Am 14. August 2026 veröffentlichte das chinesische KI-Unternehmen Zhipu AI (Z.ai) eine beeindruckende Zahl: 2.436. Dies ist die Gesamtzahl der Sicherheitslücken, die seit der Vorgängergeneration GLM-5.2 in Zusammenarbeit mit mehreren Sicherheitsteams in 269 realen Softwareprojekten identifiziert und bestätigt wurden. 1.097 dieser Schwachstellen wurden als hochkritisch oder darüber eingestuft. Der älteste Fehler stammte aus Quellcode des Jahres 1981 – dem Jahr, in dem IBM seinen ersten Personal Computer auf den Markt brachte. Mit anderen Worten: Diese Sicherheitslücke schlummerte fast 45 Jahre lang unentdeckt im Code und ist damit älter als viele Leser dieses Artikels.
Eine Sicherheitslücke, die sich 45 Jahre lang verbirgt, klingt wie eine urbane Legende, folgt jedoch einer simplen Ursache. Moderne Software entsteht selten aus einem Guss; sie gleicht eher einem Altbau: Das Fundament wurde vor Jahrzehnten gegossen, spätere Entwickler renovieren nur noch die Fassade oder verlegen neue Rohre, während sich niemand an die tragende Struktur wagt. Betriebssystemkerne und Browser-Engines umfassen zehn Millionen Zeilen Code, die über Jahrzehnte von hunderten Programmierern angepasst wurden. In der Legacy-Code-Welt gilt die ungeschriebene Regel: “Fasse nichts an, was funktioniert.” Eine falsche Änderung könnte weltweit abhängige Systeme zum Absturz bringen. So wurden ungetriggerte Schwachstellen über Generationen weitervererbt. Laut Zhipu AI liegt die durchschnittliche Latenzzeit dieser Lücken bei 26,6 Jahren. Die Ende 2021 aufgetretene Log4j-Schwachstelle, die IT-Abteilungen weltweit zu Notfallschichten zwang, war ein ähnlich jahrelang unentdecktes Problem – mit dem Unterschied, dass damals Hacker zuerst handelten.
Der Hauptgrund für das lange Übersehen liegt in der menschlichen Kapazitätsgrenze. Quellcode im globalen Open-Source-Ökosystem umfasst dutzende Milliarden Zeilen; selbst hochspezialisierte Teams können diesen nicht lückenlos prüfen. KI-Auditing geht fundamental anders vor: Das Modell “liest” den Code nicht nur, sondern testet ihn dynamisch. Nach der Analyse des Quellcodes konstruiert das Modell ungewöhnliche Eingaben, um gezielt fehlerhaftes Verhalten zu provozieren – vergleichbar mit der Überprüfung eines Türschlosses, bei der man nicht nur das Schlüsselloch betrachtet, sondern am Türgriff rüttelt. Zhipu AI integrierte das Auffinden von Schwachstellen direkt in den Trainingsplan: Der KI wurde beigebracht, Code zu lesen, Anomalien zu erkennen und zu verifizieren, ob diese tatsächlich ausnutzbar (exploitbar) sind. Die 2.436 Schwachstellen betreffen Betriebssystemkerne, Browser-Engines, Open-Source-Infrastrukturen und Netzwerkprotokolle – das Fundament des modernen Internets.
An diesem Punkt begann das Modellverhalten die ursprünglichen Erwartungen der Entwickler zu übertreffen. Laut dem offiziellen Blog von Zhipu AI bestand das ursprüngliche Trainingsziel lediglich darin, das Modell bei der “Erkennung und Analyse von Sicherheitslücken” zu verbessern. Mit zunehmender Trainingsskalierung begnügte sich die KI jedoch nicht mehr mit isolierten Schwachstellen, sondern begann Schritt für Schritt komplexe Angriffsketten (Attack Chains) zu planen. Bildlich gesprochen entwickelte sich das Modell von “Ich sehe, dass diese Tür unverschlossen ist” hin zu “Ich erstelle einen Plan, wie ich nach dem Betreten den Flur überquere und das zweite Schloss knacke”. Zhipu AI bezeichnete dieses Phänomen als “Emergenz”: Das Modell wurde nicht gezielt auf Angriffe trainiert; die Fähigkeit entstand spontan während des Trainings – und das “schneller als erwartet”.
Abbildung: Leistungssprung von GLM-5.3 im Vergleich zu GLM-5.2 bei Cyber-Offensiv- und Defensiv-Benchmarks. Quelle: z.ai
Noch überraschender ist die Herkunft dieser Fähigkeiten. GLM-5.3 und GLM-5.2 nutzen exakt dasselbe Basismodell – dasselbe “Gehirn”. Sämtliche Fortschritte resultieren ausschließlich aus der Skalierung der nachgelagerten Trainingsphase (Post-Training): mehr reale Aufgabenstellungen, längere Trainingszeiten und ein höherer Rechenaufwand. Die offizielle Stellungnahme lautet: “Alles, was wir für GLM-5.3 getan haben, war die Erweiterung des Post-Training-Maßstabs.” Die Ergebnisse sind beachtlich: Im Terminal Bench 3.0, der das autonome Ausführen von Befehlen auf der Kommandozeile misst, stieg der Wert von 4,6 auf 28,3 (ca. das 6-Fache); im ExploitBench für Schwachstellen-Exploitation kletterte die Rate von 24,4 % auf 54,4 %; und in internen Programmier-Benchmarks erzielte das Modell eine Steigerung von 50 %. Der Fokus im LLM-Wettbewerb verlagert sich damit von “ein besseres Gehirn bauen” hin zu “dasselbe Gehirn intensiver trainieren”.
