Ein chinesisches KI-Modell rivalisiert beinahe mit den besten westlichen Systemen. Seine Sicherheitsbilanz nicht.

Wichtigste Punkte

• GLM-5.2, ein Open-Weight-KI-Modell von Chinas Z.ai, liegt laut einem SaferAI-Bericht von 2025 nur wenige Monate hinter OpenAIs GPT-5.5 und Anthropics Claude Opus 4.7 bei gefährlichen Cyber- und Biologie-Fähigkeiten.
• GLM-5.2 lehnte in SaferAIs Bewertung keine offensiven Cyber- oder Dual-Use-Biologie-Aufgaben ab; Claude Opus 4.7 lehnte so konsequent ab, dass derselbe Test daran überhaupt nicht durchgeführt werden konnte.
• Da GLM-5.2s Modellgewichte (die Rohdateien, die die KI zum Laufen bringen) öffentlich herunterladbar sind, können alle Sicherheitsmaßnahmen von Z.ai auf seinen gehosteten Diensten das Modell nicht erreichen, sobald jemand es auf seinem eigenen Computer ausführt.
• SaferAI sagt, dass Z.ai kein Sicherheits-Framework, Pre-Deployment-Test-Verpflichtungen oder eine Risikobewertung für GLM-5.2 veröffentlicht hat.
• Sowohl Verteidiger als auch Angreifer nutzen Open-Weight-Modelle; Hugging Face nutzte GLM-5.2 Berichten zufolge, um einen kürzlichen Datendiebstahl abzuwehren, der mit OpenAI verbunden ist.

Ein chinesisches KI-Modell hat sich den weltweit leistungsstärksten Systemen angeglichen, und eine Sicherheits-Nichtregierungsorganisation sagt, dass es fast alles tun wird, das ein Nutzer verlangt – einschließlich Aufgaben, die Cyberangriffe oder gefährliche Biologie-Experimente fördern könnten.

SaferAI, eine KI-Sicherheits-Nichtregierungsorganisation, testete GLM-5.2, das neueste Open-Weight-Modell des chinesischen Unternehmens Z.ai, und stellte fest, dass seine Fähigkeiten in offensiver Cybersicherheit und Dual-Use-Biologie (also biologisches Wissen, das missbraucht werden könnte) nur um wenige Monate hinter OpenAIs GPT-5.5 und Anthropics Claude Opus 4.7 zurückbleiben – derzeit zwei der leistungsstärksten verfügbaren KI-Systeme. Die Bewertung wurde zunächst von TechCrunch AI berichtet.

Was zeigten die Tests wirklich?

GLM-5.2 führte alle offensiven Cyber- und Dual-Use-Biologie-Aufgaben durch, die SaferAI ihm stellte. Claude Opus 4.7 hingegen lehnte so konsequent ab, dass Evaluatoren CyberGym, einen Benchmark zur Bewertung der Cybersicherheitsfähigkeiten eines Modells, gar nicht durchführen konnten.

Henry Papadatos, Geschäftsführer von SaferAI, drückte es klar aus: „Die Grenze der Fähigkeit ist nicht die Grenze des Risikos, und daher müssen wir auch den Stand der Schutzmaßnahmen berücksichtigen, um das Risiko richtig zu bewerten."

Die Schließung der Fähigkeitslücke ist nicht automatisch ein Problem. Es wird erst dann eins, wenn die Sicherheitspraktiken nicht mithalten.

Warum kann Z.ai die gefährlichen Anfragen nicht einfach blockieren?

Z.ai kann und wendet Sicherheitsfilter auf die Version von GLM-5.2 an, die es auf seinen eigenen Servern hostet. Das Problem ist, dass GLM-5.2 Open-Weight ist: Die zugrunde liegenden Modelldateien können von jedem heruntergeladen werden. Sobald jemand diese Dateien herunterlädt und das Modell auf seiner eigenen Hardware ausführt, gehen Z.ais Filter gar nicht mit.

