GLM-5.3 führt Epochs Cyber ECI mit 160 an: Die offene Cyber-Front liegt 6–7 Monate zurück

Epoch AI hat die Frage, um die die Debatte um die Sicherheit offener Gewichte kreist, mit einer Zahl versehen – und es ist eine Rangfolge statt einer Warnung: GLM-5.3 erreicht 160,10 im Cyber ECI des Labors, den höchsten Wert aller Open-Weight-Modelle, die der Index erfasst, höher als OpenAIs GPT-5.4 und niedriger als Anthropics Claude Mythos Preview und OpenAIs GPT-5.5. Als Datum statt als Punktzahl gelesen, besagt diese Platzierung, dass die beste heute offen herunterladbare Cyber-Fähigkeit ungefähr dort liegt, wo die geschlossene Frontier vor sechs bis sieben Monaten lag. Die Messung – ein am 16. Oktober veröffentlichter Data Insight der Epoch-Forscher Jaeho Lee und Alexander Barry, auf Daten mit Stichtag 8. Oktober – ist die erste externe Instanz, die GLM-5.3 überhaupt im Bereich Cyber einordnet, und sie erscheint einen Monat, nachdem NISTs CAISI das Modell als die bislang cyber-fähigste Open-Weight-Veröffentlichung bezeichnet und es etwa vier Monate hinter der US-Frontier eingeordnet hatte. Den beiden Bewertungen liegt dieselbe Quelle zugrunde: Epoch bezieht die Punktzahl von GLM-5.3 aus drei CAISI-Benchmarks, den einzigen Cyber-Ergebnissen für das Modell, sodass der Abstand zwischen ihnen ein Abstand der Methode ist, nicht der Messung. Anthropics Frontier Red Team hatte am 29. September bereits eigene Zahlen zu den veröffentlichten Gewichten vorgelegt und in 50 von 410 ExploitBench-Versuchen End-to-End-Exploits gefunden, gegenüber 56 von 410 bei Claude Mythos Preview. Das Modell selbst ist nicht neu: Z.ai kündigte GLM-5.3 am 14. August an, öffnete die API am 18. August zu 1,40 $ / 4,40 $ pro Million Token und lud die 743B-Gewichte am 28. August unter einer eigenen „glm-5.3“-Lizenz auf Hugging Face hoch. Neu ist, dass die Fähigkeit, um die Z.ai den Launch herum aufgebaut hat, jetzt eine Position auf einem öffentlichen Leaderboard und einen gemessenen Abstand zur Frontier hat – während Artificial Analysis dieselben Gewichte pro Aufgabe mit 0,92 $ bis 8,68 $ bepreist, je nachdem, welcher Endpunkt antwortet, und Amazon Bedrock sie seit dem 5. Oktober für berechtigte Unternehmenskunden führt. Diese Seite verfolgte GLM-5.3 zunächst anhand seiner Leak-Spuren vom 3. August und dann durch seinen Launch; diese Überarbeitung integriert die Cyber-ECI-Platzierung, die Methode dahinter und was ein Sechs-bis-sieben-Monats-Abstand über das Modell, an das man tatsächlich routen würde, aussagt – und was nicht.

Vom Leak zum Launch

Die vier Spuren, die am 3. August auftauchten – eine „ZCode für GLM-5.3“-Harness-Seite, eine offizielle Dokumentationsseite, die etwa eine Stunde lang erreichbar war, ein Bing-Index-Eintrag mit dem Wortlaut „GLM-5.3 Official Harness“ und ein Commit, der einen „glm-5.3“-Eintrag mit JSON-Schema-Unterstützung zum offiziellen Java SDK von Z​hipu hinzufügte – wiesen alle auf ein echtes, benanntes Release hin. Die „sooooooon“-Antwort des Z.ai-Mitgründers Tang Jie und die Einordnung als „epic-level plus“ werden nun durch ein tatsächliches Produkt statt durch ein Gerücht bestätigt. Das von dieser Seite getestete Zeitsignal „etwa eine Woche“ – von @teortaxesTex auf X gepostet, nachdem DeepSeek V4 Pro am 13. August erschienen war – stimmte auf den Tag genau: Z.ai kündigte GLM-5.3 am 14. August offiziell unter dem Slogan „Built to Code. Ready for Cyber Defense.“ an. Der Nachfolger kam in der darauffolgenden Woche: Das Modell ging am 18. August auf dem breiteren Markt live – ein Veröffentlichungsdatum, das inzwischen auf Modell-Listings Dritter steht –, und am 19. August kündigte Z.ai an, dass die API für Aufrufe geöffnet sei, zum gleichen Preis wie GLM-5.2, wobei das Modell bereits in ZCode, AutoClaw und den G​LM Coding Plan integriert sei.

Das nächste Leak-Signal: ein multimodaler Prozessor für GLM-5.3.

Die Nur-Text-Ausrichtung des Flaggschiffs wird möglicherweise nicht lange Bestand haben. Am 28. August schlägt ein offener Pull Request in der Serving-Engine von sglang Unterstützung für multimodale Prozessor-Eingaben bei GLM-5.3 vor — den Prozessor-Glue, der Bild-Payloads in dasselbe Dynamic-Resize-, Pixel-, Grid- und Token-Expansion-Schema umwandelt, das das Miles-RL-Framework verwendet, sodass Training und Serving identische Bildeingaben sehen. Der PR ist die Rollout-seitige Hälfte des bildkonditionierten Reinforcement Learnings mit GLM-5.3 in radixark/miles, und sein zweiter Commit registriert GLM-5.3-Prozessortests in der CPU-CI von sglang. Nichts davon ist eine Z.ai-Ankündigung, und kein multimodales GLM-5.3 wurde ausgeliefert oder einem Benchmark unterzogen — es sind Hinweise auf Codeebene, dieselbe Kategorie früher Signale, die diese Seite erstmals am 3. August verfolgte. Was das aussagt, ist, dass die Flaggschiff-Linie darauf vorbereitet wird, Bilder zu akzeptieren, im Training und im Serving-Stack, statt das Nur-Text-Coding-and-Cyber-Modell zu bleiben, das Z.ai zum Start beschrieben hat. Perplexitys eigene Formulierung, als es GLM-5.3 Ende August zu Computer hinzufügte — „für Long-Context- und multimodale Agent-Workloads gebaut“ — weist in dieselbe Richtung, obwohl das Produktpositionierung ist, kein ausgeliefertes multimodales Modell.

Was das Post-Training tatsächlich gebracht hat

Die architektonische Behauptung ist der Teil, den es festzunageln lohnt, denn das lautstärkste konkrete Detail des Lecks – Parameter, die über eine Billion steigen – ist falsch. GLM-5.3 ist kein größeres Modell. Z.ai und sein Mitgründer Tang Jie sagen beide, dass es dieselbe 743B-Mixture-of-Experts-Basis wie GLM-5.2 wiederverwendet (etwa 40 Milliarden aktive Parameter pro Token), dasselbe 1M-Token-Kontextfenster und eine maximale Ausgabelänge von etwa 128K beibehält und alle seine Verbesserungen aus dem Post-Training bezieht. Tang Jie hat den Start als bewusstes Kontrollvariablen-Experiment beschrieben – gleiche Basis, gleiche Architektur, gleiche Parameteranzahl, mit einem Monat Long-Horizon-Reinforcement-Learning an Programmieraufgaben als einziger Variable – und genau diesem Monat schreibt er die etwa 50%ige Verbesserung beim Programmieren zu. Die Release-Notes von Z.ai ergänzen die darunterliegende Mechanik: mehr Long-Horizon-Task-Umgebungen, mehr Umgebungstypen und längere Trainingsläufe, aufbauend auf dem IndexShare-Long-Context-, SAO-Asynchron-RL- und Open-Source-Slime-Framework, das bereits GLM-5.2 hervorgebracht hat. Der technische Deep-Dive, den Z.ai aus der Open-Weight-Ankündigung verlinkt – der Forschungsbeitrag unter z.ai/blog/glm-5.3 –, geht beim Rezept noch weiter: dutzendfach mehr Long-Horizon-Task-Umgebungen, mehr Umgebungstypen und Trainingsläufe, die weit über die erste Veröffentlichung hinaus verlängert wurden, wobei die Aufgaben auf mehrtägige Experten-Workloads auf echten Compute-Clustern skaliert wurden. Seine Darstellung der Cyber-Fähigkeit – „strikt eingeschränkte Programmierfähigkeit“, die entstand, als die Task-Umgebungen skaliert wurden – ist, wie die Versionshinweise, die eigene Darstellung des Unternehmens, kein unabhängiges Audit. Dieses Framing von „kein Retraining, nur Post-Training“ stammt vom Gründer und vom Unternehmen selbst und wurde nicht unabhängig geprüft. Die Größe ist die andere Schlagzeile: Bei insgesamt 743B Parametern und nur etwa 40B aktiven Parametern pro Token ist GLM-5.3 leicht genug, um auf einem bescheidenen Cluster selbst gehostet zu werden, und günstig genug, um in großem Umfang bereitgestellt zu werden – die Positionierung „kleiner, günstiger, offen“, die die Kommentare am Starttag damit verbanden, und ein scharfer Kontrast zu den geschlossenen Frontier-Flaggschiffen, an denen es gemessen wird.

