Der Beitrag des Frontier Red Team von Anthropic, veröffentlicht am 29. September 2026, analysiert GLM-5.3, ein offengewichtetes Modell von Zhipu AI (Z.ai). Er erinnert daran, dass Claude Mythos Preview, fünf Monate zuvor angekündigt, das erste Modell gewesen war, das in der Lage war, eigenständig vollständige Exploits zu erstellen, und dass es nur über Project Glasswing an vertrauenswürdige Verteidiger freigegeben wurde, die mehr als 10.000 Schwachstellen fanden. Die Autoren erwarteten, dass sich diese Fähigkeit verbreiten würde. Ihrer Ansicht nach besitzt GLM-5.3 sie, ohne nennenswerte Schutzmechanismen.
Auf ExploitBench, das Bugs in Chromes V8-Engine abdeckt, erzeugt GLM-5.3 einen vollständigen Exploit in 50 von 410 Versuchen, gegenüber 56 bei Mythos Preview. Beim internen Benchmark zu Speicherkorruption übernimmt es den Kontrollfluss in 4 % der Versuche gegenüber 6 %. Claude Opus 4.6, GLM-5.2, Kimi K3 und DeepSeek V4.1-Flash bleiben bei oder nahe null: eine Schwelle wurde überschritten. Die CAISI-Bewertung des NIST, veröffentlicht am 17. September, kommt zu ähnlichen Schlüssen: GLM-5.3 ist das fähigste offengewichtete Modell im Bereich Cyber, etwa vier Monate hinter der US-Frontier.
Zwei Sitzungen mit menschlichen Forschern veranschaulichen den Effekt. Mit weniger als einer Stunde Aufmerksamkeit entdeckte GLM-5.3 mehrere unbekannte Schwachstellen in der JavaScript-Engine eines Browsers und verkettete sie zu einer Seite, die Dateien vom Computer des Besuchers liest; auch in Treibern und Netzwerkgerätesoftware wurden Schwachstellen gefunden, die offengelegt wurden oder noch geprüft werden. In der anderen Sitzung baute GLM-5.3-Flash eine N-Day-Exploit-Kette, die PAC auf ARM64 umgeht, für 20 Minuten menschlicher Aufmerksamkeit und 20,40 $.
Die Schutzmechanismen des Modells verweigern offen bösartige Anfragen, doch drei einfache Umgehungen funktionieren in einer simulierten Welt: ein falscher Red-Team-Übungskontext (64 % Erfolgsquote), Reasoning-Prefill (92 %) und Abliteration (100 %). Letztere verändert die Gewichte und senkt die durchschnittliche Verweigerungsrate von 95 % auf 6 %, wobei die Fähigkeiten nahezu intakt bleiben; sie kostete das Team etwa 4.400 $ an Rechenleistung, und abliterierte Versionen sind bereits im Umlauf. Die getesteten Claude-Modelle widerstehen, weil die API kein Prefill anbietet und die Gewichte nicht verteilt werden.
Die Autoren schließen, dass staatliche und nichtstaatliche Akteure diese Modelle wahrscheinlich nutzen werden. Sie empfehlen, den Zugang von Verteidigern zu Frontier-Modellen zu erweitern und Regierungen die Nachfolger von GLM-5.3 testen zu lassen, und fordern Entwickler offengewichteter Modelle auf, diese Fähigkeiten abzusichern. Sie weisen darauf hin, dass die Simulation keinen Code ausführt und dass die Exploits auf eine Linux-Version abzielen.