GLM-5.3: Chinas offene KI knackt veraltetes Chrome für 18 Euro

Anthropic hat am Dienstag eine Untersuchung zu GLM-5.3 veröffentlicht, dem aktuellen Sprachmodell des chinesischen Anbieters Z.ai, früher Zhipu AI. Das Modell baut eigenständig funktionierende Exploits und kommt dabei nah an Claude Mythos Preview heran, das Anthropic wegen genau dieser Fähigkeit nur an ausgewählte Verteidiger herausgibt. GLM-5.3 kann dagegen jeder herunterladen. Die Gewichte liegen seit Ende August auf Hugging Face, wo die Seite im letzten Monat mehr als 1,3 Millionen Downloads zählte.

Fast auf dem Niveau von Claude Mythos

Im Exploit-Test von Anthropic schrieb GLM-5.3 in 50 von 410 Versuchen einen vollständigen Angriff, der von der Lücke bis zur Übernahme reicht. Claude Mythos Preview schaffte 56. Andere Modelle wie Claude Opus 4.6, der Vorgänger GLM-5.2, Kimi K3 und DeepSeek V4.1-Flash lagen bei null oder knapp darüber. In einer zweiten Prüfung musste das Modell den Ablauf eines laufenden Programms kapern, hier kam GLM-5.3 auf 4 Prozent der Versuche und Mythos auf 6 Prozent. Z.ai schreibt in der eigenen Modellkarte, die Cyber-Fähigkeiten hätten sich im Training schneller entwickelt als erwartet.

Neue Browser-Lücken und ein Chrome-Exploit für 18 Euro

Im Praxistest fand GLM-5.3 mehrere bislang unbekannte Fehler in der JavaScript-Engine eines verbreiteten Browsers. Verkettet ergaben sie eine Webseite, die beim Besuch beliebige Dateien vom Rechner liest, etwa den privaten SSH-Schlüssel, mit dem sich Entwickler an Servern anmelden. Welcher Browser betroffen ist, verrät Anthropic nicht. Die Lücken sind laut dem Bericht an den Hersteller gemeldet, ob es schon ein Update gibt, steht dort nicht.

Wie billig so etwas inzwischen ist, zeigt ein zweites Beispiel. Die kleinere Variante GLM-5.3-Flash baute einen Exploit für CVE-2026-11645, eine Lücke in Chromes JavaScript-Engine V8, die Google im Juni mit Version 149.0.7827.102 geschlossen hat und die damals schon aktiv ausgenutzt wurde. Zu den API-Preisen von Z.ai kostete das laut Anthropic 20,40 US-Dollar, umgerechnet rund 18 Euro, dazu kamen 20 Minuten Betreuung durch einen Menschen und acht Stunden Laufzeit.

Der Schutz fällt mit einem Trick

Fragt man GLM-5.3 direkt nach einem Angriff, lehnt es ab. Mit einer erfundenen Begründung machte das Modell in Anthropics Simulation in 64 Prozent der Fälle trotzdem mit, mit einem vorgegebenen Gedankengang in 92 Prozent. Noch einfacher ist es, die Ablehnung ganz aus den Gewichten herauszurechnen. Das Verfahren heißt Abliteration, und solche entsperrten Fassungen tauchten laut Anthropic wenige Tage nach der Veröffentlichung öffentlich auf. Anthropic selbst brauchte dafür rund 2.200 GPU-Stunden für etwa 4.400 US-Dollar, also rund 3.900 Euro, ein erfahrenes Team schaffe es mit rund 600 Stunden. Die Ablehnungsquote sank danach von über 90 Prozent auf 2 bis 12 Prozent, an den Fähigkeiten änderte sich kaum etwas. Claude-Modelle mit ihren Schutzmechanismen blieben in allen getesteten Varianten bei null.

Was das für deinen Browser heißt

Anthropic hat ein Interesse an dieser Botschaft, weil das Unternehmen seine eigenen Modelle nicht zum Download anbietet. Die US-Behörde CAISI kam am 17. September aber in einer eigenen Bewertung zu einem ähnlichen Befund. Sie nennt GLM-5.3 das fähigste offene Modell für Cyberangriffe, das bisher erschienen ist, und schätzt den Abstand zu den führenden US-Modellen auf rund vier Monate. Den Platz hatte zuvor Kimi K3 gehalten, das die Behörde im Juli geprüft hatte. Für dich heißt das vor allem, dass bekannte Lücken schneller und billiger angreifbar werden. Chrome lädt Updates zwar im Hintergrund, aktiv werden sie aber erst nach einem Neustart des Browsers. Unter Menü, Hilfe und Über Google Chrome siehst du die installierte Version und kannst das Update anstoßen. Edge und Firefox zeigen ihren Stand ebenfalls im Info-Fenster an.