Coding und Agenten: die Zahlen, die Z.ai angibt

Beim Coding meldet Z.ai – alle vom Anbieter gemeldet und nicht reproduziert –, dass Terminal-Bench 3.0 von 4,6 auf 28,3 steigt, was Z.ai den besten Open-Weights-Wert auf diesem Harness nennt; DeepSWE v1.1 steigt von 46,2 auf 66,9; SWE-Marathon verdoppelt sich ungefähr von 19,4 auf 42,5; und Agents' Last Exam (CLI) steigt von 23,8 auf 28,5. Tang Jies eigene Kurzformel für das Ergebnis, in einem von @dotey weitergeleiteten X-Post, lautete „reines Post-Training, Coding um rund 50 % gesteigert“ – dieselbe Schlagzeilenzahl, die Z.ai in seiner Ankündigung veröffentlichte. Auf dem internen Code-Bench von Z.ai erzielte GLM-5.3 31,4 % mit ungefähr 50K Ausgabe-Tokens pro Aufgabe bei hohem Aufwand, gegenüber Claude Opus 4.8 mit 29,5 % bei etwa 120K Tokens – worauf Z.ai hinauswill, ist, dass GLM-5.3 ein vergleichbares Ergebnis erreicht und dabei deutlich weniger Ausgabe-Tokens verbraucht. Claude Fable 5 führt diese interne Evaluierung mit 39,5 % bei maximalem Aufwand weiterhin an, und Z.ai räumt ein, dass GLM-5.3 bei mehreren schwierigeren Coding-Evaluierungen weiterhin hinter GPT-5.6 Sol und Claude Fable 5 liegt. Betrachten Sie all dies als Anbieterzahlen, bis ein unabhängiges Test-Harness sie reproduziert.

Cyberabwehr: die Fähigkeit, die niemand kommen sah

Die Cybersicherheitszahlen waren der auffälligste Teil der Ankündigung von Z.ai, und bis zum 29. September waren sie auch vollständig vom Anbieter gemeldet. Bei CyberGym, einem White-Box-Benchmark zur Entdeckung und Validierung von Schwachstellen, meldet Z.ai für GLM-5.3 84,5 %, ein Anstieg von 77,2 % bei GLM-5.2 und vor dem Mythos 5 (83,8 %) und GPT-5.6 Sol (83,6 %) des Labors. Bei ExploitBench, das sowohl Root-Cause-Analyse als auch einen funktionierenden Exploit erfordert, meldet Z.ai für GLM-5.3 mehr als eine Verdopplung von 24,4 % auf 54,4 %, obwohl Mythos 5 (78,0 %) vorne bleibt. Bei ExploitGym meldet Z.ai 105 abgeschlossene Aufgaben in einem 2-Stunden-Budget und 130 in 6 Stunden, gegenüber 29 und 39 bei GLM-5.2 — wieder hinter Mythos 5 (181 und 247). Z.ai beschreibt die Cyber-Fähigkeit als emergente Eigenschaft von skaliertem Post-Training — „die Fähigkeit vervielfachte sich weiter, während das Training skaliert wurde“, so das Unternehmen — und nicht als bewusstes Ziel. Eine Warnung, bevor diese Prozentsätze mit irgendetwas weiter unten verglichen werden: Die ExploitBench-Zahl von Z.ai und das ExploitBench-Ergebnis von Anthropic auf Versuchsebene sind unterschiedliche Durchläufe desselben öffentlichen Benchmarks unter verschiedenen Harnessen und Regimen, sodass die beiden Zahlen nicht dieselbe Messung sind und nicht nebeneinandergestellt werden sollten.

Z.ai fügt den Benchmarks eine Behauptung aus der Praxis hinzu: Bei Tests mit Sicherheitsteams identifizierte GLM-5.3 2.436 Schwachstellen in 269 Open-Source-Projekten, 1.097 davon als kritisch oder hoch eingestuft, wobei der älteste Fund aus dem Jahr 1981 stammt und die durchschnittliche „Lebensdauer“ 26,6 Jahre beträgt. Das ist die auffälligste Zahl in der Ankündigung und zugleich die am wenigsten unabhängig überprüfbare. Das Unternehmen hat die Fähigkeit mit einem Security Disclosure Ledger für koordinierte Offenlegung, einem „Trusted Access“-Programm, das sensible Cyber-Funktionen auf verifizierte Nutzer beschränkt, und einer „Open Source Shield“-Initiative kombiniert, um zentrale Open-Source-Projekte kontinuierlich zu auditieren. Die Bewertung von Anthropic vom 29. September ist eine direkte Herausforderung der Frage, wie viel die Zugangsbeschränkung bei den herunterladbaren Gewichten bringt: Sie stellte fest, dass das veröffentlichte Modell schädliche Anfragen von Haus aus ablehnt, sich aber in 64–100 % der Versuche mit gewöhnlichen Techniken überwinden lässt, und merkt an, dass Entwickler innerhalb weniger Tage nach der Veröffentlichung der Gewichte abliterated GLM-5.3-Varianten veröffentlicht hatten. Ein Programm für verifizierte Nutzer regelt eine API; es regelt keine Datei.

Was Anthropic gemessen hat und was sich dadurch ändert

Anthropics Frontier Red Team veröffentlichte seine Einschätzung am 29. September unter dem Titel „GLM-5.3 und die Verbreitung fortgeschrittener Cyberfähigkeiten“, und es ist das erste Mal, dass ein konkurrierendes Labor eigene Zahlen zur Ausnutzungsfähigkeit von GLM-5.3 vorlegt. Die Darstellung ist unverblümt: Wie Claude Mythos Preview verfügt GLM-5.3 über starke Fähigkeiten, autonom End-to-End-Cyber-Exploits zu erstellen, doch anders als andere Frontier-Modelle wurde es ohne wirksame Schutzmaßnahmen zur Begrenzung von Missbrauch veröffentlicht. In isolierten Sandboxes gegen Offline-Ziele ausgeführt, entwickelte GLM-5.3 auf ExploitBench in 50 von 410 Versuchen End-to-End-Exploits. Claude Mythos Preview — etwa fünf Monate zuvor von Anthropic angekündigt und über sein Programm Project Glasswing für vertrauenswürdige Verteidiger nur in eingeschränktem Umfang veröffentlicht — schaffte dies in 56 von 410. In Anthropics internem Binary-Exploitation-Benchmark, der 100 Aufgaben nach dem Zufallsprinzip aus Projekten zieht, die an Googles OSS-Fuzz teilnehmen, und für einen Control-Flow-Hijack die volle Punktzahl vergibt, erreichte GLM-5.3 4 % gegenüber 6 % von Claude Mythos Preview. Anthropics Punkt ist nicht, dass GLM-5.3 führt, sondern dass sich eine Schwelle verschoben hat: Frühere Modelle, darunter Claude Opus 4.6 und GLM-5.2, waren bei keiner dieser Aufgaben erfolgreich.

