GLM-5.3: offene Gewichte, 217 GB Minimum

Am 14. August hat Z.ai GLM-5.3 vorgestellt und die Gewichte ausdrücklich zurückgehalten. Die Begründung war ungewöhnlich: Das Modell sei beim Finden von Sicherheitslücken stärker geworden als geplant, man wolle erst nachhärten. Der angekündigte Termin verstrich. Seit dem 28.08.2026 liegen die Gewichte auf Hugging Face.

Was Z.ai selbst über die Cyber-Fähigkeiten sagt

Die Modellkarte ist in diesem Punkt bemerkenswert offen. Unter der Überschrift "Emergent Cyber Capability" steht, die Fähigkeiten hätten sich schneller entwickelt als erwartet, und der Zugewinn sei dort am größten, wo es unangenehm wird, nämlich "further up the exploitation chain".

Die Zahlen aus der Modellkarte, allesamt Angaben des Anbieters:

Auf CyberGym liegt GLM-5.3 damit laut eigener Tabelle vor Fable 5 (83,8) und GPT-5.6 Sol (83,6). Beim reinen Ausnutzen liegt es weiter hinter beiden. Das Modell findet also erstklassig, schreibt den fertigen Angriff aber schlechter als die geschlossenen Spitzenmodelle.

Der eigentliche Clou steckt in einem Nebensatz: GLM-5.3 nutzt dieselbe Basis wie GLM-5.2, der gesamte Zugewinn kommt aus dem Post-Training. Die Sprünge oben sind keine neue Modellgeneration, sondern nachträgliches Training auf einem Modell, das es schon gab.

Die Lizenz ist nicht MIT, und das ist einen Blick wert

Auf Hugging Face steht license: other mit dem Namen glm-5.3. Der Volltext ist MIT-nah und erlaubt Nutzung, Kopie, Änderung, Weitergabe, Fine-Tuning und Verkauf. Eine Klausel weicht ab:

Wer selbst ein "Model as a Service"-Geschäft betreibt, also Dritten Inferenz oder Fine-Tuning mit echter Kontrolle über Eingaben und Parameter anbietet, und mit verbundenen Unternehmen in zwölf zusammenhängenden Monaten mehr als 10 Milliarden Dollar Umsatz macht, muss vor jeder kommerziellen Nutzung eine Sicherheitsprüfung von Z.ai bestehen. Umfang und Methode legt Z.ai fest.

Für alle, die hier mitlesen, ist das praktisch bedeutungslos. Die Schwelle zielt auf Hyperscaler, nicht auf Mittelständler. Trotzdem gehört der Unterschied ins Protokoll, wenn im Team jemand "das ist Open Source" sagt: Das kleinere GLM-5.3-Flash steht unter MIT, das große Modell nicht. Wer Lizenzen inventarisiert, muss die beiden auseinanderhalten.

Die Hardwarehürde ist der eigentliche Filter

Die Safetensors-Metadaten weisen rund 753 Milliarden Parameter aus. Was das für Selbsthoster bedeutet, zeigt am ehrlichsten die Liste der Quantisierungen, die Unsloth seit dem 28.08. bereitstellt:

Das ist die Nachricht hinter der Nachricht. Selbst die brutalste 1-Bit-Variante, bei der man deutliche Qualitätsverluste einkauft, will 217 GB sehen. Der Mac Studio mit 512 GB, den Apple vor drei Tagen ausdrücklich für lokale LLMs beworben hat, könnte UD-Q4_K_XL mit 467 GB gerade eben laden. Ein Rechner für gut 10.000 Euro reicht also für eine mittlere Quantisierung eines einzelnen Modells.

Als Runtimes nennt die Modellkarte SGLang, vLLM, TokenSpeed, Transformers, KTransformers und Unsloth, dazu ausdrücklich Ascend-NPUs. Praktisch ist das Modell damit etwas für Hoster und für Firmen mit eigenem GPU-Cluster, nicht für den Entwicklerarbeitsplatz.

Was das für euch heißt

Für die meisten Teams ist GLM-5.3-Flash die interessantere Nachricht. 320 Milliarden Parameter, MIT-Lizenz, seit dem 27.08. verfügbar, und in Größenordnungen, die man tatsächlich betreiben kann. Das große Modell ist ein Signal, kein Werkzeug.

Wer die Cyber-Fähigkeiten fürchtet, sollte die Rechnung zu Ende machen. Ja, hier liegt jetzt ein frei herunterladbares Modell, das auf CyberGym besser abschneidet als die kommerziellen Spitzenmodelle. Aber wer 217 GB und die passende Hardware aufbringt, hätte auch die 20 Dollar für einen API-Zugang gehabt. Die Hürde für Angreifer sinkt durch dieses Release weniger, als die Schlagzeile vermuten lässt. Was sich ändert, ist etwas anderes: Ein Modell, das man selbst hostet, kennt keine Anbieter-Sperre. Genau daran ist ein OSS-Maintainer diese Woche gescheitert, als sein kommerzielles Modell die Analyse der eigenen Lücke verweigerte, siehe Zehn Minuten vom Patch zum Angriff.

Und die Verteidigungsseite gehört mitgedacht. Dasselbe Modell, das Lücken findet, findet sie auch im eigenen Code. Wer ohnehin einen GPU-Cluster betreibt, hat hier zum ersten Mal ein Werkzeug in dieser Klasse ohne Nutzungsbedingungen, die Sicherheitsanalysen blocken. Das ist die hoffnungsvolle Lesart, und sie ist genauso belegt wie die düstere.

Was Z.ai mit den zwei Wochen Verzögerung erreicht hat, lässt sich von außen nicht beurteilen. Das Unternehmen hat nachgehärtet und ausgeliefert, wie angekündigt. Dass es die Cyber-Fähigkeiten überhaupt zum Anlass genommen hat, den Termin zu verschieben, ist bei einem Anbieter, der sonst auf schnelle Veröffentlichung setzt, die eigentliche Neuigkeit.