Das UK AI Security Institute, kurz AISI, sagt, führende Open-Weight-Modelle hätten die Lücke bei Cyber-Fähigkeiten zu den besten proprietären KI-Systemen auf etwa vier bis sieben Monate verkleinert. Das ist ein kürzerer Rückstand als Anfang 2025 und eine deutliche Warnung für Sicherheitsteams, die darauf setzen, Zeit zur Anpassung zu haben. Nach AISI-Einschätzung können Modelle wie GLM-5.2 und DeepSeek V4-Pro inzwischen Leistungsniveaus erreichen, die einige geschlossene Systeme erst Monate zuvor erzielt haben — und das zu deutlich geringeren Betriebskosten.

Diese Kombination ist über das Benchmarking hinaus wichtig. Laut AISI-Analyse senken günstiger laufende Open-Modelle mit herunterladbaren Gewichten die praktischen Hürden für die Skalierung offensiver Cyber-Workflows und machen zugleich Sicherheitskontrollen auf Anbieter-Ebene schwerer durchsetzbar. Für Entwickler und Unternehmenskunden schärft der Bericht damit einen Grundkonflikt, der die Debatte um offene Modelle prägt: Genau die Eigenschaften, die Open-Weight-Systeme für private Bereitstellung und Anpassung attraktiv machen, können Missbrauch zugleich schwerer eindämmen.

Was AISI gemessen hat

AISI sagte, dies sei seine erste öffentliche Bewertung davon, wie weit führende Open-Weight-Modelle bei cyberbezogenen Aufgaben hinter den besten geschlossenen Modellen zurückliegen. Das Institut nutzte zwei Bewertungsmethoden.

Die erste, genannt Narrow Cyber Tasks, umfasst 70 Aufgaben über vier Schwierigkeitsstufen. Laut dem Bericht von The Decoder zu den Ergebnissen reichen diese Aufgaben von Schwachstellenforschung über Reverse Engineering und Web-Exploitation bis hin zu Kryptografie. In diesem Benchmark stellte AISI fest, dass GLM-5.2, veröffentlicht im Juni 2026, ungefähr auf dem Niveau von Opus 4.6 aus Februar 2026 lag, was auf eine Lücke von etwa vier Monaten hindeutet. DeepSeek V4-Pro wiederum soll ungefähr auf dem Niveau von Opus 4.5 gelegen haben, das AISI auf November 2025 datiert.

Die zweite Methode, Cyber Ranges, testet stärker autonomes Verhalten in simulierten Netzwerken statt isolierter Aufgaben. Ein Szenario, „The Last Ones“, modelliert einen mehrstufigen Angriff auf ein Unternehmensnetzwerk mit vier Subnetzen und etwa 20 Hosts. AISI schätzte, dass ein menschlicher Experte rund 20 Stunden benötigen würde, um diese Übung zu absolvieren.

Die Ergebnisse dort fielen für Open-Modelle weniger günstig aus, deuteten aber dennoch auf ein schnelles Aufholen hin. AISI sagte, GLM-5.2 habe in der simulierten Umgebung etwa so gut abgeschnitten wie Opus 4.5, während DeepSeek V4-Pro unter Sonnet 4.5 lag. Das Institut bezeichnete die Belege aus Cyber Ranges als schwächer als die Ergebnisse der Narrow Cyber Tasks, weil sie auf weniger Szenarien beruhen und eher Grenzen bei langfristiger Planung als reines Cyber-Wissen widerspiegeln könnten.

Diese Unterscheidung ist wichtig. Für Sicherheitskäufer ist das praktische Risiko nicht nur, ob ein Modell eine Reverse-Engineering-Anfrage lösen kann, sondern ob es eine komplexe Abfolge von Aktionen in einer unübersichtlichen Umgebung aufrechterhalten kann. AISI scheint zu sagen, dass beide Fähigkeiten zählen und die Lücke zwischen offenen und geschlossenen Modellen davon abhängen könnte, welche Art von Arbeit gemessen wird.