In von Forschenden geleiteten Sitzungen wird der Befund konkret. Mit einer Sandbox-Maschine, auf der ein lokaler Linux-Build eines populären Webbrowsers läuft, und weniger als einer Stunde menschlicher Aufmerksamkeit über einen Tag hinweg fand GLM-5.3 mehrere bisher unbekannte Schwachstellen in der JavaScript-Engine des Browsers und verkettete sie zu einem funktionierenden Exploit – einer Seite, die beim Besuch beliebige Dateien vom Computer des Besuchers ausliest, einschließlich eines privaten SSH-Schlüssels. Anthropic sagt, es habe diese Schwachstellen dem Maintainer gemeldet, und dieselbe Sitzung habe auch ausnutzbare Schwachstellen in Funk- und Grafiktreibern sowie in netzwerkexponierter Gerätesoftware zutage gefördert. In einer zweiten Sitzung erhielt GLM-5.3-Flash – das kleinere, weniger leistungsfähige Geschwistermodell – öffentliche Details zu einer gepatchten Chrome-Schwachstelle (CVE-2026-11645) plus einer weiteren und baute ohne nennenswerte Anleitung eine zuverlässige ARM64-Exploit-Kette, die die Pointer-Authentifizierungs-Härtung umging. Das erforderte 20 Minuten menschlicher Aufmerksamkeit und acht Stunden Modellarbeit, was Anthropic zu Zhipus API-Tarifen mit 20,40 US-Dollar veranschlagt.

Die Sicherheitshälfte des Beitrags ist der Teil, der eine Bereitstellungsentscheidung verändert. Ab Werk verweigerte GLM-5.3 jede offen bösartige Anfrage in A​nthropics simulierter Welt, ebenso wie jedes andere getestete Modell. A​nthropic fand dann einfache Wege um diese Verweigerung herum und berichtet die Rate, mit der das Modell auf die schädliche Anfrage einging:

• Ein irreführender Prompt – der dem Modell sagt, es sei ein autonomer Red-Team-Agent, der an einer Übung arbeitet: 64 % der Versuche.

• Vorabfüllen der Thinking-Tokens des Modells, sodass es so aussieht, als hätte es die Anfrage bereits erwogen und entschieden, fortzufahren: 92 %.

• Ausführen einer abliterierten Kopie der Gewichte mit herausgelöschten Verweigerungen: 100 %

Keine der drei brachte abgesicherte Claude-Modelle dazu, dieselben Aufgaben auszuführen, sagt Anthropic — seine Schutzmechanismen blockierten die Deckgeschichte, seine API bietet keine Möglichkeit, den Denkprozess vorab zu befüllen, und seine Gewichte werden nicht verteilt, sodass die Modelle überhaupt nicht abliteriert werden können. Diese letzte Asymmetrie ist die mit den langfristigen Auswirkungen. Abliteration ist eine Standardtechnik zur Verweigerungsreduktion, und weil GLM-5.3 als herunterladbare Gewichte ausgeliefert wird, kann sie jeder anwenden: Anthropic baute seine eigene abliterierte Kopie in etwa 2.200 GPU-Stunden für rund 4.400 US-Dollar und sagt, ein Team, das die Aufgabe noch nie zuvor versucht hatte, könnte sie bewältigen. Die Bearbeitung senkte die Verweigerungsrate von GLM-5.3 von über 90 % auf etwa 3 % bei JailbreakBench, 2 % bei HarmBench und 12 % bei StrongREJECT, während GPQA-Diamond unverändert blieb und eine getestete Teilmenge von CyberGym nur wenige Prozentpunkte schlechter abschnitt. Anthropic sagt, mehrere Entwickler hätten bereits innerhalb von Tagen nach der Veröffentlichung des Modells abliterierte Versionen von GLM-5.3 öffentlich zugänglich gemacht, und dass die Abliterierung von GLM-5.3-Flash etwa 600 GPU-Stunden dauerte.

Betrachte all das als Messungen eines einzelnen Labors statt als gesicherte Tatsache. Anthropic betrieb eigene Testumgebungen und eigene Sandboxes, zählte seine eigenen Versuche und veröffentlichte keine Reproduktion durch Dritte, also ist hier nichts unabhängig auditiert, genauso wenig wie die eigenen Zahlen von Z.ai. Was dem mehr Gewicht verleiht als einer Herstellerbehauptung, ist die Richtung des Anreizes: Anthropic misst das Modell eines Wettbewerbers, gibt die Nenner an, und seine Ergebnisse decken sich mit denen des Center for AI Standards and Innovation des NIST, das GLM-5.3 am 17. September bewertete, es als „das cyberfähigste Open-Weight-Modell, das bisher veröffentlicht wurde“ bezeichnete und es auf einem Aggregat der Cyber-Benchmarks von CAISI etwa vier Monate hinter der US-Frontier einordnete – mit dem Vorbehalt, dass die US-Modelle in diesem Vergleich mit deaktivierten Cybersicherheitsvorkehrungen getestet wurden und Modelle umfassen, die nur für geprüfte Nutzer freigegeben wurden. Anthropics eigene Schlussfolgerung ist ebenso sehr ein politisches wie ein technisches Argument: Sie besagt, dass eine kritische Schwelle bei frei zugänglicher Leistungsfähigkeit überschritten wurde, dass jeder GLM-5.3 herunterladen kann und dass Verteidiger Zugang zu Modellen haben sollten, die mindestens so gut sind wie die, die ihre Gegner nutzen. Zwei Wochen nach der Bewertung durch CAISI maß Epoch AI dieselbe Distanz auf eine andere Weise und kam auf einen größeren Abstand – sechs bis sieben Monate – auf Grundlage eines Teils derselben Daten.

Nichts des oben Gesagten ändert die Mechanik einer Routing-Entscheidung, also den Teil, den Sie kontrollieren. Ein Teil des Traffics zu GLM-5.3 bei OrcaRouter kostet den First-Party-Tarif — 1,40 $ / 4,40 $ pro Million Tokens, ohne Aufschlag durchgereicht — und automatisches Failover verschiebt eine Workload zu GLM-5.2 oder einem anderen bewährten Modell, wenn eines degradiert, sodass eine Überraschung bei den Fähigkeiten in beide Richtungen eine Konfigurationsänderung statt eines Rewrites ist. Was der A​nthropic-Beitrag hinzufügt, ist eine Frage, die man sich stellen sollte, bevor man sicherheitsnahe oder regulierte Arbeit daran sendet: Das Modell, das Sie aufrufen, ist das Modell, dessen Gewichte öffentlich sind, und ein gehosteter Endpunkt ist keine Absicherung. Die Enterprise-Route ändert diese Rechnung nicht. Bedrocks eigener Eintrag für GLM-5.3 liegt bei 1,68 $ / 5,28 $ pro Million Tokens im globalen Inferenzprofil und bei 1,848 $ / 5,808 $ im US-Inferenzprofil, 20 % bzw. 32 % über dem First-Party-Tarif von Z.ai, sodass der Aufruf desselben Modells zum Listenpreis von Z.ai über einen einzigen Schlüssel der günstigere Weg bleibt, während ein Cloud-Vertrag stattdessen Beschaffung und Compliance-Position erkauft.

Wo die offene Cyber-Frontier tatsächlich liegt

Der Cyber ECI von Epoch AI ist eine auf Cybersicherheit ausgerichtete Variante des Epoch Capabilities Index des Labors, erstellt aus Benchmark-Ergebnissen aus 35 Cyber-Evaluierungen und, nach dem Update vom 16. Oktober, 76 Modellen. Darin steht der GLM-5.3 von Z.ai bei 160,10 — der höchste Open-Weight-Wert, den das Labor verzeichnet, über O​penAIs G​PT-5.4 (157,04, veröffentlicht am 5. März 2026) und unter A​nthropics C​laude M​ythos Preview (164,82, 7. April) sowie O​penAIs G​PT-5.5 (162,22, 23. April). Die geschlossene Frontier wird angeführt von A​nthropics C​laude O​pus 5.5 (171,14) und O​penAIs G​PT-6 Astra (171,03), dem Paar, das das Labor als Frontier bei 171 nennt. Innerhalb der offenen Gewichte liegt GLM-5.3 über M​oonshots K​imi K3 (157,60) und D​eepSeeks D​eepSeek-V4-Pro (150,35) sowie deutlich vor den eigenen Vorgängern, GLM-5.2 (154,12) und G​LM-5 (147,95). Die Einordnung von GLM-5.3 zwischen den jüngsten geschlossenen Modellen, die es schlägt, und den frühesten, die es nicht schlägt, ergibt die Schlagzeilen-Zahl: Die offene Cyber-Frontier liegt ungefähr dort, wo die geschlossene Frontier sechs bis sieben Monate zuvor stand — eine Lücke, die G​PT-5.4 und der Checkpoint von C​laude M​ythos Preview vom 7. April mit sieben bzw. sechs Monaten beziffern, gemessen an Epochs Datenstichtag vom 8. Oktober.

