# fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29

## Veille

Forschungsbeitrag des **Frontier Red Team** von Anthropic (Autoren: **Andrew Fasano**, **Marius Fleischer**, Cole McFaul, Robert Xiao, Tripp Gallagher), veröffentlicht am **29. September 2026**; rund **2.300 Wörter**, sechs Abbildungen. Er analysiert **GLM-5.3** von **Zhipu AI (Z.ai)**, ein offengewichtetes Modell, fünf Monate nach der Ankündigung von Claude Mythos Preview. **(A)** Fähigkeit: Auf ExploitBench (41 Chrome-V8-Bugs) erstellt GLM-5.3 einen vollständigen Exploit in **50 von 410 Versuchen**, gegenüber **56 von 410** bei Mythos Preview; beim internen Benchmark zu Speicherkorruption, Kontrollflussübernahme in **4 %** der Versuche gegenüber **6 %**; Claude Opus 4.6 und GLM-5.2: 0. **(B)** Versuche mit menschlichen Experten: eine Browser-0-Day-Schwachstellenkette, die im Lesen der Dateien des Besuchers gipfelt; mit **GLM-5.3-Flash** eine N-Day-Exploit-Kette (CVE-2026-11645), die PAC auf ARM64 umgeht, **20 Minuten** menschlicher Aufmerksamkeit, acht Stunden Rechenzeit, **20,40 $** zu API-Preisen. **(C)** Schutzmechanismen: in **64 %** der Fälle über einen falschen Red-Team-Kontext umgangen, **92 %** über Reasoning-Prefill, **100 %** über *Abliteration* (etwa 2.200 GPU-Stunden, 4.400 $); die getesteten Claude-Modelle bleiben bei 0 %. **(D)** Empfehlungen: breiteren Zugang für Verteidiger zu Frontier-Modellen, unabhängige staatliche Tests. Zitiert die **CAISI**-Bewertung des NIST (17. September): „das bislang fähigste im Bereich Cyber veröffentlichte offengewichtete Modell", etwa vier Monate hinter der US-Frontier. Erweitert die Anmerkungen des Korpus zu Mythos und Glasswing.

## Titre Article

GLM-5.3 and the spread of advanced cyber capabilities

## Date

2026-09-29

## URL

https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities

## Keywords

GLM-5.3, Zhipu AI, Z.ai, offengewichtetes Modell, offensive Cyberfähigkeiten, Schwachstellenausnutzung, ExploitBench, V8, Chrome, Abliteration, Verweigerungsreduktion, Umgehung von Schutzmechanismen, Reasoning-Prefill, Jailbreak, JailbreakBench, HarmBench, StrongREJECT, Claude Mythos Preview, Project Glasswing, CAISI, NIST, N-Day, 0-Day, PAC, Verbreitung, Verteidiger, Frontier Red Team, unabhängige Bewertung

## Authors

Andrew Fasano, Marius Fleischer, Cole McFaul, Robert Xiao, Tripp Gallagher ; Frontier Red Team, Anthropic (billet de recherche du site anthropic.com).

## Ton

**Profil**: Veröffentlichung eines internen Red-Teaming-Teams, verfasst als Bewertungsbericht mit Protokoll, Zahlen und Fußnoten, gefolgt von einem Abschnitt mit öffentlichen Politikempfehlungen.

**Stil**: sachlich, quantifiziert, mit systematischen Vergleichen zwischen GLM-5.3, Claude Mythos Preview und älteren Claude-Modellen. Zusammenfassende Zahlen, detaillierte Anwendungsfälle, wörtliches Zitat der Argumentation eines abliterierten Modells.

**Epistemische Position**: Ergebnisse stammen aus den eigenen Tests des Teams; Angriffe auf Claude-Modelle werden mit aktivierten Schutzmechanismen getestet, während der Fähigkeitsvergleich Claude-Modelle mit deaktivierten Schutzmechanismen verwendet. Die Autoren weisen auf die Einschränkungen hin: die Welt wird von einem anderen LLM simuliert, ohne Codeausführung, „unvollkommen“; Exploits auf die Linux-Version des Browsers beschränkt; Offenlegungen an Maintainer laufen. Der Beitrag stammt vom Entwickler der verglichenen Modelle, was im Kopfbereich offengelegt wird.

