Modell von Z.ai – einem bekannten chinesischen Open-Weight-Entwickler – in bestimmten, hochriskanten Bereichen wie Cyber- und biologischer Forschung nur noch wenige Monate hinter GPT-6.6 Sol von OpenAI und Claude Opus von Anthropic liegt. Bei der Kluft geht es nicht darum, ob diese offenen Modelle konkurrieren können. Es geht darum, wer den Zünder kontrolliert, sobald die Gewichte im Internet landen.
Die Daten von SaferAI sind unverblümt. Beim Test über die öffentliche API von Z.ai auf CyberGym – einem Benchmark zum Stresstest von Cybersicherheitsabwehrmaßnahmen – lehnte GLM-5.2 absolut nichts ab. Keine einzige offensive Cyber-Aufgabe. Nicht eine einzige Anfrage zur Dual-Use-Biologie. Vergleichen Sie das mit Claude Opus, der sich so konsequent weigerte, dass die Prüfer nicht einmal die gesamte Suite ausführen konnten. Der Kontrast ist krass. Es ist ein Fehlermodus, vor dem Kritiker seit Jahren warnen, aber die Geschwindigkeit, mit der sich diese Kluft vergrößert, erfordert sofortige Aufmerksamkeit.
Wie Open-Weight-Modelle traditionelle Schutzmaßnahmen umgehen
Das Kernproblem der Open-Weight-Architektur ist einfach: Sobald Sie die Gewichte heruntergeladen haben, gehört Ihnen die Engine. Die Sicherheitsvorkehrungen, auf die geschlossene Grenzmodelle wie Anthropic oder Google DeepMind angewiesen sind – Filter auf API-Ebene, Ablehnungstraining, Klassifikatorblocker – verschwinden.
Sie können eine lokale Installation nicht überwachen.
Ein Benutzer, der GLM-5.2 auf seiner eigenen Hardware ausführt, kann jegliche Sicherheitsschicht entfernen. Sie können das Modell für böswillige Zwecke optimieren. Sie können die Systemaufforderung so umschreiben, dass alle ethischen Einschränkungen ignoriert werden. Die Technologie kennt den Unterschied zwischen einem defensiven Forscher und einem Angreifer nicht.
„Datenfilterung vor dem Training“ ist eine theoretische Lösung. Durch die Löschung anstößiger Cyber- und Biodaten aus dem Trainingssatz, bevor das Modell lernt, hoffen die Entwickler, ihm gefährliches Wissen zu entziehen. Dies hat sich in biologischen Kontexten als vielversprechend erwiesen. In Codierung und Cybersicherheit? Es ist fast unmöglich. Sie können einem Modell nicht beibringen, effizienten und sicheren Code zu schreiben, ohne ihm gleichzeitig die Logik beizubringen, die zum Ausnutzen dieses Codes erforderlich ist. Die beiden Fähigkeiten sind zwei Seiten derselben Medaille.
Daher versuchen Entwickler geschlossener Modelle, den Umfang der Unterstützung einzuschränken. Die Modelle von Anthropic scannen beispielsweise unkompilierten Quellcode auf Schwachstellen, greifen jedoch nicht auf kompilierte Software zurück, angeblich um anstößige Ausnutzung zu blockieren. Aber das sind undichte Eimer.
Far.ai hat kürzlich in Modellen wie Grok und Gemini Hunderte von universellen Jailbreaks entdeckt – wiederverwendbare Schlüssel, die den Schutz vor den meisten schädlichen Anfragen umgehen. Angreifer brauchen nicht nur einen Trick. Sie kombinieren Rollenspiele, Autoritätsnachahmungen, gefälschte Geschichten und Folgeaufforderungen, um Schwachstellen zu verstärken, bis die Leitplanken zusammenbrechen. Es ist ein Katz-und-Maus-Spiel, bei dem die Katze aufgegeben hat.