Die Vorbehalte sind hier wichtiger als sonst, und Epoch nennt mehrere. Nur Modelle mit mindestens zwei Cyber-Benchmark-Ergebnissen stehen überhaupt im Index – 57 von 76 –, und die 160,10 von GLM-5.3 stützen sich auf genau drei, alle aus der CAISI-Bewertung des NIST vom 17. September. Das sind die einzigen Cyber-Ergebnisse, die das Labor für das Modell hat, was bedeutet, dass Epochs Schätzung eine Neuanpassung der von CAISI veröffentlichten Evidenz ist statt eines unabhängigen erneuten Durchlaufs, und die Angabe von sechs bis sieben Monaten und CAISIs ungefähr vier Monate unterscheiden sich, weil die Benchmark-Sets und der Vergleich, den sie anstellen, unterschiedlich sind – nicht, weil die beiden über das Modell uneins wären. Epoch weist außerdem darauf hin, dass CAISI die von ihm bewerteten US-Modelle nicht benannt hat, weshalb das Labor diese Ergebnisse wahrscheinlichen Spitzenreitern wie G​PT-6 Astra und C​laude M​ythos Preview zugeschrieben hat; dass sich die Intervalle um zwei der Frontier-Modelle nahezu vollständig überschneiden, sodass die Reihenfolge an der Spitze des Diagramms weniger gesichert ist, als die Punktschätzungen nahelegen; und dass die Neuanpassung vom Oktober ältere veröffentlichte Werte verschob und C​laude M​ythos 5 um 3,9 Punkte sowie G​PT-5.6 Sol um 4,7 Punkte senkte, sodass die Zahlen dieses Monats nicht ohne Weiteres mit denen des letzten Monats verglichen werden sollten. Eine Konvention sollte man kennen, bevor man das Diagramm liest: Epoch zählt eingeschränkt nutzbare und nichtkommerzielle Lizenzen als Open-Weight, wodurch GLM-5.3 überhaupt qualifiziert ist – seine Gewichte werden unter Z.ais eigenen „glm-5.3“-Bedingungen ausgeliefert, nicht unter der MIT-Lizenz, die GLM-5.2 und GLM-5.3-Flash verwenden.

Die Platzierung ändert weniger das Modell als das Argument darum herum. Vor dem 16. Oktober bedeutete es, GLM-5.3 als das stärkste offene Release im Cyber-Bereich zu bezeichnen, Z.ais eigene CyberGym- und ExploitBench-Prozentsätze plus die Sandbox-Läufe eines Wettbewerbers anzuführen; jetzt gibt es eine Position auf einem öffentlichen Index mit einem angegebenen Abstand zur Frontier, und dieser Abstand ist eine Zahl, deren Bewegung ein Leser verfolgen kann. Daraus folgen zwei Dinge für jeden, der ein Open-Weight-Modell für sicherheitsnahe Arbeit abwägt. Sechs Monate hinter der Frontier zu liegen ist nicht dasselbe wie sicher zu sein: Ein Exploit, den ein Frontier-Modell heute bauen kann, ist einer, den eine sechs Monate alte Fähigkeit bauen kann, sobald die Methode öffentlich ist, und die oben genannten Ergebnisse von Anthropic verorten diese speziellen Gewichte in diesem Fenster. Und ein Ranking ist eine Aussage über die besten verfügbaren Gewichte, nicht über den Endpunkt, der Ihre Anfrage beantwortet – dieselben Gewichte, die von verschiedenen Anbietern bereitgestellt werden, unterscheiden sich bereits um das Neunfache bei den Kosten pro Aufgabe, was eher eine Frage des Routings als der Fähigkeit ist.

Die Baseline GLM-5.3, die es zu schlagen galt.

GLM-5.2 ist der Referenzpunkt, an dem die ganze Geschichte hängt. Es erschien im Juni 2026 als Mixture-of-Experts-Modell mit 743B Parametern und rund 40B aktiven Parametern pro Token, einem Kontextfenster von 1M Token, einer maximalen Ausgabe von 128K, einer MIT-Lizenz und offenen Gewichten auf Hugging Face. Der Intelligence Index von Artificial Analysis — gemessen vom Labor, nicht von Z.ai — läuft inzwischen auf der neu berechneten v4.3.2-Ausgabe, und darin erreicht GLM-5.2 (Max) 34 Punkte, während GLM-5.3 (Max) 45 Punkte erzielt. Der Abstand von elf Punkten entspricht genau dem, den diese Seite zum Launch berichtete, als die frühere Index-Ausgabe desselben Labors GLM-5.2 bei 53 und GLM-5.3 bei 60 sah; geändert hat sich der Maßstab, nicht das Ergebnis, und das Labor markiert GLM-5.2 nun zugunsten seines Nachfolgers als veraltet. Die 45 von GLM-5.3 setzen es auf Platz zwei unter den Modellen mit offenen Gewichten, hinter MiMo-V2.6-Pro mit 46 und einen Punkt vor K​imi K3 (Max) mit 44. Das war die erste unabhängige Zahl zu GLM-5.3, und sie deckt sich mit der Richtung — wenn auch nicht jedem Detail — der eigenen Angaben von Z.ai. Seitdem sind zwei weitere Drittanbieter-Datenpunkte hinzugekommen: Ende August berichtete Perplexity, dass GLM-5.3 GLM-5.2 auf WANDR schlägt, seinem offenen Benchmark für groß angelegte, evidenzbasierte Recherche — der „breit und tief“-Test, bei dem ein Agent eine große Menge quellenbelegter Datensätze zusammentragen muss, statt eine einzelne Frage zu beantworten. Dieser stammt aus Perplexitys eigenem Benchmark und eigener Aussage, und es wurden keine Punktzahlen veröffentlicht, also ist er bis zum Erscheinen von Zahlen als Richtungsindikator zu behandeln. Der zweite ist die Cyber-Bewertung von A​nthropic vom 29. September — die erste externe Messung genau der Fähigkeit, um die Z.ai den Launch herum aufgebaut hat. Beim Coding mit langem Horizont misst der OrcaRouter-Harness 77,9 auf Terminal-Bench 2.1, während der beste von Z.ai gemeldete GLM-5.2-Wert 82,7 beträgt, was der erste Wert über 80 für offene Gewichte wäre, aber vom Anbieter gemeldet und nicht reproduziert ist. Der Listenpreis beträgt 1,40 US-Dollar pro Million Eingabe- und 4,40 US-Dollar pro Million Ausgabe-Token.

Die oben stehende Ergebnistafel ist die Projektion aus der Leak-Ära, die diese Seite vor dem Launch veröffentlichte – die Zeile „>1T Parameter (laut Gerüchten)“, der unbestätigte Kontext und die unbestätigte Lizenz, der prognostizierte AA-Index. Der Launch korrigierte die größte Zelle: GLM-5.3 verwendet dieselbe 743B-Basis wie GLM-5.2, es gibt also keinen Parametersprung. Das Kontextfenster ist bei 1M bestätigt, und die Lizenz ist nicht mehr die offene Frage, die sie einmal war – Z.ai hat eine eigene „glm-5.3“-Lizenz veröffentlicht, nicht die MIT-Bedingungen, die GLM-5.2 und GLM-5.3-Flash verwenden. Die prognostizierte Indexzelle – die eigene Schätzung dieser Seite von ~57–60 – war die seltene Projektion, die punktgenau bei 60 im Index landete, wie er zum Launch stand; das Labor hat den Index seitdem neu ausgewiesen, und in der aktuellen v4.3.2-Ausgabe kommt dasselbe Modell auf 45. Was sich nicht verändert hat, ist die offene Frage: wie dieser Score ausfällt, wenn er mit den selbst gehosteten Gewichten reproduziert wird.