Geschlossene Modelle von Unternehmen wie OpenAI und Anthropic verlassen sich auf Klassifizierer (Software, die Anfragen scannt und schädliche kennzeichnet), Ablehnungstraining (das Modell lehren, „Nein" zu gefährlichen Prompts zu sagen) und API-Ebenen-Kontrollen (Regeln in der Service-Oberfläche eingebaut). Keines dieser Tools erreicht ein Open-Weight-Modell, das auf jemandem anderen Computer läuft.

Selbst geschlossene Modelle sind nicht ausfallsicher. Ein separater Bericht der KI-Sicherheits-Nichtregierungsorganisation Far.ai fand hunderte wiederverwendbare „Jailbreaks" (Tricks, die ein Modell täuschen, seine Sicherheitsregeln zu ignorieren) in Modellen wie xAIs Grok 4.5 und Google DeepMinds Gemini 3.1 Pro. Angreifer kombinieren typischerweise Rollenspiel-Szenarien, falsche Autorität und erfundene Gesprächshistorien, um die Abwehrmechanismen eines Modells zu umgehen.

Was kann wirklich getan werden?

Eine Teillösung ist das Filtern von Trainingsdaten, bevor ein Modell gebaut wird, um schädliches Cybersicherheitsmaterial zu entfernen, damit das Modell es nie lernt. Einige Forschungen deuten darauf hin, dass dies schädliches biologisches Wissen reduzieren kann, ohne die Gesamtleistung zu beeinträchtigen. Cybersicherheit ist schwieriger: Ein Modell, das gut programmieren kann, ist per Definition auch ein fähiger Hacker, und Programmierung ist dort, wo KI-Unternehmen die meisten ihrer Einnahmen verdienen.

Anthropic hat mit seinem Opus 5 Modell einen engeren Ansatz gewählt, bei dem das Modell Schwachstellen in unkompiliertem Quellcode finden kann, aber nicht in kompilierter Software – was es schwieriger macht, für direkte Angriffe zu nutzen.

Paradoxerweise helfen Open-Weight-Modelle auch Verteidigern. Hugging Face nutzte GLM-5.2 Berichten zufolge, um einen kürzlichen Datendiebstahl abzuwehren. CEO Clem Delangue schrieb diese Woche, dass dieselben Systeme zur Abwehr eines KI-gestützten Angriffs „jetzt auch gegen Millionen von Cyberangriffen jeden Tag verteidigen können."

Papadatos ist skeptisch, dass dieser Nutzen das Risiko rechtfertigt. „Standardmäßig übernehmen Angreifer neue Werkzeuge schneller als Verteidiger", sagte er. „Eine Ransomware-Gruppe kann ihre Methoden in einer Woche ändern. Ein Krankenhaus nicht."

Modell	Entwickler	CyberGym-Aufgaben abgelehnt?	Gewichte öffentlich herunterladbar?
GLM-5.2	Z.ai (China)	Nein	Ja
Claude Opus 4.7	Anthropic	Ja (vollständig)	Nein
GPT-5.5	OpenAI	Teilweise	Nein
Grok 4.5	xAI	Teilweise (Jailbreaks gefunden)	Nein
Gemini 3.1 Pro	Google DeepMind	Teilweise (Jailbreaks gefunden)	Nein

Häufig gestellte Fragen

Bedeutet das, dass GLM-5.2 illegal zum Download ist?

Nein. Das Herunterladen und Ausführen eines Open-Weight-KI-Modells ist in den meisten Ländern legal. Die Sorge gilt nicht dem Download selbst, sondern dem, was jemand mit einem Modell tun könnte, das keine schädlichen Anfragen ablehnt.

Was sollten normale Menschen von diesem Fall mitnehmen?

Wenn Sie einen KI-Chatbot oder -Dienst nutzen, ist es sinnvoll zu wissen, dass die Sicherheit des zugrunde liegenden Modells enorm variiert. Tools, die auf geschlossenen, sicherheitgetesteten Modellen basieren, bergen weniger Risiken als solche, die auf frei herunterladbaren, uneingeschränkten Modellen aufbauen.

Reguliert China etwas davon?

China hat KI-Richtlinien, aber laut Graham Webster vom Stanford Cyber Policy Center haben diese sich historisch auf politisch sensible Inhalte und soziale Stabilität konzentriert, anstatt auf katastrophale Risiken wie Cyberangriffe oder biologischen Missbrauch.