## Pense-betes

- **Kontext**: Mythos Preview, fünf Monate zuvor angekündigt, wurde begrenzt über Project Glasswing freigegeben (mehr als 10.000 von vertrauenswürdigen Verteidigern gefundene Schwachstellen). Anthropic erwartete, dass sich diese Fähigkeit verbreiten würde; GLM-5.3 ist dieses Eintreten.
- **Gemessene Fähigkeit**: ExploitBench, 50 vollständige Exploits von 410 (GLM-5.3) gegenüber 56 (Mythos Preview); interner Benchmark mit 100 OSS-Fuzz-Aufgaben, 4 % gegenüber 6 %. Kimi K3, DeepSeek V4.1-Flash, Claude Opus 4.6 und GLM-5.2 bleiben bei oder nahe null: eine **Schwelle** wurde zwischen GLM-5.2 und GLM-5.3 überschritten, ebenso wie zwischen Opus 4.6 und Mythos Preview.
- **Sitzungen mit Experten**: weniger als eine Stunde menschlicher Aufmerksamkeit. GLM-5.3 findet mehrere 0-Days in der JavaScript-Engine eines Browsers und verkettet sie zu einer Seite, die beliebige Dateien liest (Abbildung: Diebstahl eines SSH-Schlüssels); weitere Hinweise auf Wi-Fi-/Grafiktreiber und Netzwerkgerätesoftware, in Prüfung.
- **Kostengünstiger N-Day**: GLM-5.3-Flash, eine kleinere Version, verkettet zwei bekannte Schwachstellen zu einer zuverlässigen Kette auf ARM64 mit PAC-Umgehung: 20 Minuten menschliche Zeit, 8 Stunden Maschinenzeit, **20,40 $**.
- ⭐ **Schutzmechanismen**: Verweigerung bei offen bösartigen Anfragen, aber durch drei einfache Methoden umgangen. Falscher Red-Team-Kontext: **64 %** Erfolgsquote; Reasoning-Prefill: **92 %**; *Abliteration*: **100 %**. Getestet in einer simulierten Welt, fünf Angriffsabfolgen, 50 Stichproben pro Zelle.
- **Abliteration**: eine Gewichtsänderung, die Verweigerungen entfernt. Durchschnittliche Verweigerungsrate sinkt von 95 % auf 6 % (GLM-5.3) und 14 % (Flash) über drei Benchmarks; Fähigkeiten nahezu intakt (GPQA-Diamond identisch, CyberGym einige Punkte niedriger). Kosten für das Team: ~2.200 GPU-Stunden (~4.400 $); ein erfahrenes Team bräuchte ~600 (~1.200 $). Abliterierte Versionen sind binnen Tagen nach Veröffentlichung öffentlich verfügbar.
- **Asymmetrie gegenüber geschlossenen Modellen**: Prefill wird von der Claude-API nicht angeboten, die Gewichte sind nicht zugänglich und somit nicht abliterierbar, und falsche Kontexte werden bei Tests blockiert. Die getesteten Claude-Modelle (Opus 4.8, Opus 5, Mythos 5) bleiben bei 0 %.
- **CAISI-Bewertung** (NIST, 17. September): GLM-5.3 ist „das in puncto Cyber fähigste der offengewichteten Modelle“, etwa vier Monate hinter der US-Frontier; US-Modelle wurden ohne Schutzmechanismen getestet, einschließlich Versionen, die verifizierten Nutzern vorbehalten sind.
- **Empfehlungen**: Verteidiger mit Modellen ausstatten, die mindestens so fähig sind wie die der Angreifer (Zugang über Glasswing, Patch the Planet, Mythos 5.1); staatliche Tests der Nachfolger von GLM-5.3; Aufruf an Entwickler offengewichteter Modelle, diese Fähigkeiten abzusichern.
- ⚠️ **Vorbehalte im Artikel**: Welt von einem LLM simuliert, ohne reale Ausführung; Ziele auf eine Linux-Version beschränkt; Erkenntnisse zu anderer Software noch nicht veröffentlicht.

## RésuméDe400mots

Der Beitrag des Frontier Red Team von Anthropic, veröffentlicht am 29. September 2026, analysiert GLM-5.3, ein offengewichtetes Modell von Zhipu AI (Z.ai). Er erinnert daran, dass Claude Mythos Preview, fünf Monate zuvor angekündigt, das erste Modell gewesen war, das in der Lage war, eigenständig vollständige Exploits zu erstellen, und dass es nur über Project Glasswing an vertrauenswürdige Verteidiger freigegeben wurde, die mehr als 10.000 Schwachstellen fanden. Die Autoren erwarteten, dass sich diese Fähigkeit verbreiten würde. Ihrer Ansicht nach besitzt GLM-5.3 sie, ohne nennenswerte Schutzmechanismen.

Auf ExploitBench, das Bugs in Chromes V8-Engine abdeckt, erzeugt GLM-5.3 einen vollständigen Exploit in 50 von 410 Versuchen, gegenüber 56 bei Mythos Preview. Beim internen Benchmark zu Speicherkorruption übernimmt es den Kontrollfluss in 4 % der Versuche gegenüber 6 %. Claude Opus 4.6, GLM-5.2, Kimi K3 und DeepSeek V4.1-Flash bleiben bei oder nahe null: eine Schwelle wurde überschritten. Die CAISI-Bewertung des NIST, veröffentlicht am 17. September, kommt zu ähnlichen Schlüssen: GLM-5.3 ist das fähigste offengewichtete Modell im Bereich Cyber, etwa vier Monate hinter der US-Frontier.