Der obige Screenshot ist die unabhängige Vergleichsbasis, an der die Behauptungen von GLM-5.3 gemessen werden. GLM-5.2 führte die Open-Weights-Bestenliste mit einem Artificial-Analysis-Intelligence-Index von 53 in der Index-Version an, die diese Seite im August verwendete. Diese Vergleichsbasis wurde seither ebenso wie die aller anderen Modelle neu ausgewiesen: Im aktuellen v4.3.2-Index des Labors steht GLM-5.2 (Max) bei 34 und GLM-5.3 (Max) bei 45 – ein Abstand in derselben Richtung und ungefähr derselben Größe, wobei Kimi K3 (Max) mit 44 einen Punkt dahinter und MiMo-V2.6-Pro mit 46 davor liegt. Beide Werte sind Messungen des Labors mit seinem eigenen Harness, und keiner davon ist eine Herstellerangabe.

Preise und Verfügbarkeit

GLM-5.3 ist preislich identisch mit GLM-5.2: 1,40 $ pro Million Input- und 4,40 $ pro Million Output-Tokens (¥8 / ¥28 im Inlandslisting), wobei Lesevorgänge für zwischengespeicherte Eingaben 0,26 $ / ¥2 pro Million kosten. Das Release wird in Modelllistings von Drittanbietern auf den 18. August datiert, Z.ai hat die API am 19. August öffentlich geöffnet, und das Modell ist nachweislich über Z.ais eigene API, ZCode, AutoClaw, den G​LM Coding Plan und eine wachsende Liste von Drittanbieterplattformen sowie – seit Ende August – die Ollama-Bibliothek erreichbar, wo GLM-5.3 als cloudgehostetes Modell (glm-5.3:cloud) gelistet ist, das aus den Vereinigten Staaten und Europa ohne Datenaufbewahrung bereitgestellt wird. Perplexity Computer, Perplexitys Agentenplattform für lang laufende, mehrstufige Arbeit, hat GLM-5.3 im selben Zeitfenster hinzugefügt und bietet das Modell nun für Agent-Workloads an. Das Ollama-Tag ist nur für die Cloud gedacht, kein lokales GGUF, daher läuft der Self-Host-Pfad weiterhin über die Hugging-Face-Gewichte; das kleinere GLM-5.3-Flash hat jetzt ein eigenes passendes Cloud-Listing auf Ollama. Die Leak-Phase ist vorbei: Die Verfügbarkeit ist jetzt eine bestätigte Tatsache, kein Gerücht, dem man nachgehen muss. Eine Verhaltensänderung ist für API-Aufrufer wichtig: Anfragen erfordern jetzt aktiviertes „Thinking“ über drei Aufwandsstufen – niedrig, hoch und max – ohne Ausschaltmöglichkeit, ein Breaking Change für bestehende Integrationen.

Amazon Bedrock bietet jetzt ebenfalls GLM-5.3 an. AWS hat das Modell am 5. Oktober 2026 veröffentlicht – das Startdatum auf seiner eigenen Modellkarte – und beschreibt es dort als dasselbe Mixture-of-Experts-Design mit rund 40 Mrd. Parametern, die pro Token aktiv sind, demselben Kontextfenster von 1 Mio. Token und derselben Ausgabegrenze von 128K wie die First-Party-API, und dauerhaft aktiviertem Reasoning mit auswählbaren Aufwandsstufen. Die Route ist keine Kopie des Endpunkts von Z.ai. Bedrock stellt GLM-5.3 ausschließlich über Cross-Region-Inferenz bereit: Die Basis-Modell-ID (zai.glm-5.3) akzeptiert keine On-Demand-Aufrufe innerhalb der Region, sodass Anfragen entweder über das US-Geo-Profil (us.zai.glm-5.3) oder das globale Profil (global.zai.glm-5.3) laufen, und AWS kennzeichnet In-Region-Inferenz in jeder Region, die es auflistet, als nicht unterstützt, einschließlich der vier US-Regionen. Was es hinzufügt, ist die AWS-Oberfläche rund um das Modell – Invoke, Converse, die OpenAI-kompatiblen Responses- und Chat-Completions-APIs, Guardrails, Agents, Flows, strukturierte Ausgaben, Modellbewertung und Prompt-Caching, das standardmäßig implizit oder explizit in Cache-Punkten von mindestens 1.024 Token mit einer Aufbewahrungsdauer von mindestens 30 Minuten erfolgt – plus die Standard-Service-Tiers, wobei Priority einen Aufschlag von 75 % gegenüber Standard hat und Flex und Batch einen Rabatt von 50 %. Der Zugang ist der Haken: Die Ankündigung von AWS bezeichnet GLM-5.3 auf Bedrock als allgemein verfügbar, während sowohl diese Ankündigung als auch die Modellkarte es auf berechtigte Kunden beschränken, die ihr AWS-Account-Team kontaktieren. Der Enterprise-Weg existiert; er ist heute nicht als Self-Service verfügbar. Eine Zahl, die man beim Lesen der eigenen Seiten von AWS sorgfältig behandeln sollte: Die Modellkarte gibt GLM-5.3 mit insgesamt 744 Mrd. Parametern an und die begleitende Ankündigung mit 753 Mrd., während Z.ai und das Hugging-Face-Repository 743 Mrd. sagen – dasselbe Modell, drei Gesamtsummen, und keine davon unabhängig gemessen.

Kosten pro Aufgabe und die dahinterstehende Cache-Trefferrate

Gleicher Preis bedeutet nicht gleiche Rechnung, und der Unterschied wird jetzt gemessen statt abgeleitet. Artificial Analysis setzt GLM-5.3 (Max) mit 2,01 $ pro Intelligence-Index-Aufgabe zum First-Party-Tarif an, gegenüber 1,47 $ bei GLM-5.2 (Max) — dieselbe Preisliste von 1,40 $ / 4,40 $, eine um 37 % höhere Rechnung für einen Durchlauf durch denselben festen Aufgabensatz. Zwei Dinge erklären das, und beide stehen in der eigenen Modellzusammenfassung des Labors. Das erste ist das Volumen: GLM-5.3 gibt 210 Mio. Output-Tokens für den Intelligence Index aus, gegenüber einem Median von 140 Mio. bei vergleichbaren Open-Weight-Modellen, was das Labor als sehr wortreich bezeichnet, und Output ist die teure Seite der Preisliste. Das zweite ist das Tempo: 64,2 Output-Tokens pro Sekunde gegenüber einem Median von 66,9, was langsamer als der Durchschnitt ist und bei einem langen Agentenlauf außerdem mehr Wall-Clock-Zeit bedeutet, die mit denselben Tokens erkauft wird. Dies ersetzt die Schätzung, die diese Seite zuvor enthielt, die GLM-5.3 auf etwa 0,68 $ pro Aufgabe und GLM-5.2 auf etwa 0,44 $ auf Basis unserer eigenen beobachteten Token-Nutzung setzte. Die Zahlen des Labors liegen durchweg höher als diese Schätzung und sind diejenigen, die man zitieren sollte: Sie sind ein gewichteter Durchschnitt über zehn Evaluierungen bei fester Aufgabenzahl, nicht ein Wert aus einem einzelnen Workload.

