GLM-5.3: Frontier Coding with Emergent Cyber Capabilities

Kernpunkte

1. Datum / Quelle. 14. August 2026, offizieller Z.ai-Blog, unsignierter Beitrag. Seite als React-SPA gebaut, nicht durch ein gewöhnliches curl | lynx erfassbar; der Bundle-Name ist gehasht und daher instabil.
2. Zentrale Einordnung. dasselbe Basismodell wie GLM-5.2, sämtliche Gewinne stammen aus dem Post-Training. Der Begriff « emergent » im Titel bezieht sich im Fließtext auf eine Fortschrittsrate — die Fähigkeit selbst wurde gezielt trainiert. ### Die Cyber-Kurve: der Gewinn wächst mit der Position in der Kette | Benchmark | Was gemessen wird | GLM-5.2 → GLM-5.3 | Faktor | Bester Wert der Tabelle | |---|---|---|---|---| | CyberGym | Identifizierung und Validierung einer Schwachstelle im White-Box-Verfahren | 77,2 → 84,5 % | ×1,09 | GLM-5.3 (vor 83,8 / 83,6) | | ExploitBench | Schlussfolgern über die Ausnutzung realer Schwachstellen | 24,4 → 54,4 % | ×2,2 | 78,0 (geschlossenes Modell) | | ExploitGym (2 h) | abgeschlossene Exploitation-Aufgaben, normiertes Budget | 29 → 105 | ×3,6 | 181 (geschlossenes Modell) | | ExploitGym (6 h) | dasselbe, 6 h | 39 → 130 | ×3,3 | 247 (geschlossenes Modell) | Zwei gleichzeitige, beide zutreffende Lesarten: Z.ai bleibt überall dort weit hinter der geschlossenen Frontier zurück, wo Exploitation real wird, und genau dort ist sein Fortschritt am schnellsten — für einen zusätzlichen Monat Post-Training auf demselben Basismodell. Zitierfalle: ExploitGym-Budgets sind durchsatznormiert, die API-Zeit wird anhand der TPS jedes Modells umskaliert (115 für GLM-5.3, 40 für Kimi K3, 47 für Qwen3.8-Max, Quelle: Artificial Analysis). Das sind keine Echtzeitstunden. ### Das Security Disclosure Ledger | Zähler | Wert | Anteil | |---|---|---| | Erfasste Funde | 2.436 | 100 % | | Öffentlich offengelegt | 53 | 2,2 % | | Unter Embargo | 2.383 | 97,8 % | | Kritisch & Hoch | 1.097 | 45 % | | Betroffene OSS-Projekte | 269 | — | Ein Embargo fällt unter die übliche koordinierte Offenlegung; auffällig sind die Größe des Rückstands und die Veröffentlichungsrate. Vier Punkte, die der Beitrag nicht behandelt: die Fristenpolitik, die tatsächliche Benachrichtigung der Maintainer der 269 Projekte, die Identität der erwähnten « several security teams in China » und was mit dem Embargo geschieht, sobald die Gewichte freigegeben werden — ein öffentliches Modell, das diese Schwachstellen erneut auffinden kann, macht das Embargo faktisch hinfällig. ### Der Zeitplan für die Gewichtsfreigabe « We will release the weights in two weeks after launch, once safety evaluation and hardening are complete. » Nicht spezifiziert: die Definition von Hardening für offene Gewichte, die Kriterien, die eine Verzögerung auslösen würden, die Existenz eines benannten externen Prüfers oder Red Teams sowie jegliche Verpflichtung zur Veröffentlichung des Berichts. Der Zeitplan ist an den kommerziellen Launch gekoppelt, nicht an den Abschluss eines Prozesses. Praktische Konsequenz: Stand 14. August 2026 ist GLM-5.3 ein API-Modell, gepaart mit einer Öffnungsabsicht, nicht mit einer vor der tatsächlichen Freigabe errichteten Reversibilitätsarchitektur. Vergleich mit dem Umgang mit der Gewichtsfreigabe in [[zuckerberg-meta-future-is-for-everyone-superintelligence-2026-08-10]]. ### Die Behauptung „leistungsfähigstes Open-Weights-Modell für Coding" Über die 7 Benchmarks der Gruppe Coding, in denen Kimi K3 in Z.ais Tabelle aufgeführt ist: | Benchmark | GLM-5.3 | Kimi K3 | Vorteil | |---|---|---|---| | Terminal Bench 2.1 | 88,2 | 88,3 | Kimi K3 | | Terminal-Bench 3.0 | 28,3 | 17,4 | GLM-5.3 (deutlich) | | DeepSWE (v1.1) | 66,9 | 67,5 | Kimi K3 | | NL2Repo | 58 | 58 | Gleichstand | | ProgramBench | 19 | 17,5 | GLM-5.3 | | SWE-Marathon (v1.1) | 42,5 | 48,1 | Kimi K3 (deutlich) | | PostTrainBench | 39,8 | 32 | GLM-5.3 | Das ergibt 3:3 mit einem Unentschieden. Zwei engere Behauptungen halten hingegen stand: « open-source SOTA on Terminal