Laut einer Analyse des britischen AI Security Institute schrumpft der Rückstand offener KI-Modelle bei Cyber-Angriffen auf vier bis sieben Monate. Das Zeitfenster für Verteidiger wird kleiner.
Das britische AI Security Institute (AISI) hat erstmals öffentlich analysiert, wie weit führende Open-Weight-KI-Modelle hinter den leistungsfähigsten geschlossenen Modellen bei Cyber-Fähigkeiten zurückliegen. Das Ergebnis: Die Lücke schrumpft.
Aktuelle offene Modelle wie GLM-5.2 und DeepSeek V4-Pro erreichen laut AISI ein Niveau, das geschlossene Frontier-Modelle vier bis sieben Monate zuvor demonstrierten. Noch im Großteil des Jahres 2025 betrug dieser Rückstand sechs bis zehn Monate.
Offene Modelle, deren Gewichte jeder herunterladen, modifizieren und ohne Überwachung betreiben kann, sind laut Kritikern ein Risiko. Einmal veröffentlicht, lassen sich Schutzmaßnahmen entfernen, Kopien weiterverbreiten und auf privaten Systemen jenseits jeder Kontrolle betreiben. Laut AISI entsteht dadurch ein "dauerhaftes und irreversibles Missbrauchsrisiko".
Gleichzeitig böten Open-Weight-Modelle reale Vorteile: privates Hosting ohne Datenrückfluss an Anbieter, Anpassbarkeit, niedrigere Kosten und eine verlässliche Basis, die Anbieter nicht ändern oder einstellen können. Diese beiden Faktoren müssten in Einklang gebracht werden.
Zwei Testverfahren, ein Bild
AISI evaluierte die Modelle mit zwei unterschiedlichen Methoden. Die sogenannten "Narrow Cyber Tasks" umfassen 70 spezifische Aufgaben über vier Schwierigkeitsstufen, von technischen Nicht-Experten bis zu Experten-Niveau. Sie decken Bereiche wie Schwachstellenforschung, Reverse Engineering, Web-Exploitation und Kryptografie ab.
Auf diesen Aufgaben schnitt GLM-5.2 (Juni 2026) vergleichbar mit Opus 4.6 (Februar 2026) ab, also mit einem Rückstand von etwa vier Monaten. DeepSeek V4-Pro lag auf dem Niveau von Opus 4.5 aus dem November 2025.
Bei 70 Cyber-Aufgaben über vier Schwierigkeitsstufen erreichen die Open-Weight-Modelle GLM-5.2 und DeepSeek V4-Pro das Niveau geschlossener Frontier-Modelle von vier bis fünf Monaten zuvor. Anfang 2025 betrug dieser Rückstand noch sechs bis zehn Monate. | Bild: AISIDie zweite Methode, die sogenannten Cyber Ranges, testet autonome Cyber-Fähigkeiten in simulierten Netzwerken. In der Range "The Last Ones", einem 32-Schritte-Angriff auf ein Unternehmensnetzwerk mit vier Subnetzen und rund 20 Hosts, den ein menschlicher Experte laut AISI in etwa 20 Stunden bewältigen würde, erreichte GLM-5.2 ein ähnliches Niveau wie Opus 4.5. DeepSeek V4-Pro fiel unter das Niveau von Sonnet 4.5. Am besten schnitt GPT-5.6-Sol ab, noch vor Claude Mythos 5.
Die Lücke fällt auf den Cyber Ranges mit rund sieben Monaten größer aus als bei den Narrow Tasks. AISI stuft diese Ergebnisse allerdings als schwächere Evidenz ein, da sie auf weniger Testszenarien basieren. Zudem lasse sich nicht unterscheiden, ob ein Modell an mangelnder Cyber-Kompetenz scheitere oder schlicht an der Fähigkeit, komplexe Angriffsschritte über längere Zeiträume zu planen.
In der simulierten Netzwerk-Attacke "The Last Ones" mit 32 Angriffsschritten erreicht GLM-5.2 ein ähnliches Niveau wie Opus 4.5, während GPT-5.6-Sol und Claude Mythos 5 die Simulation nahezu vollständig durchlaufen. Die offenen Modelle liegen hier rund sieben Monate hinter den führenden geschlossenen Systemen. | Bild: AISIDas Institut räumt ein, dass die Tests die maximale Fähigkeit offener Modelle möglicherweise leicht unterschätzen, da keine spezifischen Optimierungen vorgenommen wurden. Außerdem fehlen den Cyber Ranges reale Verteidigungselemente wie aktive Verteidiger, die in echten Szenarien wohl meist vorhanden wären.
Offene Modelle sind billiger und kaum durch Schutzmaßnahmen gebremst
Neben der schrumpfenden Leistungslücke fällt der Kostenunterschied auf. Ein Durchlauf der Cyber Range mit 100 Millionen Token kostete bei Opus 4.5 und 4.6 laut AISI rund 85 Dollar, bei GLM-5.2 etwa 46 Dollar und bei DeepSeek V4-Pro nur 1,19 Dollar. Pro einzelner Aufgabe, die beide verglichenen Modelle zuverlässig lösten, fielen bei Opus 4.6 rund 15 Dollar an, bei GLM-5.2 etwa sechs Dollar, bei Opus 4.5 rund 12,50 Dollar und bei DeepSeek V4-Pro lediglich 28 Cent. Bedeutet: Cyberangriffe mit offenen Modellen sind günstig und damit auch besser skalierbar.
Die Sicherheitsvorkehrungen der offenen Modelle erwiesen sich laut AISI als weitgehend wirkungslos. DeepSeek V4-Pro verweigerte gelegentlich Reverse-Engineering-Aufgaben, was sich durch einfache Wiederholungsversuche umgehen ließ. Deployment-Sicherheitsmaßnahmen wie Monitoring, Klassifikatoren und Nutzersperren seien bei offenen Modellen nicht universell anwendbar, da sie Kontrolle über den Zugang zum Modell voraussetzen.
Das Zeitfenster für Cyber-Verteidiger wird enger
Die Lücke zwischen offenen und geschlossenen Modellen definiert laut AISI eine Vorbereitungszeit: ein Fenster, in dem Cyber-Verteidiger mit Zugang zu den leistungsfähigsten geschlossenen Systemen Maßnahmen ergreifen können, bevor dieselben Fähigkeiten ohne vergleichbare Schutzmaßnahmen frei verfügbar werden.
Besonders drängend wird das durch die jüngsten Fortschritte an der Frontier: Im April 2026 zeigten zwei geschlossene Modelle, Mythos Preview und GPT-5.5, laut AISI einige der größten Sprünge bei KI-Cyber-Fähigkeiten seit Beginn der Tests. Das britische National Cyber Security Centre (NCSC) sprach daraufhin internationale Warnungen aus, die eine sich rasch verändernde Cyber-Risikolandschaft beschreiben.
Ob künftige Open-Weight-Modelle diese neuesten Sprünge replizieren werden, ist laut AISI noch unklar. Aufschlussreich dürfte der schon angekündigte Test des neuen Kimi-K3-Modells werden, dessen Gewichte für Ende Juli angekündigt sind und das laut aktuellen Coding-Benchmarks insgesamt näher an die Fähigkeiten der aktuellen Frontier-Modelle heranreichen soll, wenn auch zu deutlich höheren Preisen als bisher.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