Der Endpunkt richtet mehr Schaden an als das Modell. Dasselbe Labor veröffentlicht jetzt eine Spalte „Kosten pro Aufgabe“ für jeden Anbieter, den es auf GLM-5.3 (Max) verfolgt – 25 an der Zahl – und die Spalte reicht von 0,92 $ am günstigsten Endpunkt bis 8,68 $ am teuersten. Das ist eine 9,4-fache Spanne bei identischen Gewichten, einem identischen Benchmark und einer identischen Reasoning-Einstellung. (Die 9,4-fache Spanne ist unsere Arithmetik über die vom Labor veröffentlichte Spalte; was die Seite selbst in Worten angibt, ist, dass die gemischten Preise pro Million Token „um bis zu 4,4x über Anbieter hinweg“ variieren und dass die Ausgabegeschwindigkeit um 1.152 % variiert.) Nichts an dieser Spanne ist ein Fähigkeitsbefund – der Endpoint Accuracy Index des Labors, der BFCL v4-500, HLE-250 und AA-LCR-25 gegen jeden Endpunkt erneut ausführt, liegt bei 95 % oder darüber an jedem Endpunkt, den es bewertet, was bedeutet, dass ein Anbieter ein wenig Genauigkeit verliert, nicht das Modell. Der Mechanismus, den das Labor nennt, ist Caching. Die Kosten pro Aufgabe werden aus den Preisen für Input-, Cache-Hit-, Cache-Write-, Reasoning- und Antwort-Token berechnet, durch die Aufgabenzahl geteilt und mit dem Anteil jedes Benchmarks am Index gewichtet – daher zahlt eine agentische oder Coding-Schleife, die bei jedem Turn ihre gesamte Konversationshistorie erneut sendet, für diese Historie immer wieder, einmal pro Turn, und der Anteil davon, der aus dem Prompt-Cache des Anbieters bedient wird, ist der größte einzelne Hebel für die Gesamtsumme. Artificial Analysis misst diesen Anteil als Cache-Hit-Rate, definiert sie als „den Anteil der cachefähigen Input-Token, die aus dem Prompt-Cache des Anbieters bedient werden, gemessen während mehrzügiger agentischer Coding-Sitzungen“, gibt sie als Median der letzten vier Wochen an (aktualisiert am 26. September 2026) und stellt sie den Kosten pro Aufgabe gegenüber. Die angegebene Richtung ist die, die hier zählt: Höhere Trefferraten bedeuten, dass mehr des Inputs zum günstigeren Cache-Hit-Preis abgerechnet wird, was die effektiven Kosten agentischer Arbeit senkt. Der eigene Cache-Rabatt von GLM-5.3 beträgt 81 % zum First-Party-Tarif – 0,26 $ pro Million gecachter Input-Token gegenüber 1,40 $ pro Million frischer Input-Token – und Cache-Write und -Speicherung werden separat abgerechnet, zu Tarifen, die je nach Anbieter variieren. Eine Einschränkung bezüglich der Evidenz: Die Trefferraten pro Anbieter werden grafisch dargestellt statt tabellarisch aufgeführt, sodass die Spanne dem Caching als Mechanismus zugeschrieben werden kann, ohne eine Trefferratenzahl für einen einzelnen Endpunkt zu beanspruchen.

Das ist zuerst ein Routing-Argument und erst danach ein Preisargument, denn die Variable, auf die Sie Einfluss nehmen können, ist, welcher Endpunkt antwortet, nicht, was die Gewichte kosten. GLM-5.3 läuft auf OrcaRouter für 1,40 $ / 4,40 $ pro Million Tokens, durchgereicht zum eigenen Listenpreis des Anbieters ohne Aufschlag, sodass sich Preise oder Cache-Konditionen eines Anbieters am Tag ihrer Änderung auf Ihrer Rechnung niederschlagen und nicht erst beim nächsten Vertrag. Automatisches Failover verlagert eine Workload von einem beeinträchtigten Endpunkt auf GLM-5.2 oder ein anderes bewährtes Modell, und die Routing-DSL ist der Ort, an dem eine solche Regel lebt. Bei einem Modell, dessen Kosten pro Aufgabe je nach Endpunkt inzwischen um den Faktor neun variieren, ist der risikoarme Weg, Ihre eigene Zahl zu finden, ein Ausschnitt aus echtem Traffic mit einem Failover dahinter — der Endpunkt, der im Agent-Loop von jemand anderem günstig ist, ist nicht unbedingt der, der in Ihrem günstig ist.

Build Week wird zu einer fortlaufenden Serie – mit 100 Millionen kostenlosen GLM-5.3-Tokens.

Z.ai verwandelte seine ZCode Build Week am 21. August in eine fortlaufende Serie und schrieb den Erfolg der Community zu, die laut Unternehmen eine Welle von Projekten hervorgebracht habe, die auf ZCode mit GLM-5.3 basieren. Anlässlich des Relaunches gab Z.ai 50.000 neuen ZCode-Nutzern jeweils 100 Millionen kostenlose GLM-5.3-Token – nach dem Prinzip „Wer zuerst kommt, mahlt zuerst“, bis zum 23. August um 18:00 Uhr pazifischer Zeit (24. August, 09:00 Uhr Pekinger Zeit) – wobei nicht genutzte Token zum Ende der Veranstaltung verfielen. Das Angebot und seine Bedingungen stammen von Z.ai selbst: vom Anbieter angegeben, obwohl über die Aktion inzwischen von unabhängigen Medien berichtet wurde.

Dies ist die zweite Runde des Wochenend-Builds. Runde 1, vom 16. bis 17. August, wurde etwa eine Stunde nach dem Start ausgesetzt, als die Nachfrage die Kapazität überstieg – bereits beanspruchte Token waren nicht betroffen, und Z.ai hat seitdem seine Serving-Seite skaliert. Bei 50.000 Zuteilungen von jeweils 100 Millionen Token beträgt die maximal beworbene Vergabe fünf Billionen Token: eine Kundengewinnungszahl, die zugleich als Live-Stresstest für dieselbe Serving-Infrastruktur dient, auf der die kostenpflichtige GLM-5.3-API läuft.

Was der Launch für Sie ändert

Für API-Nutzer, die bereits GLM-5.2 einsetzen, ist der praktische Schritt eine Änderung des Modellnamens, kein Projekt: GLM-5.2 ist O​penAI-kompatibel, und die Integration lässt sich übernehmen – mit dem obigen Vorbehalt zum Thinking-Effort. Für Selbst-Hoster ist das Warten vorbei. Das offizielle Repository zai-org/GLM-5.3 auf Hugging Face – angelegt am 25. August und befüllt vom 27. bis 28. August – enthält jetzt das vollständige 743B-Flaggschiff in 141 Safetensors-Shards, wobei SGLang, vLLM, TokenSpeed, Transformers und KTransformers auf der Model Card als unterstützte Deployment-Pfade aufgeführt sind. Die Lizenz ist die eine echte Überraschung: Z.ai hat eine eigene „glm-5.3"-Lizenz erklärt, nicht MIT – sie liest sich wie die MIT-Gewährung plus eine Bedingung, dass jedes Model-as-a-Service-Unternehmen mit mehr als 10 Milliarden US-Dollar Umsatz in den letzten zwölf Monaten vor der kommerziellen Nutzung Z.ais Sicherheitsprüfung bestehen muss. Unterhalb dieser Schwelle gibt es für Selbst-Hosting und gewöhnliche kommerzielle Nutzung keine solche Hürde, wobei sich die genauen Bedingungen durchaus zu lesen lohnen, bevor man sich darauf verlässt. Wenn der Umfang des Flaggschiffs mehr ist, als Ihr Cluster möchte, hat das kleinere GLM-5.3-Flash seine Gewichte am 26. August unter MIT veröffentlicht – ein eigenständiges, nativ multimodales Modell, nicht das Flaggschiff. Für Ollama-Nutzer ist das Flaggschiff jetzt nur einen Befehl vom eigenen Client der Bibliothek entfernt – ollama run glm-5.3:cloud –, doch dieser Aufruf trifft das cloud-gehostete Modell, das aus den USA und Europa bereitgestellt wird, nicht einen lokalen Pull; ein quantisiertes lokales Tag gibt es noch nicht. GLM-5.3 auf eigener Hardware zu betreiben bedeutet weiterhin die Hugging-Face-Gewichte mit einem Stack im vLLM- oder SGLang-Stil. Für alle, die Modelle in der Klasse D​eepSeek V4 Pro, Qwen3.8-Max, K​imi K3, G​PT-5.6 Sol und C​laude Fable 5 vergleichen, ist GLM-5.3 jetzt eine live verfügbare, unabhängig bewertete Variable in diesem Ranking statt eines Gerüchts. Für einen Unternehmenskäufer und nicht einen einzelnen Entwickler ist die neueste Option A​mazon Bedrock, das GLM-5.3 am 5. Oktober für berechtigte Kunden gelistet hat – dieselben Gewichte und dasselbe Kontextfenster von 1 Mio. Token, geliefert im Rahmen eines AWS-Vertrags, zu einem Listenpreis über dem von Z.ai selbst.

