Fortschritte offener KI-Modelle im Cyber-Sicherheitsbereich

Das British AI Security Institute (AISI) hat in einer ersten öffentlichen Analyse die Cyber-Fähigkeiten von führenden Open-Weight-KI-Modellen im Vergleich zu proprietären Spitzensystemen bewertet. Die Ergebnisse zeigen eine deutliche Annäherung der offenen Modelle an die Leistungsfähigkeit der proprietären Systeme in den letzten Monaten.

Die Konvergenz der Cyber-Fähigkeiten: Open-Weight-Modelle holen auf

Aktuelle Untersuchungen des AISI belegen, dass Open-Weight-Modelle, deren Parameter frei zugänglich sind, eine Leistungsstufe im Bereich der Cyber-Sicherheit erreicht haben, die den fortschrittlichsten proprietären Systemen noch vor vier bis sieben Monaten vorbehalten war. Dieser Rückstand hat sich im Vergleich zu Anfang 2025, als er noch sechs bis zehn Monate betrug, signifikant verringert.

Open-Weight-Modelle wie GLM-5.2 und DeepSeek V4-Pro demonstrieren dabei eine bemerkenswerte Effizienz. Kritiker äußern Bedenken hinsichtlich des Risikopotenzials dieser Modelle. Da ihre Gewichte heruntergeladen, modifiziert und ohne zentrale Kontrolle betrieben werden können, besteht die Möglichkeit, Sicherheitsvorkehrungen zu umgehen und die Modelle für missbräuchliche Zwecke einzusetzen. Das AISI bezeichnet dies als ein "persistentes und irreversibles Risiko des Missbrauchs".

Gleichzeitig bieten Open-Weight-Modelle klare Vorteile für Unternehmen. Sie ermöglichen eine private Haltung ohne Datenrückfluss an externe Anbieter, bieten Anpassungsmöglichkeiten und reduzieren Kosten. Diese Modelle stellen eine stabile Basis dar, die nicht von externen Anbietern verändert oder abgeschaltet werden kann. Das AISI betont die Notwendigkeit, diese konkurrierenden Aspekte sorgfältig abzuwägen.

Methodik der Leistungsbewertung und Ergebnisse

Das AISI setzte zwei unterschiedliche Testmethoden ein, um die Cyber-Fähigkeiten der Modelle zu evaluieren:

Narrow Cyber Tasks

Dieser Benchmark umfasste 70 Aufgaben aus den Bereichen Schwachstellenforschung, Reverse Engineering, Web-Exploitation und Kryptographie, aufgeteilt in vier Schwierigkeitsgrade. GLM-5.2, im Juni 2026 veröffentlicht, erreichte hierbei die Leistung von Opus 4.6 (Februar 2026), was einem Rückstand von etwa vier Monaten entspricht. DeepSeek V4-Pro zeigte eine Leistung vergleichbar mit Opus 4.5 (November 2025).

Cyber Ranges

Bei den Cyber Ranges wurden autonome Cyber-Fähigkeiten in simulierten Netzwerken getestet. Ein Szenario namens "The Last Ones" simulierte einen 32-stufigen Angriff auf ein Unternehmensnetzwerk. GLM-5.2 erreichte hier eine Leistung ähnlich Opus 4.5. GPT-5.6-Sol erzielte das beste Ergebnis, gefolgt von Claude Mythos 5. Der Rückstand der Open-Weight-Modelle lag hier bei etwa sieben Monaten. Das AISI weist darauf hin, dass diese Ergebnisse aufgrund der geringeren Anzahl von Testszenarien als weniger aussagekräftig betrachtet werden sollten. Zudem können die Tests nicht eindeutig klären, ob ein Modell aufgrund mangelnder Cyber-Fähigkeiten oder aufgrund von Schwierigkeiten bei der Aufrechterhaltung komplexer Angriffsplanungen scheitert.

Es wird angenommen, dass die Tests die tatsächlichen Fähigkeiten der Open-Weight-Modelle möglicherweise unterschätzen, da diese nicht speziell für die Evaluierungen optimiert wurden. Darüber hinaus wurden reale Verteidigungsmechanismen, wie aktive Verteidiger, in den Cyber Ranges nicht berücksichtigt.

