Ein Open-Weight-KI-Modell hat eine Fähigkeit demonstriert, die früher einen erfahrenen Exploit-Entwickler und viel Zeit erforderte: die Umwandlung von Sicherheitsfixes, die noch nicht an Nutzer ausgeliefert wurden, in funktionierende Browser-Exploits. Laut Forschungsergebnissen von Anthropics Frontier Red Team nutzte GLM-5.3 — ein Open-Weight-Modell von Z.ai — sechs Versionen des Firefox-Browsers aus, indem es von Sicherheitspatches ausging, die bereits geschrieben, aber noch nicht veröffentlicht worden waren. Mozilla schloss eine verwandte Schwachstelle, nachdem die Ergebnisse bekannt geworden waren.

Was das Red Team fand

Die Details sind in einem Bericht vom 29. September von Anthropics Frontier Red Team dargelegt, das GLM-5.3 untersuchte, ein Modell, das Z.ai am 14. August 2026 veröffentlichte. In dieser Testrunde erwies sich die Spezialität des Modells als JavaScript-Engines — die Komponenten in einem Browser, die den Code auf jeder besuchten Website ausführen. Da sie nicht vertrauenswürdigen Code aus dem offenen Web verarbeiten, waren JavaScript-Engines historisch ein Hauptziel für die Exploit-Entwicklung — ein Muster, das sich in der Chrome-V8-Schwachstelle widerspiegelt, die der Bericht später erwähnt.

Auf Anthropics ExploitBench-Benchmark erstellte GLM-5.3 in 50 von 410 Versuchen funktionierende Exploits, was einer Erfolgsquote von 12,2 % entspricht. Zum Vergleich: Anthropics eigenes Modell, Claude Mythos Preview, schaffte 56 Exploits auf demselben Benchmark.

Die Firefox-Ergebnisse sind der auffälligste Teil des Berichts. Den findings zufolge nutzte GLM-5.3 sechs Firefox-Versionen aus, indem es Sicherheitsfixes verwendete, die bereits geschrieben, aber noch nicht ausgeliefert waren — im Effekt wurden unveröffentlichte Patches in funktionierenden Angriffscode umgewandelt. Das Timing ist für Verteidiger wichtig: Bis ein Fix ausgeliefert wird, bleibt die betroffene Schwachstelle in den Browser-Builds vorhanden, die Nutzer tatsächlich verwenden.

Geführte Sitzungen und ein günstigeres Geschwistermodell

Die Bewertung des Red Teams ging über Benchmark-Werte hinaus. In geführten Forschungssitzungen identifizierte GLM-5.3 nach Berichten mehrere neue Schwachstellen und kombinierte sie anschließend zu einem erheblichen Exploit — einem, der beliebige Dateien von einem Zielgerät auslesen konnte, einschließlich SSH-Schlüssel.

Eine kleinere Variante, GLM-5.3-Flash, zeigte ebenfalls offensive Fähigkeiten. Sie verknüpfte bekannte Schwachstellen, darunter die als CVE-2026-11645 erfasste Chrome-V8-Schwachstelle, zu einem ARM64-Exploit. Die API-Kosten für diese Arbeit beliefen sich auf etwa 20,40 $ — ein konkreter Datenpunkt dafür, wie günstig der zugrunde liegende Modellzugriff sein kann, wobei sich die Zahl auf die Arbeit der Flash-Variante an bereits bekannten Schwachstellen bezieht und nicht auf die Firefox-Ergebnisse des Berichts.

Was das Flaggschiff-Modell selbst betrifft, so verfügt GLM-5.3 über ein Kontextfenster von 1 Million Token und ist eine Weiterentwicklung von GLM-5.2, wobei die neuen Fähigkeiten auf Post-Training und nicht auf einer Neuentwicklung von Grund auf beruhen.

Schutzmechanismen, die meist nicht halten

Anthropic berichtete, dass die Schutzmechanismen des Modells in 64 % bis 100 % der Fälle mit einfachen Techniken umgangen werden konnten.

Die Breite der Verbreitung des Modells verleiht diesen Zahlen zusätzliches Gewicht. Die Gewichte von GLM-5.3 wurden mehr als 1,3 Millionen Mal von Hugging Face heruntergeladen, und da das Modell Open-Weight ist, können diese Kopien überall laufen — außerhalb der Reichweite jeglicher Nutzungsrichtlinien oder Überwachungssysteme. Ein geschlossenes Modell mit schwachen Schutzmaßnahmen kann vom Entwickler gepatcht werden; ein Open-Weight-Modell mit schwachen Schutzmaßnahmen, das 1,3 Millionen Mal heruntergeladen wurde, kann nicht zurückgerufen werden.

Warum dies über Firefox hinaus wichtig ist

Die Reaktion von Mozilla zeigt, dass das System funktioniert — zumindest diesmal. Die Ergebnisse führten zu einer koordinierten Patch-Auslieferung über die betroffenen Firefox-Versionen.

Auch wer die Tests durchgeführt hat, ist erwähnenswert. Anthropic entwickelt ein konkurrierendes Modell, Claude Mythos Preview, das es direkt mit GLM-5.3 verglich. Die Zahlen stammen von Anthropic selbst, und Leser sollten sie vor diesem Hintergrund bewerten. Die naheliegende Folgefrage ist daher, ob unabhängige Bewertungen außerhalb von Anthropic die berichteten Exploit-Quoten bestätigen.

Hinweis: Dieser Artikel wurde von Diego Almada Lopez redaktionell bearbeitet.

Quelle: CryptoBriefing