Das Launch-Day-Argument rund um GLM-5.3 lautet, dass die Coding-Frontier konvergiert ist: Bei den meisten alltäglichen Aufgaben, so die Erzählung, können nur wenige Nutzer G​PT-5.6 Sol, C​laude Fable 5, K​imi K3, GLM-5.2 und Qwen3.8-Max zuverlässig auseinanderhalten. Wenn diese Konvergenz real ist, sind die entscheidenden Faktoren nicht mehr rohe Leistungsfähigkeit, sondern Preis, Offenheit und Wechselkosten — genau die Nische, die GLM-5.3 mit 1,40 $ / 4,40 $ pro Million auf einer selbst hostbaren 743B-Basis besetzt, deren für den 28. August versprochener Weight-Drop nun erfolgt ist. Ob Coding-Modelle wirklich austauschbar sind, ist eine Meinung, kein Benchmark; die Preise, die Parameteranzahl und das Datum der Gewichte sind es nicht.

Beim Routing ging GLM-5.3 am 18. August auf OrcaRouter live, am selben Tag, an dem das Modell auf dem breiteren Markt live ging – zum First-Party-Listenpreis von 1,40 $ / 4,40 $ pro Million, ohne jeden Aufschlag durchgereicht. Der Screenshot unten zeigt die Seite von GLM-5.2, die genau die Form hat, die GLM-5.3 jetzt hat: gleicher Preis, gleicher 1M-Token-Kontext, gleiche 128K-Maximalausgabe. Einen Teil des echten Datenverkehrs mit automatischem Failover auf GLM-5.2 oder ein anderes bewährtes Modell auf GLM-5.3 zu routen, ist eine Konfigurationsänderung und keine Neuimplementierung – gleicher Schlüssel, kein zweiter Vertrag. Wenn das neue Modell bei Ihrer Workload schlechter wird, fällt der Router zurück, bevor eine Seite geladen wird, und Sie erhalten ein Qualitätssignal aus Ihrem eigenen Datenverkehr statt aus einer Folie des Anbieters. Für ein Modell, dessen Flaggschiff-Versprechen noch größtenteils auf Herstellerangaben beruhen, ist das der risikoarme Weg, es selbst herauszufinden.

Was als Nächstes ansehen

• Die Open-Weight-Veröffentlichung ist jetzt offiziell: Z.ai bestätigte sie am 28. August, erklärte das Flaggschiff für offen und verwies auf die Hugging-Face-Gewichte sowie einen technischen Deep-Dive. Die Überraschung ist die Lizenz – benutzerdefinierte „glm-5.3“-Bedingungen statt der MIT-Bedingungen, die GLM-5.2 und GLM-5.3-Flash verwenden –, also lesen Sie die genauen Bedingungen, bevor Sie selbst hosten. A​nthropics Bewertung vom 29. September ist die erste externe Prüfung dessen, was die Schutzmaßnahmen der Veröffentlichung wert sind: Sie ergab, dass die eingebauten Verweigerungen mit einer Deckgeschichte, einem vorausgefüllten Gedanken oder einer abliterierten Kopie überwindbar sind, und abliterierte Varianten zirkulierten bereits Tage nach dem Erscheinen der Gewichte.

• Ob ein lokaler GGUF-Tag für Ollama folgt. Die Bibliothek listet GLM-5.3 heute als reines Cloud-Modell; ein quantisierter lokaler Tag würde den Selbsthost-Pfad für Ollama-Nutzer auf einen einzigen Befehl reduzieren, während der Cloud-Tag eine zweite bereitgestellte Route bleibt.

• Ob sich die sechs- bis siebenmonatige Cyber-Lücke verringert oder bestehen bleibt. Epoch AI führt GLM-5.3 jetzt mit 160,10 auf seinem Cyber ECI als erstes unter den Open-Weight-Modellen, sechs bis sieben Monate hinter einer geschlossenen Frontier bei 171 — doch diese Zahl stützt sich auf drei CAISI-Benchmarks, die einzigen Cyber-Ergebnisse, die das Labor für das Modell hat, und der Oktober-Refit hat die Punktzahlen älterer Modelle bereits um mehrere Punkte verschoben. Eine zweite Datenquelle oder ein Dritter, der Z.ais eigene Harnesses erneut laufen lässt, wäre die erste Prüfung, die sich nicht auf CAISI zurückführen lässt. Die Einschätzung von Anthropic vom 29. September bleibt die andere unabhängige Lesart, und sie stellte fest, dass die eingebauten Verweigerungen mit einer Deckgeschichte, einem vorausgefüllten Gedanken oder einer abliterierten Kopie überwindbar sind.

• Ob Perplexitys WANDR-Behauptung mit Zahlen untermauert ist. Dass GLM-5.3 GLM-5.2 bei WANDR schlägt, stammt aus Perplexitys eigenem Benchmark und eigenem Test, und es wurden keine Ergebnisse veröffentlicht — ein unabhängiger Lauf wäre die erste Prüfung der agentischen Recherche-Leistung des Modells durch Dritte.

• Wo der Index bei einer selbst gehosteten Kopie landet. Die 45 wird gegen einen bereitgestellten Endpunkt gemessen; die selbst gehostete Version – jetzt herunterladbar, mit beigefügten Lizenzbedingungen – ist die, die Teams tatsächlich erneut deployen und unabhängige Labore erneut benchmarken werden. Das Labor hat diesen Index bereits einmal überarbeitet, also rechnen Sie damit, dass sich die Zahl erneut verschiebt.

• Die angekündigte Preiserhöhung von D​eepSeek V4 Flash, die den Preisrahmen vorgibt, an dem GLM-5.3 gemessen wird, und wie die Kosten pro Aufgabe der geschlossenen Frontier damit Schritt halten: G​PT-5.6 Sol (max) liegt mit 47 im Index gegenüber den 45 von GLM-5.3, wobei das Labor Sol zugunsten von G​PT-6 Sol als veraltet kennzeichnet.

• Ob die derzeit laufende Build-Week-Serie unter der Nachfrage stabil bleibt – Runde 1 brach innerhalb einer Stunde zusammen, und durch den Serienaufbau wird jede künftige Runde zu einem neuen Belastungstest der Kapazität, auf die die kostenpflichtige API angewiesen ist.

• Ob sich der multimodale Leak zu einem ausgelieferten Modell verfestigt. Die Arbeit am sglang-Prozessor ist ein Beweis auf Code-Ebene, dass die Flaggschiff-Linie für Bildeingaben vorbereitet wird, und Perplexitys Pitch „multimodale Agent-Workloads“ für Computer weist in dieselbe Richtung – aber das ist Positionierung, kein ausgeliefertes Modell, und es gibt kein angekündigtes oder benchmarktes multimodales GLM-5.3. Achten Sie auf eine Modellkarte, eine Dokumentationsseite oder Gewichte, bevor Sie es für real behandeln.

• Ob sich das Enterprise-Gate von Bedrock öffnet. Die Ankündigung von AWS bezeichnet GLM-5.3 als allgemein verfügbar auf Bedrock, während die Modellkarte es auf berechtigte Kunden beschränkt, die sich an ihr AWS-Account-Team wenden, und In-Region-Inferenz überhaupt nicht unterstützt wird — jede Anfrage überschreitet Regionsgrenzen, entweder innerhalb des US-Geo-Profils oder über das globale. Das Gate, nicht die Regionsliste, entscheidet darüber, welche Unternehmen es diesen Monat aufrufen können.

FAQ

Ist GLM-5.3 ein größeres Modell als GLM-5.2?

Nein. Z.ai und sein Mitbegründer Tang Jie sagen beide, dass GLM-5.3 dieselbe Mixture-of-Experts-Basis mit 743 Milliarden Parametern verwendet wie GLM-5.2, mit demselben 1M-Token-Kontextfenster und etwa 40 Milliarden aktiven Parametern pro Token. Alle gemeldeten Verbesserungen stammen aus dem Post-Training – Tang Jie beschreibt die Änderung als einen einzigen Monat Reinforcement Learning mit langem Horizont, das auf der unveränderten Basis aufsetzt – und nicht als Parametererhöhung, was direkt das Gerücht aus der Leak-Ära über eine Basis über einer Billion korrigiert. Diese Architekturbehauptung bleibt die des Gründers und des Unternehmens selbst, nicht unabhängig geprüft.

Wann werden die offenen Gewichte von GLM-5.3 verfügbar sein?

