Ein offenes Modell liegt nun Monate, nicht Jahre, hinter der Grenze zurück. Die Sicherheitsprüfung erfolgt nicht.
Ein SaferAI-Bericht kommt zu dem Schluss, dass der offene GLM-5.2 von Z.ai nur wenige Monate hinter den führenden geschlossenen Modellen in Bezug auf Cyber- und Biologiefähigkeiten zurückbleibt und keine der ihm übertragenen Angriffsaufgaben verweigert. Claude Opus 4.7 lehnte die Prüfung konsequent ab und konnte nicht abgeschlossen werden.
Die gemeinnützige KI-Sicherheitsorganisation SaferAI veröffentlichte eine Bewertung von GLM-5.2, dem Open-Weight-Modell des chinesischen Labors Z.ai, und die Schlagzeile ist in beide Richtungen unangenehm. In Bezug auf Cyber- und Biologiefähigkeiten liegt GLM-5.2 nur wenige Monate hinter GPT-5.5 von OpenAI und Claude Opus 4.7 von Anthropic. In Bezug auf das Sicherheitsverhalten ist die Diskussion nicht dasselbe: SaferAI führte die Tests über die öffentliche API von Z.ai durch und stellte fest, dass das Modell keine der ihm übertragenen offensiven Cyber- oder Biologieaufgaben ablehnte. Im Vergleich dazu lehnte Claude Opus 4.7 so konsequent ab, dass die Forscher den CyberGym-Benchmark überhaupt nicht abschließen konnten.
„Open-weight“ bedeutet, dass die Gewichte des Modells, die Zahlen, aus denen das trainierte Modell besteht, veröffentlicht werden, damit jeder sie herunterladen und ausführen kann. Das ist der springende Punkt des Ansatzes, und hier liegt auch das Problem. Z.ai könnte seiner eigenen gehosteten API Sicherheitsfilter hinzufügen, aber sobald jemand die Gewichte auf seiner eigenen Hardware ausführt, sind diese Schutzmaßnahmen weg. Sie können die Filter entfernen, das Modell per Fine-Tuning anpassen oder den system prompt ändern. Laut SaferAI hat Z.ai kein Sicherheitsrahmenwerk, keine Verpflichtungen zu Tests vor der Bereitstellung und keine Risikobewertung für das Modell veröffentlicht und Z.ai hat nicht auf die Fragen von TechCrunch zu internen Bewertungen oder Bewertungen Dritter geantwortet.
Was ist hier eigentlich los?
„Die Grenze der Leistungsfähigkeit ist nicht die Grenze des Risikos“, sagte Henry Papadatos, Geschäftsführer von SaferAI, gegenüber TechCrunch. Dieser Satz ist das ganze Argument. Jahrelang gab es eine offene oder geschlossene Debatte darüber, ob offene Modelle konkurrieren könnten. Diese Frage ist geklärt, daher hat sich die Debatte auf die Frage verlagert, was passiert, nachdem die Gewichte entfernt wurden.
Die ehrliche Komplikation besteht darin, dass auch die Sicherheitsvorkehrungen der geschlossenen Labore undicht sind. Far.ai hat in Grenzmodellen wie Grok 4.5 und Gemini 3.1 Pro Hunderte von universellen Jailbreaks gefunden, also wiederverwendbare Eingabeaufforderungen, die die meisten schädlichen Anfragen freischalten. Eine Technik, die hilfreich sein könnte, besteht darin, die Trainingsdaten vor dem Training zu filtern und gefährliches Material zu entfernen, damit das Wissen nie erlernt wird. Untersuchungen legen nahe, dass dies für die Biologie sinnvoll ist. Für die Cybersicherheit funktioniert es aus einem klaren Grund schlecht: Es ist sehr schwierig, ein Modell zu trainieren, das hervorragend im Codieren, aber schlecht im Hacken ist, und das Geld liegt im Codieren.
Es gibt ein echtes Gegenargument, das diese Woche lautstark vorgebracht wurde. Hugging Face nutzte GLM-5.2, um sich während der Sicherheitsverletzung durch die Vorabversionsmodelle von OpenAI im Juli zu verteidigen, und CEO Clem Delangue argumentierte, dass dieselben Systeme, die einen KI-gestützten Angriff gestoppt haben, sich gegen Millionen verteidigen können. Papadatos hält den Nutzen für überbewertet und stellt fest, dass Angreifer neue Tools schneller übernehmen als Verteidiger: Eine Ransomware-Gruppe kann ihre Methoden innerhalb einer Woche ändern, ein Krankenhaus nicht.
Was das für dich bedeutet: Wenn Sie offene Modelle lokal ausführen, ändert sich nichts an Ihrem Tagesablauf, und die kleinen Modelle, die die meisten Leute ausführen, erreichen bei weitem nicht diese Fähigkeitsklasse. Wenn Sie in einem kleinen Unternehmen im IT- oder Sicherheitsbereich arbeiten, ist die praktische Lektüre, dass das Toolkit des Angreifers wieder günstiger geworden ist und die langweiligen Abwehrmaßnahmen, Patches, Backups und Multi-Faktor-Authentifizierung wichtiger sind als jedes neue KI-Produkt, das Sie kaufen können.
Quellen
Quellen: https://www.safer-ai.org/research/glm-5-2-evaluation-report
Meta liefert Muse Code, einen Codierungsagenten, der nach einem Absturz weiter funktioniert
Meta hat Muse Code in der Betaversion für macOS und Linux veröffentlicht, basierend auf einem neuen Muse Spark 1.2-Modell. Die beiden interessanten Ideen sind Hintergrundagenten, die eine ganze Sitzung lang am Leben bleiben, und ein lokales Ereignisprotokoll, mit dem ein unterbrochener Job genau dort fortgesetzt werden kann, wo er gestoppt wurde.