Zwei Sitzungen mit menschlichen Forschern veranschaulichen den Effekt. Mit weniger als einer Stunde Aufmerksamkeit entdeckte GLM-5.3 mehrere unbekannte Schwachstellen in der JavaScript-Engine eines Browsers und verkettete sie zu einer Seite, die Dateien vom Computer des Besuchers liest; auch in Treibern und Netzwerkgerätesoftware wurden Schwachstellen gefunden, die offengelegt wurden oder noch geprüft werden. In der anderen Sitzung baute GLM-5.3-Flash eine N-Day-Exploit-Kette, die PAC auf ARM64 umgeht, für 20 Minuten menschlicher Aufmerksamkeit und 20,40 $.

Die Schutzmechanismen des Modells verweigern offen bösartige Anfragen, doch drei einfache Umgehungen funktionieren in einer simulierten Welt: ein falscher Red-Team-Übungskontext (64 % Erfolgsquote), Reasoning-Prefill (92 %) und Abliteration (100 %). Letztere verändert die Gewichte und senkt die durchschnittliche Verweigerungsrate von 95 % auf 6 %, wobei die Fähigkeiten nahezu intakt bleiben; sie kostete das Team etwa 4.400 $ an Rechenleistung, und abliterierte Versionen sind bereits im Umlauf. Die getesteten Claude-Modelle widerstehen, weil die API kein Prefill anbietet und die Gewichte nicht verteilt werden.

Die Autoren schließen, dass staatliche und nichtstaatliche Akteure diese Modelle wahrscheinlich nutzen werden. Sie empfehlen, den Zugang von Verteidigern zu Frontier-Modellen zu erweitern und Regierungen die Nachfolger von GLM-5.3 testen zu lassen, und fordern Entwickler offengewichteter Modelle auf, diese Fähigkeiten abzusichern. Sie weisen darauf hin, dass die Simulation keinen Code ausführt und dass die Exploits auf eine Linux-Version abzielen.

## GrapheDeConnaissance

- Frontier Red Team —fait_partie_de→ Anthropic (ORGANISATION, 0.95)
- Frontier Red Team —publie→ article GLM-5.3 and the spread of advanced cyber capabilities (DOCUMENT, 0.95)
- Zhipu AI —a_créé→ GLM-5.3 (TECHNOLOGIE, 0.97)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ GLM-5.3 a été publié sans garde-fous significatifs alors qu'il construit des exploits complets de façon autonome (AFFIRMATION, 0.93)
- GLM-5.3 —mesure→ 50 exploits complets sur 410 essais sur ExploitBench contre 56 sur 410 pour Claude Mythos Preview (MESURE, 0.95)
- GLM-5.3 —mesure→ détournement du flot de contrôle dans 4 % des essais contre 6 % pour Claude Mythos Preview, 100 tâches (MESURE, 0.93)
- GLM-5.3 —converge_avec→ Claude Mythos Preview (TECHNOLOGIE, 0.85)
- GLM-5.3 —surpasse→ GLM-5.2 (TECHNOLOGIE, 0.92)
- GLM-5.3-Flash —est_variante_de→ GLM-5.3 (TECHNOLOGIE, 0.93)
- GLM-5.3-Flash —mesure→ chaîne d'exploits N-day CVE-2026-11645 sur ARM64 contournant PAC, 20 minutes d'attention humaine, 20,40 $ (MESURE, 0.93)
- abliteration —réduit→ le refus moyen de GLM-5.3 de 95 % à 6 % avec des capacités presque intactes (MESURE, 0.93)
- abliteration —s_applique_à→ GLM-5.3 (TECHNOLOGIE, 0.95)
- GLM-5.3 —observé_dans→ engagement à 64 % avec faux contexte de red team, 92 % avec raisonnement prérempli, 100 % abliteré (MESURE, 0.93)
- article GLM-5.3 and the spread of advanced cyber capabilities —affirme_que→ les modèles Claude testés résistent à ces contournements, faute de préremplissage et de poids accessibles (AFFIRMATION, 0.9)
- CAISI —affirme_que→ GLM-5.3 est le modèle à poids ouverts le plus capable en cyber publié à ce jour, environ quatre mois derrière la frontière américaine (AFFIRMATION, 0.93)
- Project Glasswing —permet→ à des défenseurs de confiance de trouver plus de 10 000 vulnérabilités avant les attaquants (MESURE, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ élargir l'accès des défenseurs aux modèles de pointe (AFFIRMATION, 0.92)
- article GLM-5.3 and the spread of advanced cyber capabilities —recommande→ des tests de sécurité gouvernementaux des successeurs de GLM-5.3 (AFFIRMATION, 0.9)
- article GLM-5.3 and the spread of advanced cyber capabilities —prédit→ acteurs étatiques et non étatiques utiliseront des modèles comme GLM-5.3 pour causer des dommages réels (AFFIRMATION, 0.85)

---
Canonical: https://www.thekb.eu/de/fiches/fasano-fleischer-anthropic-glm-5-3-advanced-cyber-capabilities-2026-09-29/