Abbildung: Testergebnisse von GLM-5.3 im Vergleich zu führenden Modellen in den Bereichen Programmierung, Cyber-Sicherheit und allgemeine Aufgaben. Quelle: z.ai
Das erweiterte Training brachte zudem einen positiven Nebeneffekt mit sich: Für dieselbe Leistung benötigt das Modell weniger “Denkaufwand” (Inferenz-Rechenleistung). In internen Tests benötigte GLM-5.3 rund 20 % weniger Denk-Tokens als GLM-5.2, um dieselbe Erfolgsquote zu erreichen. Bei hohen Rechenkapazitäten erzielte es mit weniger als der Hälfte des Denkaufwands von Konkurrenzmodellen höhere Erfolgsraten. Für Endanwender bedeutet dies schnellere Antworten und geringere API-Kosten.
Abbildung: Interner Z.ai-Programmier-Benchmark: GLM-5.3 benötigt bei gleicher Erfolgsquote weniger Denkaufwand. Quelle: z.ai
Aus Branchensicht sticht eine weitere Zahl besonders hervor: Von den 2.436 entdeckten Schwachstellen wurden bisher nur 53 behoben und öffentlich offengelegt. Die restlichen 2.383 befinden sich noch in vertraulichen Reparaturprozessen. Die Geschwindigkeit, mit der KI Lücken findet, hat das Tempo menschlicher Patches deutlich überholt. Sicherheitsteams geraten in Verzug, wodurch der Offenlegungsprozess zum neuen Nadelöhr wird. Dennoch stellt dies einen klaren Fortschritt dar: Jahrzehntelang wurden diese Fehler nicht einmal entdeckt; nun stehen sie zumindest in der Reparaturwarteschlange. Für Verteidiger bietet KI-gestütztes Auditing langfristig große Vorteile, sofern die Behebungs- und Offenlegungsprozesse Schritt halten können.
Zhipu AI macht keinen Hehl aus der Kehrseite dieser Technologie: Ein Modell, das Schwachstellen effektiv aufdeckt, kann diese naturgemäß auch ausnutzen. Aus diesem Grund kündigte das Unternehmen an, die Veröffentlichung der Modellgewichte (Open Weights) um zwei Wochen zu verschieben, um Sicherheitsbewertungen und Härtungsmaßnahmen durchzuführen. Diese zweiwöchige Frist sorgt in der Entwickler-Community für Diskussionen. Kritiker argumentieren, dass die Open-Source-Bereitstellung eines Modells, das Angriffsketten planen kann, mächtige Werkzeuge in beliebige Hände gibt. Befürworter betonen dagegen, dass Verteidiger solche KIs dringend benötigen: Open-Source-Projekten fehlt es chronisch an Auditoren, und KI ermöglicht erstmals eine umfassende Überprüfung von Bestands-Code. Je schneller Lücken geschlossen werden, desto sicherer sind die Nutzer. Zudem merken Beobachter an, dass die Open-Weights-Ankündigung vorerst ein Versprechen bleibt: Am Erstveröffentlichungstag gab es keine herunterladbaren Dateien, sondern zwei Wochen lang nur kostenpflichtigen API-Zugriff. Die Evaluierung vor der Veröffentlichung stellt einen Kompromiss von Zhipu AI dar.
Schließlich ist diese Offensivkapazität kein Alleinstellungsmerkmal chinesischer Entwickler. Bei komplexeren Angriffsketten-Tests führen geschlossene Modelle wie Anthropic Fable 5 und GPT-5.6 Sol weiterhin das Feld an: In einem sechs-stündigen Zeitbegrenzungstest lösten sie 247 bzw. 293 Aufgaben, während GLM-5.3 auf 130 kam. Dass KIs zunehmend offensive Cyber-Fähigkeiten entwickeln, ist ein globaler Trend bei allen führenden Modellen. Zhipu AI gehört lediglich zu den ambitioniertesten Anbietern im Open-Weights-Bereich. Der Bereich mit dem schnellsten Fähigkeitswachstum ist genau der, in dem zuvor der größte Rückstand bestand – eine Regel, die sowohl für die Offensive als auch für die Defensive gilt.
Referenz-Links:
- Z.ai Offizieller Blog: GLM-5.3 Ankündigung “Frontier Coding with Emergent Cyber Capabilities”
- Hacker News Diskussion (item?id=49294997)
- Axios: Zhipu verschiebt GLM-5.3 Open-Source-Release wegen Hacking-Risiken
- VentureBeat: Berichterstattung zum Start von GLM-5.3 (inkl. Cursor-Sicherheitslücke)
- Z.ai Sicherheitsoffenlegungs-Register (Security Disclosure Ledger)