Wo die politische Debatte steht
Der geopolitische Kontext verkompliziert das Sicherheitsnarrativ. Chinesische Staats- und Regierungschefs haben die Risiken fortschrittlicher KI erkannt, und Präsident Xi Jinping betonte auf der jüngsten Welt-KI-Konferenz, dass die Technologie weiterhin unter strenger menschlicher Kontrolle bleiben müsse. Dennoch bleibt der Regulierungsschwerpunkt eindeutig.
Laut Graham Webster vom Stanford Cyber Policy Center priorisieren chinesische Vorschriften seit jeher politische Stabilität, Kontrolle von Fehlinformationen und soziale Harmonie. Die Sorge ist nicht dieselbe existenzielle Bedrohungshaltung, die in US-Politikkreisen zu beobachten ist. Viele chinesische Forscher glauben, dass amerikanische Unternehmen diese als Erste treffen werden, wenn neuartige Grenzrisiken auftauchen. Das inländische System stützt sich auf eine streng kontrollierte Online-Umgebung – echte Rechenschaftspflicht und Unternehmenshaftung –, um Missbrauch innerhalb der Grenzen einzudämmen.
„US-amerikanische KI-Denker beschäftigen sich im Allgemeinen mehr mit dieser existenziell katastrophalen Idee als die chinesische Gemeinschaft.“
— Graham Webster, Stanford Cyber Policy Center
Dadurch entsteht ein gefährlicher toter Winkel. Während sich US-Firmen darum bemühen, strenge Tests vor der Bereitstellung durchzuführen und Risikobewertungen zu veröffentlichen, kam GLM-5.2 ohne ein solches Rahmenwerk auf den Markt. SaferAI stellt fest, dass Z.ai kein Sicherheitsrahmenwerk, keine Verpflichtungen vor der Bereitstellung und keine öffentliche Risikobewertung veröffentlicht hat. Als TechCrunch Z.ai nach internen Sicherheitsbewertungen fragte, erhielten sie keine Antwort.
Das Verteidigungsargument vs. die Realität des Missbrauchs
Befürworter offener KI argumentieren, dass Barrierefreiheit ein Feature und kein Fehler sei. Im Bereich der Cybersicherheit, so das Argument, muss man die Werkzeuge des Angreifers verstehen, um wirksame Abwehrmaßnahmen aufzubauen.
Clem Delangue, CEO von HuggingFace, wies kürzlich darauf hin, dass GLM-5.2 ein defensiver Vermögenswert sei. Nachdem HuggingFace durch einen OpenAI-bezogenen Angriff angegriffen wurde, nutzte das Unternehmen GLM-5.2, um ähnliche Bedrohungen zu analysieren und abzuwehren. Delangue argumentierte, dass diese Systeme dabei helfen, Schwachstellen zu identifizieren und zu beheben, bevor Angreifer sie in großem Umfang ausnutzen können.
Es ist eine fesselnde Erzählung. Es deutet auf eine Welt hin, in der defensive Teams dieselben leistungsstarken Modelle wie Angreifer verwenden, nur mit besseren Absichten.
Doch Henry Papadatos von SaferAI sieht das anders. Er argumentiert, dass die defensiven Vorteile oft überbewertet werden. Die Kernfrage ist nicht, ob Verteidiger diese Tools nutzen können. Es liegt daran, dass Angreifer sie immer schneller übernehmen.
Eine Ransomware-Gruppe kann ihre Taktik innerhalb einer Woche ändern. Die IT-Abteilung eines Krankenhauses? Es dauert Monate, Patches zu erstellen, geschweige denn die gesamte Sicherheitsinfrastruktur neu zu schreiben. Standardmäßig bewegt sich die Offensivseite schneller, da ihr einziger Maßstab der Erfolg ist, während die Verteidiger durch Compliance, Stabilität und Kosten eingeschränkt werden.
Die Branche sollte ein Modell anstreben, bei dem gute Fähigkeiten für jeden zugänglich sind, schlechte jedoch nicht. Wir müssen keine gefährlichen Funktionen als Open-Source-Lösung bereitstellen. Wir müssen aufhören, sie als unvermeidlichen Kollateralschaden zu betrachten. Die Lücke zwischen Fähigkeit und Kontrolle schließt sich nicht einfach. Es bricht.