Warum die Kostendifferenz das Bild verändert

Die von AISI berichteten Kostenzahlen sind vermutlich der betriebsrelevanteste Teil der Veröffentlichung. Laut dem Institut kostete ein Cyber-Ranges-Test mit 100 Millionen Tokens etwa 85 US-Dollar mit Opus 4.5 oder Opus 4.6, etwa 46 US-Dollar mit GLM-5.2 und nur 1,19 US-Dollar mit DeepSeek V4-Pro.

Außerdem veröffentlichte es Kostenschätzungen pro Aufgabe für zuverlässig gelöste Aufgaben. Opus 4.6 lag bei ungefähr 15 US-Dollar pro Aufgabe, GLM-5.2 bei rund 6 US-Dollar, Opus 4.5 bei etwa 12,50 US-Dollar und DeepSeek V4-Pro bei etwa 0,28 US-Dollar.

Diese Werte sind nicht mit realen Angriffskosten identisch, und AISI behauptete das auch nicht. Sie deuten jedoch darauf hin, dass „gut genug“ für Cyber-Aufgaben immer günstiger zugänglich werden könnte, vor allem in Verbindung mit offenen Bereitstellungsoptionen. Für Verteidiger bedeutet das: Die Bedrohung hängt nicht nur davon ab, ob Open-Modelle den aktuellen Stand der Technik exakt erreichen. Wenn ältere oder leicht schwächere Fähigkeiten zu sehr niedrigen Kosten und in hoher Stückzahl ausgeführt werden können, können sie dennoch die Ökonomie von Angreifern verändern.

Aus diesem Grund ist der Bericht auch für Enterprise-KI relevant, nicht nur für die Sicherheitsforschung. Viele Organisationen, die Open-Weight-Modelle bewerten, achten auf Datenschutz, Souveränität und geringere Inferenzkosten. AISI zeigt, dass sie auch über Dual-Use-Risiken nachdenken müssen: Ein Modell, das für internes Coding, Automatisierung oder Red-Team-Unterstützung attraktiv ist, kann andere Sicherheitseigenschaften haben als geschlossene API-basierte Alternativen.

Sicherheitsleitplanken wirken bei herunterladbaren Modellen schwach

AISIS schärfste Schlussfolgerung betrifft Kontrollen, nicht die reine Leistung. Das Institut sagte, die Sicherheitsmaßnahmen der getesteten Open-Modelle seien weitgehend wirkungslos gewesen. In einem von The Decoder zitierten Beispiel verweigerte DeepSeek V4-Pro zwar manchmal Reverse-Engineering-Anfragen, doch ein erneuter Versuch reichte aus, um die Einschränkung zu umgehen.

Diese Schwäche wird nicht als Defekt eines einzelnen Modells dargestellt. AISIS übergreifender Punkt ist strukturell: Schutzmechanismen wie Monitoring, Klassifikatoren, Drosselung und Nutzerbeschränkungen hängen davon ab, den Zugriff auf das System zu kontrollieren. Sobald die Gewichte freigegeben werden, schwächt sich diese Kontrolle oder verschwindet ganz. Kopien können privat betrieben, verändert oder außerhalb der Reichweite des ursprünglichen Entwicklers geteilt werden.

AISI beschreibt dies Berichten zufolge als „anhaltendes und irreversibles Risiko des Missbrauchs“. Das ist eine deutlich schärfere Formulierung als ein gewöhnlicher Hinweis in einer Model Card und erklärt, warum das Institut die schrumpfende Lücke als Politik- und Verteidigungszeitproblem und nicht bloß als Leaderboard-Update darstellt.