Bench 3.0 » (28,3 gegenüber 17,4) und bei Agents' Last Exam (28,5 gegenüber 27,6 für Kimi K3 und 27 für Qwen3.8-Max, innerhalb von 0,1 Punkt des besten geschlossenen Modells der Tabelle). ### Der Gewinn einer Post-Training-Generation | Benchmark | GLM-5.2 | GLM-5.3 | Abstand | |---|---|---|---| | Terminal-Bench 3.0 | 4,6 | 28,3 | ×6,2 | | SWE-Marathon (v1.1) | 19,4 | 42,5 | ×2,2 | | DeepSWE (v1.1) | 46,2 | 66,9 | +20,7 Pkt | | AutomationBench | 26,2 | 48,2 | +22 Pkt | | Agents' Last Exam | 23,8 | 28,5 | +4,7 Pkt | | GDPval-AA v2 | 1508 | 1769 | +261 | Lesart: Bei langen agentischen Aufgaben erweist sich die Trainingsumgebung als kosteneffizienterer Hebel als frisches Pretraining — « much of the difficulty in scaling post-training moves from the model to the environment ». Ein Abstand von ×6,2 innerhalb eines einzigen Monats deutet zudem darauf hin, dass der Benchmark weit von der Sättigung entfernt war: Terminal-Bench 3.0 liegt weiterhin bei 28,3 %, das heißt, mehr als sieben von zehn Aufgaben scheitern. Kontext zu agentischen Benchmarks: [[patel-block-buzz-teams-tokens-benchmarks-2026-08-06]]. ### Kosten pro erfolgreicher Aufgabe (Z.ai Code Bench, privat) | Konfiguration | Score | Output-Token / Aufgabe | |---|---|---| | GLM-5.2, Max Effort | 23,4 % | 96K | | GLM-5.3, Max Effort | 34,5 % | ~75K | | GLM-5.3, High Effort | 31,4 % | ~50K | | Claude Opus 4.8 (Z.ai-Messung) | 29,5 % | 120K | | Claude Fable 5, Max Effort | 39,5 % | nicht offengelegt | Das eigentliche Verkaufsargument ist das Verhältnis: +5 Punkte gegenüber Opus 4.8 bei rund 1,6× weniger Output-Token. Drei Vorbehalte, die zusammen zu betrachten sind: interner und privater Benchmark, selbst bewerteter Vergleich, und Fable 5 bleibt weiterhin vorn — Z.ai veröffentlicht das selbst. Die Kosten der Output-Token sind zudem nicht die Gesamtkosten (Input, Cache, Anzahl der Turns). ### Die Verifikationskette, außerhalb von Z.ai übertragbar 1. Recherche-Agenten sammeln Aufgabenmuster aus realer Arbeit und wandeln sie in ausführbare Long-Horizon-Umgebungen mit mehrstufigen Abhängigkeiten und verdecktem Zustand um. 2. Ein Judge-Agent versucht jede Aufgabe, um zu verifizieren, dass sie tatsächlich lösbar ist. 3. Verifier werden ohne Zugriff auf die Referenzlösung synthetisiert — sie können die Antwort also nicht kodieren. 4. Solver-Trajektorien werden genutzt, um Belohnungs-Abkürzungen aufzudecken und zu schließen. 5. Ein Verifier wird nur zugelassen, wenn er oracle (akzeptiert die wahre Lösung), no-op (verwirft Nichtstun) und unsolved-state (verwirft den Ausgangszustand) besteht. Erst dann « produce a binary reward reliable enough to train on directly ». Die Punkte 3 und 5 lassen sich auf jede automatische Testgenerierung übertragen: Ein Test, der beim Originalcode nicht rot fehlschlägt, beweist nichts. Dieselbe Anforderung wie formuliert in [[dumortier-marketing-ai-os-verification-2026-08-12]]. Von Z.ai eingeräumte Einschränkung: « These pipelines still require a meaningful amount of human-in-the-loop work. » ### Claude Code als Evaluierungs-Harness Sieben in den Fußnoten dokumentierte Evaluierungen werden « in Claude Code 2.1.207 » durchgeführt — Terminal-Bench 2.1 und 3.0, ALE, CyberGym, ExploitGym, ExploitBench, PostTrainBench, SWE-Marathon. Ein chinesisches Labor misst dort sein Frontier-Modell und die seiner Wettbewerber und zitiert die Version als Abhängigkeit. Unberücksichtigtes Korollar: die Übertragbarkeit der Scores auf ein anderes Harness. ### API-Bruch und Preisgestaltung
3. « Disabling thinking is no longer supported by GLM-5.3 »: thinking.type: "disabled" führt zum Fehlschlagen der Anfrage. Vorgeschriebene Migration: Umstellung auf enabled und reasoning_effort: "low" vor der Änderung der Modell-ID. Drei Stufen low / high / max, Standard max. Die Mindestkosten eines Aufrufs steigen dadurch; bei jeder hochvolumigen, wenig komplexen Arbeitslast muss die Umstellung auf low der ID-Änderung vorausgehen.