Kosten und Sicherheitslücken

Neben der Leistungsannäherung ist der Kostenunterschied ein entscheidender Faktor. Ein 100-Millionen-Token-Test in den Cyber Ranges kostete mit Opus 4.5 oder 4.6 etwa 85 US-Dollar, mit GLM-5.2 rund 46 US-Dollar und mit DeepSeek V4-Pro lediglich 1,19 US-Dollar. Für einzelne Aufgaben, die von den Modellen zuverlässig gelöst wurden, betrugen die Kosten für Opus 4.6 etwa 15 US-Dollar pro Aufgabe, für GLM-5.2 rund 6 US-Dollar, für Opus 4.5 etwa 12,50 US-Dollar und für DeepSeek V4-Pro nur 28 Cent. Diese erheblich geringeren Kosten erleichtern die Skalierung von Cyberangriffen.

Die Analyse des AISI zeigte zudem, dass die Sicherheitsmaßnahmen der Open-Weight-Modelle größtenteils ineffektiv waren. Bei DeepSeek V4-Pro konnten Einschränkungen bei Reverse-Engineering-Aufgaben durch wiederholte Versuche umgangen werden. Überwachungsmechanismen, Klassifikatoren und Nutzerbeschränkungen sind bei Open-Weight-Modellen oft nicht zuverlässig implementierbar, da der uneingeschränkte Zugang die Kontrolle erschwert.

Es sei angemerkt, dass ineffektive Sicherheitsmaßnahmen kein exklusives Problem von Open-Weight-Modellen sind. Eine aktuelle Studie belegt, dass auch kommerzielle Chatbots von terroristischen Gruppen manipuliert werden, um Angriffe zu planen. Die freie Verfügbarkeit von Open-Weight-Modellen erhöht jedoch ein zusätzliches Risiko.

Das schrumpfende Zeitfenster für Verteidiger

Das AISI betrachtet die zeitliche Differenz zwischen Open-Weight- und Closed-Weight-Modellen als ein entscheidendes Zeitfenster für die Vorbereitung. In diesem Zeitraum können Cyber-Verteidiger, die Zugang zu den stärksten geschlossenen Systemen haben, präventiv handeln, bevor die gleichen Fähigkeiten ohne vergleichbare Sicherheitsvorkehrungen frei verfügbar werden.

Die jüngsten Fortschritte in der KI-Entwicklung haben dieses Zeitfenster weiter verkürzt. Im April 2026 zeigten zwei Closed-Weight-Modelle, Mythos Preview und GPT-5.5, einige der größten Fortschritte in den Cyber-Fähigkeiten von KI, seit das AISI mit der Erfassung begonnen hat. Das britische National Cyber Security Centre (NCSC) hat daraufhin internationale Warnungen herausgegeben, dass sich die Cyber-Bedrohungslandschaft rapide verändert.

Es bleibt abzuwarten, ob zukünftige Open-Weight-Modelle diese jüngsten Fortschritte ebenfalls erreichen werden. Das AISI plant, Kimi-K3 zu testen, dessen Gewichte voraussichtlich Ende Juli veröffentlicht werden. Aktuelle Coding-Benchmarks deuten darauf hin, dass dieses Modell den heutigen Frontier-Modellen näherkommen könnte, allerdings zu deutlich höheren Kosten als andere Open-Weight-Modelle.

Bibliographie

- The Decoder: "Open-weight models now match frontier cyber performance from just four months ago at a fraction of the cost" - Tech Times: "Open-Weight AI Models Now Match Frontier Cyber Skill From Four Months Prior, AISI Finds" - TechSphere News: "Open-Weight Models Narrow Cyber Capability Gap to Four Months Behind Frontier Systems" - Digg: "Open Weight Models Lag Frontier Cyber Capabilities by 4-7 Months" - WPS: "How Far Behind the Frontier are Leading Open Weight Models on Cyber?" - LavX News: "Open-weight AI models trail the cyber frontier by four to seven months" - Shipfeed: "Open-weight models match four-month-old frontier cyber performance" - The New Stack: "Open-source AI is just "4 months behind" closed frontier models — and 10x cheaper" - Crypto Briefing: "Chinese AI models narrow cyber capability gap with US rivals" - Singularity Moments: "Open models are closing the frontier gap at an alarming rate"