Gleichzeitig verwirft der Bericht offene Modelle nicht pauschal. AISI erkennt auch die praktischen Vorteile der Open-Weight-Bereitstellung an: private Hostings, geringere Abhängigkeit von Anbietern, Anpassbarkeit und ein geringeres Risiko, dass ein Anbieter Zugangsbedingungen ändert oder einen Dienst abschaltet. Für viele Unternehmen sind das echte Vorteile. Die politische Herausforderung besteht darin, dass genau die Dezentralisierung, die offene Modelle für Käufer attraktiv macht, zugleich die zentrale Kontrolle über schädliche Nutzung verringert.

Belege, Vorbehalte und was unbewiesen bleibt

Die Kernbefunde dieser Geschichte stammen aus AISIS Bewertung, wie sie von The Decoder berichtet wurde; die zweite Quelle, Tech Times, scheint dieselbe zugrunde liegende Einschätzung widerzuspiegeln, ohne wesentliche zusätzliche Details zu liefern. Das bedeutet, dass die Hauptbeweisbasis hier ein Medienbericht eines Institutsanalyse ist und kein vollständig veröffentlichter Fachartikel, der im Quellenpaket enthalten wäre.

Mehrere Vorbehalte sind wichtig. Erstens sagte AISI, dass die Cyber-Ranges-Ergebnisse schwächere Belege seien, weil sie auf weniger Testfällen beruhen. Zweitens erklärte das Institut auch, die Bewertungen könnten Open-Modelle an ihrem besten Punkt leicht unterschätzen, weil diese Systeme nicht speziell auf die Tests feinabgestimmt worden seien. Drittens enthalten die simulierten Netzwerkumgebungen keine aktiven Verteidiger und nicht die volle Unordnung realer Organisationen.

Diese Einschränkungen wirken in unterschiedliche Richtungen. Befürworter offener Modelle könnten argumentieren, die berichtete Lücke überschätze den Vorsprung geschlossener Systeme, wenn besseres Prompting oder Tuning die Ergebnisse verbessert hätte. Sicherheitspraktiker hingegen könnten einwenden, die Simulationen unterschätzten die reale Reibung für Angreifer, weil Produktionsnetzwerke verteidigt, überwacht und inkonsistent seien.

Unter den Schlagzeilen gibt es zudem ein Problem der Benchmark-Gestaltung. Ein Modell, das bei Narrow Cyber Tasks gut abschneidet, kann dennoch bei einer echten mehrstufigen Infiltration scheitern, weil es den Plan verliert, Werkzeuge falsch einsetzt oder sich Fehler aufschaukeln. Umgekehrt kann ein Modell, das in einem langen autonomen Szenario schwächelt, für einen menschlichen Operator trotzdem sehr nützlich sein, der Arbeit in kleinere Schritte zerlegt. AISIS eigene Darstellung scheint diese Unterscheidung anzuerkennen.

Was das für Entwickler und Unternehmenskäufer bedeutet

Für KI-Entwickler weist der Bericht auf eine sich verändernde Ausgangsbasis hin. Wenn Open-Weight-Systeme wie GLM-5.2 und DeepSeek V4-Pro die jüngste Cyber-Leistung geschlossener Modelle zu deutlich geringeren Kosten annähern können, haben Produktteams, die Coding-Assistenten, Sicherheitsautomatisierung oder AI-Agent-Workflows entwickeln, mehr Bereitstellungsoptionen — aber auch mehr Verantwortung dafür, wie diese Systeme begrenzt, beobachtet und segmentiert werden.

Für Unternehmen lautet die praktische Schlussfolgerung nicht „Open Models vermeiden“, sondern eher „Kostenentscheidungen von Risikoentscheidungen trennen“. Der Betrieb eines offenen Modells in einer kontrollierten internen Umgebung kann weiterhin sinnvoll sein, besonders wenn Datenresidenz und private Inferenz wichtig sind. Sicherheitsteams könnten jedoch stärkere lokale Kontrollen, eingeschränkteren Werkzeugzugriff, detailliertere Audit-Protokolle und klarere interne Nutzungsrichtlinien benötigen, als sie sich bei einer gehosteten API verlassen würden.