4. GLM Coding Plan. verwendet Punktekontingente, getrennt gezählt für Input, gecachten Input und Output. Spitzenzeiten 14:00–18:00 UTC+8, Montag bis Freitag, alles andere zu 50 % des Satzes — für ein europäisches Team entspricht das Spitzenfenster somit 08:00–12:00 Uhr Pariser Zeit. Zugehöriges ZCode-Angebot: behauptet « 98%+ cache hit rate », ~30 % mehr effektive Token, 1,5-facher Kontingent-Boost bis 31. August 2026, Goal-Modus und Remote Control über WeChat oder Feishu. ### Drei interne Widersprüche, nicht weiterzugeben 1. « 1,097 medium-to-high severity issues » widerspricht der eigenen Seitenleiste desselben Beitrags: kritisch 107 + hoch 990 = 1.097, mittel 1.286 gesondert. Zitieren als „1.097 kritische oder schwerwiegende Schwachstellen". 2. « the oldest dating back roughly 40 years » widerspricht der Seitenleiste (« introduced in 1981 », « 45 YEARS OF IMPACT »). 1981 und eine durchschnittliche Lebensdauer von 26,6 Jahren verwenden. 3. Der Fließtext schreibt „Mythos 5" die Werte 83,8 / 78,0 / 181-247 zu, die die Tabelle „Fable 5 (w/ fallback)" zuschreibt. Es handelt sich um zwei unterschiedliche Anthropic-Modelle, und der Beitrag klärt nicht, welches gemeint ist. Diese Werte keinem benannten Modell zuschreiben. ### Trainingsinfrastruktur Post-Training auf slime (Z.ais Open-Source-Framework), Megatron für das Training, SGLang für den Rollout, wobei Training, Rollout und Buffer auf einem einzigen Datenstrom liegen — Umgebungen werden wie Datengenerierung eingebunden, nicht als Loop-Modifikationen. Behauptete Gewinne: durchschnittliche Log-Wahrscheinlichkeitslücke zwischen Training und Rollout auf 1e-7 kontrolliert, Multi-Teacher-OPD mit dynamischem Wechsel und Prefetching, gemeinsame Router-/slime-Planung, insgesamt mehr als das 2,3-Fache End-to-End-Durchsatz bei Long-Horizon-Coding-RL-Aufgaben. Zugrundeliegende Publikationen: IndexShare (arXiv 2603.12201) und SAO (arXiv 2607.07508). ### Zitierhygiene
5. Alles aus Z.ai Code Bench ist konstruktionsbedingt nicht verifizierbar: als « per an unpublished internal benchmark » zitieren.
6. Jeder Wettbewerber-Score in der Tabelle wurde von Z.ai selbst erstellt, mit Ausnahme von GDPval-AA v2 und FrontierSWE (Artificial Analysis) sowie Toolathlon Verified (offizieller Dienst).
7. Die öffentlichen Harnesses wurden modifiziert; die Scores sind nicht mit offiziellen Leaderboards vergleichbar.
8. Die Verbindung zum Souveränitätsdossier ist direkt: Drei Tage zuvor kündigte [[nunez-mistral-gigawatt-compute-europeen-venturebeat-2026-08-11]] an, dass Mistral AI GLM-5.2 unter europäischen regionalen Kontrollen hostet. Die Sicherheitsevaluierungen, die Mistral eigenen Angaben zufolge bei Drittanbietermodellen durchführt, wurden nicht öffentlich beschrieben.