GPT-5.6-Sol übertrifft Mythos in den Fähigkeiten zur Cyber-Verteidigung und Cyber-Angriff, und die Open-Source-Modelle sind ebenfalls in der Rangfolge sortiert.

Die Angriffs- und Verteidigungsfähigkeit von GPT-5.6-Sol übertrifft die von Claude Mythos 5!

Das britische Institut für KI-Sicherheit (AISI) veröffentlichte am 17. Juli einen Bewertungsbericht, der erstmals die Lücke zwischen Open-Source-KI-Modellen und geschlossenen Spitzenmodellen bei Cyberangriffen quantifiziert: 4 bis 7 Monate.

https://www.aisi.gov.uk/blog/how-far-behind-the-frontier-are-leading-open-weight-models-on-cyber

Bei ähnlichen internen Tests im vergangenen Jahr betrug diese Lücke noch 6 bis 10 Monate.

Das Verteidigungsfenster schrumpft, während die Spitze der Angriffsfähigkeiten sich beschleunigt.

Im April dieses Jahres erzielten Mythos Preview und GPT-5.5 in der AISI-Bewertung den größten Sprung in der Cyberangriffsleistung seit Beginn der Tests im Jahr 2023, woraufhin mehrere Regierungen unverzüglich Warnungen ausgaben.

Open-Source-Modelle haben diesen Sprung noch nicht nachvollzogen, aber sie holen schneller auf als im Vorjahr.

4 bis 7 Monate: Wie wurde getestet, wo liegen die Unterschiede?

AISI bewertete die Cyberangriffsfähigkeiten der Modelle mit zwei Systemen.

Das erste System umfasst 70 eng begrenzte Aufgaben, die vier Bereiche abdecken: Schwachstellenforschung, Reverse Engineering, Web-Penetration und Kryptographie. Die Aufgaben sind in vier Schwierigkeitsstufen unterteilt, von „Nicht-Fachleute mit technischem Hintergrund“ bis „Experten mit über zehn Jahren Erfahrung“.

Das zweite System ist das Cyber Range, das die Fähigkeit von Modellen testet, mehrstufige Angriffsketten in einem simulierten Unternehmensnetzwerk selbstständig auszuführen. Ein Testszenario namens „The Last Ones“ umfasst 32 Angriffsschritte, 4 Subnetze und etwa 20 Hosts. Nach Schätzungen von AISI benötigen menschliche Experten etwa 20 Stunden, um alle Schritte abzuschließen.

Beide Systeme kommen zu dem gleichen Schluss:

GLM-5.2 (veröffentlicht im Juni 2026) zeigt bei eng begrenzten Aufgaben eine Leistung, die mit Opus 4.6 (veröffentlicht im Februar) vergleichbar ist, mit einer Lücke von 4 Monaten;

In der Cyber Range erreicht es das Niveau von Opus 4.5 (veröffentlicht im vergangenen November), mit einer Lücke von 7 Monaten.

DeepSeek V4-Pro erreicht bei eng begrenzten Aufgaben das Niveau von Opus 4.5, mit einer Lücke von 5 Monaten.

Beide Lücken sind kleiner als die 6 bis 10 Monate, die in der internen Bewertung von 2025 gemessen wurden.

Die Kostenlücke ist größer als die Fähigkeitslücke.

Bei demselben Cyber-Range-Test (mit einem Kontingent von 100 Millionen Tokens) kostet ein Durchlauf mit Opus 4.5 oder 4.6 etwa 85 US-Dollar, mit GLM-5.2 etwa 46 US-Dollar, und mit DeepSeek V4-Pro nur 1,19 US-Dollar.

Bei eng begrenzten Aufgaben, die beide Modelle zu 100 % abschließen können, kostet jede Aufgabe bei Opus 4.6 15,17 US-Dollar und bei GLM-5.2 6,12 US-Dollar;

Opus 4.5 kostet 12,50 US-Dollar und DeepSeek V4-Pro 0,28 US-Dollar.

Bei gleicher Angriffsfähigkeit sind Open-Source-Modelle um ein bis zwei Größenordnungen günstiger.

Auch die Sicherheitsvorkehrungen geschlossener Modelle konnten keine größere Lücke aufrechterhalten.

In den AISI-Tests weigerte sich DeepSeek V4-Pro gelegentlich, Aufgaben im Bereich des Reverse Engineerings auszuführen, konnte dies aber durch wenige Wiederholungen umgehen.

Anthropics Fable 5 ist ein extremeres Beispiel: Es wurde am 9. Juni veröffentlicht, und drei Tage später umging der Sicherheitsforscher Pliny the Liberator den Sicherheitsklassifikator mit einer mehrstufigen Jailbreak-Strategie. Die zugehörigen Screenshots zeigten, dass das Modell Exploit-Code für Schwachstellen erzeugt hatte, der eigentlich blockiert werden sollte.