Sie sind draußen. Das offizielle zai-org/GLM-5.3-Repository auf Hugging Face – erstellt am 25. August, mit den Gewichtsdateien, die zwischen dem 27. und 28. August hochgeladen wurden – beherbergt nun das vollständige 743B-Flaggschiff und trifft damit auf das Datum des 28. August, das Z.ai seit dem Launch angekündigt hatte – eine Veröffentlichung, die Z.ai selbst am 28. August ankündigte, die Gewichte als offen deklarierte und auf das Hugging-Face-Repository sowie einen technischen Deep-Dive verwies. Die Lizenz ist nun ebenfalls angegeben: eine eigene „glm-5.3“-Lizenz, nicht die MIT-Bedingungen, die GLM-5.2 und GLM-5.3-Flash verwenden – grob eine MIT-Gewährung mit einer Sicherheitsüberprüfungsauflage für große MaaS-Anbieter. Lesen Sie also die genauen Bedingungen, bevor Sie sich darauf verlassen. Z.ai hat separat erklärt, dass sensible Cyber-Funktionen auf ein Programm mit verifizierten Nutzern namens „Trusted Access“ beschränkt werden.

Wie sollte ich die Benchmark-Zahlen behandeln?

Teile die Liste in drei Kategorien auf. Die eigenen Zahlen von Z.ai – die Coding-Sprünge (Terminal-Bench 3.0 bei 28,3, DeepSWE v1.1 bei 66,9, SWE-Marathon bei 42,5) und die Cyber-Ergebnisse (CyberGym 84,5 %, ExploitBench 54,4 %) – stammen aus der Ankündigung des Unternehmens und bleiben Anbieterangaben, bis ein unabhängiges Test-Harness sie reproduziert. Die unabhängige Kategorie ist die, auf der das Gewicht nun liegt: der Intelligence Index von Artificial Analysis – 45 für GLM-5.3 (Max) in der aktuellen v4.3.2-Ausgabe, gegenüber 44 für K​imi K3 (Max) und 34 für GLM-5.2 (Max) –, die Spalte „Cost per Task“ pro Endpoint für dasselbe Modell, die über die 25 von Artificial Analysis erfassten Anbieter hinweg von 0,92 $ bis 8,68 $ reicht, die Messungen des Frontier Red Team von A​nthropic zu ExploitBench (50 von 410 End-to-End-Exploits) und der interne Benchmark von A​nthropic zur Binärausnutzung (4 % vollständige Control-Flow-Hijacks), die CAISI-Bewertung des NIST vom 17. September sowie der Cyber ECI von Epoch AI, veröffentlicht am 16. Oktober, der GLM-5.3 bei 160,10 einordnet – an der Spitze der Open-Weight-Modelle und sechs bis sieben Monate hinter der geschlossenen Frontier bei 171, wobei diese Schätzung auf drei CAISI-Benchmarks sowie Epochs eigenen Vorbehalten zur Modellidentifikation und zu Intervallen beruht. Perplexitys Behauptung, dass GLM-5.3 GLM-5.2 auf WANDR schlägt, bildet eine eigene dritte Kategorie – ein Benchmark von jemand anderem, eine Behauptung von jemand anderem, keine veröffentlichten Ergebnisse. Die unabhängigen Zahlen sind diejenigen, die gegen die von Z.ai abzuwägen sind, und die Kosten- und Cache-Werte sind die eigenen Messungen des Labors an seinem eigenen Harness statt Anbieterangaben.

Warum ist der Betrieb von GLM-5.3 bei manchen Anbietern so viel teurer als bei anderen?

Weil die Kosten pro Aufgabe davon dominiert werden, wie viel der Konversation ein Anbieter aus seinem Prompt-Cache bedienen kann, und Token-Preisunterschiede kommen noch hinzu. Artificial Analysis berechnet die Zahl aus den Preisen für Eingabe-, Cache-Treffer-, Cache-Schreib-, Reasoning- und Antwort-Tokens, geteilt durch die Aufgabenanzahl und gewichtet mit dem Gewicht des jeweiligen Benchmarks im Intelligence Index. Agentische und Coding-Workloads senden bei jedem Turn den gesamten Gesprächsverlauf erneut, sodass der cachefähige Teil des Prompts wiederholt abgerechnet wird, und der Anteil, den ein Anbieter aus dem Cache statt zum vollen Eingabepreis bedient, ist der größte einzelne Hebel für die Gesamtkosten. Cache-Schreibvorgänge und Cache-Speicherung werden separat zu anbieterspezifischen Sätzen abgerechnet. Bei GLM-5.3 (Max) reicht die resultierende Spalte über die 25 Endpunkte, die das Labor verfolgt, von 0,92 $ bis 8,68 $ – etwa 9x bei identischen Gewichtungen und identischem Benchmark –, weshalb der Endpunkt und nicht das Modell die Kostenentscheidung ist.

Kann ich GLM-5.3 lokal über Ollama ausführen?

Noch nicht. GLM-5.3 ist in der Ollama-Bibliothek gelistet, aber nur als cloud-gehostetes Modell — glm-5.3:cloud, das aus den Vereinigten Staaten und Europa ohne jegliche Datenspeicherung bereitgestellt wird. Es gibt kein lokales GGUF-Tag, daher ruft ollama run glm-5.3:cloud heute das gehostete Modell auf, anstatt eine Kopie auf deinen Rechner herunterzuladen. Der Selbsthosting-Pfad führt weiterhin über die Hugging-Face-Gewichte mit einem Stack im Stil von vLLM oder SGLang, und das Cloud-Tag ist eine zweite Zugriffsroute für Leser, die Ollama bereits nutzen.

Das Leck war echt, der Launch bestätigte den Namen, das Framing und den Zeitpunkt – und zwei Monate später wurde die Cyber-Fähigkeit, die Z.ai zum Kernstück seiner Ankündigung machte, von zwei externen Stellen gemessen und von einer dritten eingestuft. Das Frontier Red Team von Anthropic setzt GLM-5.3 bei der End-to-End-Entwicklung von Exploits bis auf wenige Versuche an Claude Mythos Preview heran, nennt das Modell für eine offene Veröffentlichung ungewöhnlich leistungsfähig und ergänzt die Erkenntnis, die für alle, die es einsetzen, wichtiger ist: Die Schutzmechanismen sind real, aber oberflächlich, und die Gewichte sind herunterladbar, sodass Ablehnungen eine Konfiguration und keine Garantie sind. CAISI von NIST kam aus der anderen Richtung zu einem kompatiblen Urteil – bestes Open-Weight-Cyber-Modell bisher, rund vier Monate hinter der US-Frontier. Epoch AI hat dieses Urteil nun in eine Platzierung verwandelt: 160,10 auf seinem Cyber ECI, an erster Stelle unter den Open-Weight-Modellen, über GPT-5.4 von OpenAI und sechs bis sieben Monate hinter Claude Opus 5.5 von Anthropic und GPT-6 Astra von OpenAI bei 171 – eine Zahl, die letztlich auf drei CAISI-Benchmarks aufbaut und das auch offen sagt. Artificial Analysis liefert die vierte externe Messung, und es ist eine Kostenmessung: 2,01 $ pro Intelligence-Index-Aufgabe zum First-Party-Tarif und zwischen 0,92 $ und 8,68 $ für dieselbe Aufgabe, je nachdem, welcher Endpunkt antwortet. Die Anbieterzahlen sind weiterhin Anbieterzahlen, die Lizenz ist weiterhin eine Custom-Lizenz, und die Frage, ob die Flaggschiff-Reihe multimodal wird, ist weiterhin offen. Was sich geändert hat, ist, dass der Abstand zwischen offener und geschlossener Cyber-Fähigkeit nicht länger etwas ist, das ein Leser einfach glauben muss – es ist eine veröffentlichte Zahl mit einer Methode, die man überprüfen kann. Der günstigste Weg herauszufinden, was das Modell bei Ihrer Arbeit leistet, ist weiterhin ein Ausschnitt aus echtem Datenverkehr mit einem Failover auf etwas Bewährtes.

Die dokumentierten KI-Vorfälle und Agentenfehler hinter Open-Weight-Modellen dieser Klasse werden im OrcaRouter AI Incident Archive gesammelt, wobei jeder Eintrag eigene Quellen, Schweregrad, Konfidenzstufe und Disputed-Flag enthält.