Die Cyberdebatte über Open-Weight-Modelle zielt daneben. GLM 5.3 zeigt das eigentliche Problem

Nathan Lambert greift nach der Serie schwerer Schwachstellen im Oktober seine Verteidigung von Open-Weight-Modellen wieder auf. Seiner Ansicht nach beobachtet die Debatte die falsche Variable: Statt des Modelltyps sollte sie die gesamte Kette untersuchen, von der Fehlersuche über die Fähigkeiten des Angreifers bis zur Geschwindigkeit der Verteidigung.

Lambert hält an seiner Wette fest, doch die Firefox-Daten präzisieren sie

Lambert schreibt, die öffentlichen Belege zeigten bislang keinen sprunghaften Anstieg der Schäden durch Open-Weight-Modelle. Für wichtiger hält er die Fähigkeiten der Modelle, ihre Verbreitung, die Rechenkosten und die Frage, wer sie tatsächlich einsetzt. Zugleich räumt er große Unsicherheit ein und vertritt seine Prognose nach den Vorfällen im Oktober weniger gelassen.

Epoch AI liefert ein konkretes Gegengewicht. Die Forscher ließen GLM 5.3 die sogenannte Patch Gap ausnutzen, also die Zeit zwischen der Veröffentlichung einer Korrektur und ihrer Auslieferung an Nutzer. Das Modell erstellte eine Website, die allein durch einen Besuch eine Datei vom Computer eines Firefox-Nutzers versenden konnte. Der Angriff funktionierte gegen sechs Versionen, die zwischen dem 17. September und dem 26. Oktober erschienen.

Nach Aufbau der Umgebung kostete ein erfolgreicher Angriff rund 1.000 Dollar pro Version. Der schnellste Versuch dauerte 12 Stunden, maximal gaben die Forscher dem Modell 48 Stunden. Die Angriffskette nutzte außerdem eine zuvor unveröffentlichte Schwachstelle, die Mozilla in Firefox 159.0 vom 27. Oktober schloss.

Verteidiger brauchen die gesamte Kette und kein Etikett am Modell

Lamberts stärkstes Argument betrifft die Arbeitsteilung. Eine entdeckte Schwachstelle greift für sich genommen niemanden an. Ein Angreifer muss ein Ziel auswählen, die Kette zusammensetzen, sie zum Opfer bringen und weitere Schutzschichten überwinden. Ein Verteidiger muss den Fehler finden, beheben, das Update verteilen und Nutzer zur Installation bewegen.

Der Unterschied zwischen einer API und offenen Gewichten bleibt dennoch relevant. Wer ein Open-Weight-Modell betreibt, kann Guardrails entfernen, und der Anbieter sieht die Anfragen nicht mehr. Eine geschlossene API kann einfacher und oft günstiger nutzbar sein, wodurch sich Fähigkeiten schneller verbreiten. Sicherheitsteams lernen daher mehr aus der Zeit vom Patch zum Exploit, den Kosten eines wiederholbaren Angriffs und der Patch-Verbreitung als aus einem Streit über eine Modellkategorie.

Ein Experiment belegt weder Sicherheit noch Katastrophe

Das Ergebnis von Epoch AI ist ernst, misst jedoch ein vorbereitetes Experiment. Die Forscher bauten die Umgebung, wählten das Ziel und stellten dem Modell das relevante öffentliche Material bereit. Das gesamte Forschungsprogramm kostete mehr als 100.000 Dollar. Die 1.000 Dollar bezeichnen dagegen die Grenzkosten, nachdem der Versuchsaufbau stand. Der Angriff benötigte zudem eine zweite, zuvor unveröffentlichte Schwachstelle, die inzwischen geschlossen ist.

Lambert stützt einen Teil seiner Argumentation auf den Mangel an öffentlich zugeordneten Schäden. Diese Abwesenheit ist ein schwacher Indikator, weil Opfer und Ermittler oft nicht wissen, welches Modell ein Angreifer nutzte. Die verfügbaren Daten erlauben keinen ehrlichen Sieger. Sie zeigen jedoch, dass ein Open-Weight-Modell eine komplexe Exploit Chain ohne laufende menschliche Anleitung zusammensetzte.

Forensik, Angriffskosten und Patch-Geschwindigkeit entscheiden

In den kommenden Monaten braucht es bessere Messungen realer Vorfälle. Ermittler müssen offene Gewichte von kommerziellen APIs unterscheiden, den nötigen menschlichen Aufwand beziffern und klären, ob ein Modell die Zeit zwischen veröffentlichter Korrektur und Ausnutzung verkürzt hat.

Die zweite Prüfung wartet auf die Verteidiger. Beschleunigen Unternehmen die Patch-Verteilung, trennen Sicherheitsänderungen von öffentlichen Hinweisen und setzen dieselben Modelle zur Fehlersuche ein, kann das Gleichgewicht halten. Sinken die Angriffskosten weiter und bleiben Updates langsam, wird die Modelllizenz zur Fußnote auf einer wachsenden Rechnung.

Liliths Urteil

Washington streitet über das Etikett auf der Schachtel, während der Angreifer die Stunden zwischen einem Firefox-Patch und seiner Installation zählt. Wer dieses Zeitfenster verkürzt, gewinnt mehr als die nächste Runde der Open-Weight-Debatte.