Anschließend meldeten Amazon-Forscher unabhängig voneinander eine weitere Umgehungsmethode.

Dies führte direkt zur ersten Exportkontrollverfügung des US-Handelsministeriums, die sich speziell an KI-Modelle richtete. Fable 5 wurde weltweit 19 Tage lang außer Betrieb gesetzt, bis Anthropic einen neuen Klassifikator bereitstellte und das Modell wieder online nahm.

Geschlossener Quellcode bedeutet nicht automatisch Sicherheit.

Das Verteidigungsfenster schrumpft, und Verteidigungsinstrumente beschleunigen sich ebenfalls

AISI verdeutlicht in dem Bericht ein politisches Signal: Die Vorbereitungszeit für die Verteidigerseite ist kürzer als im Vorjahr.

Das britische National Cyber Security Centre hat bereits alle Einrichtungen aufgerufen, ihre Cybersicherheitsbaseline zu stärken und KI zur Verbesserung der Verteidigungsfähigkeiten zu nutzen.

KI-Tools derselben Generation beschleunigen tatsächlich auch die Arbeit auf der Verteidigungsseite.

Glenn Fiedler, ein erfahrener Entwickler im Bereich der Spielnetzwerkprogrammierung, der seit zwanzig Jahren lehrbuchartige Artikel zu diesem Thema verfasst, hat kürzlich mit Claude Code eine systematische Sicherheitsüberprüfung an vier von ihm gewarteten Open-Source-Netzwerkbibliotheken (yojimbo, netcode, reliable, serialize, mit insgesamt etwa 6000 GitHub-Stars – in der Spielbranche sind dies einflussreiche etablierte Open-Source-Großbibliotheken) durchgeführt: Er richtete Ziele für libFuzzer ein, aktivierte die CI mit AddressSanitizer und MemorySanitizer, führte Stress Tests mit Millionen von Iterationen durch und prüfte den Code Zeile für Zeile.

Glenn Fiedler

Innerhalb von zwei Wochen wurden 43 Sicherheitslücken behoben, von denen 27 aus dem Netzwerk remote ausgenutzt werden konnten.

Die schwerwiegendste Lücke war ein remotebasierter Heap-Überlauf in yojimbo, der seit 2019 existierte – ein bösartiger Client konnte ihn durch das Erstellen spezieller Pakete auslösen.

Die gesamten Token-Kosten für die Überprüfung betrugen etwa 2500 US-Dollar.

Sowohl Angriffs- als auch Verteidigungsseite werden durch KI beschleunigt, aber auf asymmetrische Weise.

Die Verbreitung von Angriffsfähigkeiten ist unumkehrbar: Sobald Open-Source-Modellgewichte veröffentlicht sind, können sie nicht mehr zurückgezogen werden. Sicherheitsvorkehrungen können entfernt werden, und Kopien können auf privaten Servern ohne Überwachung ausgeführt werden.

Die Bereitstellung von Verteidigungsinstrumenten erfordert jedoch, dass jedes Team aktiv Zeit und Kosten investiert.

Ein Satz im AISI-Bericht verdeutlicht diese Struktur: „Sobald sie als Open Source veröffentlicht sind, gehen diese Optionen dauerhaft verloren.“

Die Auswirkungen dieser Daten auf die Landschaft der AGI sind weitreichender als die Zahlen selbst.

Die Fähigkeitslücke zwischen Open Source und Closed Source hat sich auf weniger als ein halbes Jahr verkleinert, und die Standardstrategie, die Exklusivphase geschlossener Modelle als Sicherheitspuffer zu nutzen, läuft dem Ende entgegen.

Die Sicherheitsvorkehrungen geschlossener Modelle haben sich im Fall von Fable 5 als ebenso anfällig erwiesen.

Für globale Entscheidungsträger in der nächsten Phase ist das Kernproblem des politischen Spiels schärfer geworden: Welche Modelle mit einem bestimmten Fähigkeitsniveau sollten keine offenen Gewichte erhalten.

AISI kündigte an, die nächste Gruppe von Open-Source-Modellen wie Kimi K3 weiter zu bewerten – wo diese Grenze gezogen wird, hängt wahrscheinlich von den Testergebnissen der nächsten Monate ab.

Referenzmaterialien:

https://www.aisi.gov.uk/blog/how-far-behind-the-frontier-are-leading-open-weight-models-on-cyber 

https://github.com/mas-bandwidth/patreon/blob/main/BUGS.md 

https://www.patreon.com/MasBandwidth/posts/important-news-164199395 

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „Xinzhi Yuan“, Autor: ASI Offenbarung; Redakteur: Ma Ke. 36Kr veröffentlicht ihn mit Genehmigung.