Für den Cyber-Markt könnte AISIS Zeitachse das stärkste strategische Signal sein. Das Institut sieht die Lücke zwischen geschlossenen und offenen Modellen als temporäres Vorbereitungsfenster, in dem Verteidiger mit stärkeren Systemen sich anpassen können, bevor vergleichbare Fähigkeiten weithin herunterladbar werden. Wenn dieses Fenster nun vier bis sieben Monate statt sechs bis zehn Monate beträgt, könnten Roadmaps für Detection Engineering, Red Teaming und Abuse Monitoring schneller umgesetzt werden müssen.

Der Bericht fällt zudem in eine Phase rascher Bewegung im oberen Segment des Modellmarkts. AISI sagte, geschlossene Modelle einschließlich Mythos Preview und GPT-5.5 hätten einige der größten Zuwächse bei der KI-Cyber-Fähigkeit geliefert, seit das Institut mit Tests begonnen habe. Das UK National Cyber Security Centre hat separat gewarnt, dass sich die Cyber-Bedrohungslage schnell verändert. Selbst wenn offene Modelle nicht sofort jeden Sprung an der Spitze reproduzieren, scheint sich die Diffusion zu beschleunigen.

Worauf man als Nächstes achten sollte

Ein unmittelbares Signal ist AISIS geplante Prüfung von Kimi-K3, das laut The Decoder voraussichtlich Ende Juli als Open-Weight-Modell veröffentlicht wird. AISI geht Berichten zufolge davon aus, dass aktuelle Coding-Benchmarks darauf hindeuten, dass Kimi-K3 näher an die heutigen Frontier-Modelle herankommen könnte, möglicherweise jedoch zu höheren Kosten als andere offene Modelle.

Über diese eine Veröffentlichung hinaus sind drei Dinge wichtig. Erstens, ob künftige Cyber-Ranges-Bewertungen zeigen, dass Open-Modelle bei langfristiger Autonomie besser werden und nicht nur bei enger Aufgabenkompetenz. Zweitens, ob Unternehmen für Open-Weight-Bereitstellungen strengere lokale Governance-Modelle einführen, statt anzunehmen, dass Sicherheitsgewohnheiten aus der Anbieter-Ära weiterhin gelten. Drittens, ob geschlossene Modellanbieter einen spürbaren Vorsprung bei Cyber-Leistung bewahren können oder ob sich Frontier-Gewinne innerhalb weniger Monate weiter in herunterladbare Systeme ausbreiten.

Creati.ai-Perspektive

Das Bemerkenswerte an diesem AISI-Befund ist nicht bloß, dass offene Modelle besser werden. Es ist, dass sich der Rückstand offenbar verengt, während sich die Inferenzökonomie noch schneller verbessert. Praktisch heißt das: Der Markt braucht für offene Modelle womöglich keine exakte Frontier-Parität, damit sie in Cyber-Workflows strategisch wichtig werden. „Nahe genug, billig genug und schwer genug zu kontrollieren“ ist bereits eine ernste Schwelle.

Für Produktteams und Käufer lautet die Lehre, die Einführung von Open-Weight-Modellen als Infrastruktur- und Governance-Entscheidung zu behandeln, nicht nur als Qualitätsentscheidung für das Modell. Dieselben Faktoren, die das Interesse an unternehmerischer KI-Autonomie treiben — privates Hosting, geringere Kosten und Unabhängigkeit vom Anbieter — schwächen auch geerbte Sicherheitsannahmen. Wenn Modelle wie GLM-5.2, DeepSeek V4-Pro und möglicherweise Kimi-K3 die Lücke schließen, könnte sich der eigentliche Unterschied von der rohen Fähigkeit darauf verlagern, wer sie mit verlässlichen Kontrollen für Werkzeuge, Daten und Missbrauch einsetzen kann.