KI-Sicherheitslücke schrumpft: Offene Modelle holen bei Cyber-Angriffen auf

Wie gefährlich sind KI-Modelle, die sich jeder kostenlos herunterladen kann? Das britische AI Security Institute (AISI) hat erstmals systematisch gemessen, wie nah offene Modelle wie GLM-5.2 und DeepSeek V4-Pro an die Cyber-Fähigkeiten der besten geschlossenen Systeme herankommen. Das Ergebnis: Der Rückstand schrumpft schneller, als viele Sicherheitsforscher erwartet hatten, und die Angriffswerkzeuge werden dabei drastisch billiger.

Das Wichtigste in Kürze

• AISI verglich die offenen Modelle GLM-5.2 (Z.ai) und DeepSeek V4-Pro erstmals systematisch mit Frontier-Systemen wie Claude Opus 4.6 und GPT-5.5 bei Cyber-Aufgaben.
• Der Rückstand offener Modelle schrumpfte von 6 bis 10 Monaten im Jahr 2025 auf inzwischen 4 bis 7 Monate.
• Bei bestimmten Aufgaben erreicht GLM-5.2 fast das Niveau von Opus 4.6, nur rund vier Monate dahinter, und kostet laut AISI dabei etwa 60 Prozent weniger pro gelöster Aufgabe.
• Offene Modelle lassen sich lokal betreiben, ihre eingebauten Schutzmechanismen sind mit einfachen Wiederholungsversuchen zu umgehen, eine externe Überwachung von Missbrauch fehlt komplett.
• AISI mahnt Investitionen in Cybersicherheits-Grundlagen und KI-gestützte Verteidigung an, weil das Zeitfenster für Vorbereitung schrumpft.

Wie AISI misst, was eine KI wirklich kann

Für die Analyse nutzte AISI zwei Testformate. Im ersten, den sogenannten Narrow Cyber Tasks, mussten die Modelle 70 klar umrissene Aufgaben über vier Schwierigkeitsstufen lösen, von Arbeiten, die ein Datenanalyst mit wenig Sicherheitserfahrung bewältigen könnte, bis zu Expertenaufgaben, die normalerweise zehn Jahre Berufserfahrung in der Cybersicherheit voraussetzen. Abgedeckt wurden Schwachstellenforschung und deren Ausnutzung, Reverse Engineering, Web-Exploitation und Kryptografie. Im zweiten Format, den Cyber Ranges, mussten die Modelle autonom und über bis zu 32 Schritte hinweg realistische Firmennetzwerke angreifen, ohne menschliche Zwischenschritte. Getestet wurden GLM-5.2, im Juni 2026 vom chinesischen Labor Z.ai veröffentlicht, und DeepSeek V4-Pro, jeweils gegen die aktuellen Referenzmodelle Claude Opus 4.5 und 4.6 sowie GPT-5.5 und GPT-5.3-Codex. Beide offenen Modelle wurden bewusst als die zum jeweiligen Zeitpunkt stärksten verfügbaren Kandidaten ausgewählt, nicht als Zufallsstichprobe, damit die gemessene Lücke tatsächlich den engsten realistischen Abstand zwischen offener und geschlossener Spitzentechnologie zeigt und nicht durch schwächere Vergleichsmodelle künstlich größer wirkt.

Warum die Lücke so schnell schrumpft

Schon im Frühjahr hatte AISI in einem separaten Trendbericht festgestellt, dass sich die Cyber-Fähigkeiten von KI-Modellen schneller verdoppeln als bisher angenommen: Im November 2025 lag die Verdopplungszeit noch bei rund acht Monaten, im Februar 2026 waren es nur noch 4,7 Monate. Claude Mythos Preview und GPT-5.5 lösten im April 2026 als erste Modelle überhaupt beide getesteten Cyber-Szenarien vollständig, für AISI einer der größten Einzelsprünge bei Cyber-Fähigkeiten seit Beginn der Tests 2023. Diese Dynamik schlägt inzwischen auf offene Modelle durch: GLM-5.2 löst Aufgaben, für die noch vor wenigen Monaten ausschließlich Frontier-Modelle wie Opus 4.6 nötig waren, und das laut AISI zu einem Bruchteil der Kosten pro Aufgabe. Wer heute einen eigenen KI-Server betreiben will, wie der Blick auf lokale Alternativen zu OpenAI und Anthropic zeigt, profitiert von genau dieser Kostenentwicklung, die aber eben zwei Seiten hat: Dieselbe Effizienz, die private und geschäftliche Nutzer anlockt, senkt eben auch die Einstiegshürde für jeden, der ein Modell zweckentfremden will.

Was das für Unternehmen und Verteidiger bedeutet

Der entscheidende Unterschied zu geschlossenen Anbietern liegt nicht allein in der reinen Fähigkeit, sondern in der Kontrolle. Wer über eine API auf Claude oder GPT zugreift, unterliegt Nutzungsrichtlinien, Protokollierung und Sperren durch den Anbieter. Wer sich die Gewichte eines offenen Modells herunterlädt, kann eingebaute Schutzmechanismen umgehen, etwa indem er eine Anfrage einfach so lange umformuliert oder wiederholt, bis das Modell doch antwortet. Eine externe Überwachung, die Missbrauch erkennt oder stoppt, existiert danach nicht mehr, das Modell läuft ja lokal und ohne Anbindung an den ursprünglichen Entwickler. Das britische NCSC warnt bereits vor einer sich rasch verändernden Cyber-Risikolandschaft, in der genau diese Kombination aus sinkenden Kosten, wachsenden Fähigkeiten und fehlender Aufsicht zum Problem wird. Auch bei anderen Themen rund um Kontozugriff und Automatisierung zeigt sich, wie genau Sicherheitsfragen inzwischen mitgedacht werden müssen, etwa wenn KI-Agenten sich eigenständig bei Diensten anmelden: Je autonomer und zugänglicher die Werkzeuge werden, desto wichtiger wird die Frage, wer sie am Ende tatsächlich kontrolliert und wer im Zweifel haftet, wenn etwas schiefgeht.

Fazit

AISI zieht aus den Zahlen keine Panikmache, aber eine klare Handlungsaufforderung: Cybersicherheits-Grundlagen müssen jetzt stehen, weil das Zeitfenster für Vorbereitung objektiv kürzer wird. Für Unternehmen heißt das konkret, Systeme so zu härten, dass sie nicht erst dann sicher sind, wenn ein Angreifer besonders teure Werkzeuge braucht, sondern grundsätzlich und unabhängig vom Budget des Gegenübers. Gleichzeitig zeigt die Entwicklung, wie zweischneidig der Fortschritt bei offenen Modellen ist: Dieselbe Kostenersparnis, die lokale KI für Privatanwender und kleine Unternehmen attraktiv macht, senkt auch die Einstiegshürde für Angreifer mit begrenztem Budget. Beides gleichzeitig ernst zu nehmen, ohne offene Modelle deshalb pauschal zu verteufeln, wird zur eigentlichen Aufgabe der kommenden Monate, für Sicherheitsteams ebenso wie für die Labore, die diese Modelle veröffentlichen.