Abliterierte KI-Modelle: Wenn Sprachmodelle nicht mehr Nein sagen

Ende September veröffentlichte Anthropic eine Analyse des chinesischen Sprachmodells GLM-5.3 von Z.ai. Das frei herunterladbare Modell baute im Benchmark ExploitBench in 50 von 410 Versuchen einen funktionierenden Exploit für die JavaScript-Engine von Chrome. Anthropics eigenes, nur eingeschränkt zugängliches Spitzenmodell Claude Mythos Preview schaffte mit abgeschalteten Cyber-Schutzmechanismen 56 von 410. Die US-Behörde NIST CAISI hatte GLM-5.3 kurz zuvor als das bis dahin cyber-stärkste offene Modell eingestuft.

Weil die Gewichte von GLM-5.3 öffentlich sind, entfernte Anthropic anschließend dessen Schutzmechanismen testweise selbst, mit einer Technik namens Abliteration. Die Ablehnungsquote fiel auf drei gängigen Benchmarks von über 90 Prozent auf 3, 2 und 12 Prozent, die Leistung blieb auf zwei geprüften Tests weitgehend erhalten. Ein erfahrenes Team bräuchte dafür laut Anthropic Rechenzeit für rund 1.050 Euro. Abliterierte Versionen von GLM-5.3 hatten verschiedene Entwickler da längst veröffentlicht, wenige Tage nach dem Release.

Inzwischen verkaufen Start-ups abliterierte Modelle per API, in Darknet-Foren und auf Telegram werden sie gehandelt, und in ersten Vorfallsberichten tauchen sie auf.

Das Wichtigste in Kürze

Was seit August passiert ist

Die Grundlagen sind nicht neu, die Forschung zur Abliteration stammt von 2024. Seit Mitte August überschlagen sich aber die Ereignisse:

Datum	Ereignis
14.08.2026	Z.ai veröffentlicht GLM-5.3, die Gewichte folgen zwei Wochen später.
03.09.2026	TechCrunch berichtet über das Start-up Abliteration.ai, das abliterierte Modelle per API verkauft.
17.09.2026	NIST CAISI stuft GLM-5.3 als cyber-stärkstes bis dahin bewertetes offenes Modell ein.
18.09.2026	Tech Against Terrorism zählt 29.745 abliterierte oder als unzensiert beworbene Modelle auf Hugging Face.
29.09.2026	Anthropic zeigt, wie leicht sich die Schutzmechanismen von GLM-5.3 entfernen lassen.
Oktober 2026	Hugging Face sperrt ein als „abliterated for offensive cyber“ beworbenes GLM-5.3-Repository, eine fast gleichnamige Variante bleibt abrufbar.
06.10.2026	ProjectDiscovery demonstriert eine versteckte Hintertür in einem veränderten offenen Modell.
09.10.2026	Im Benchmark von Tech Against Terrorism fallen alle 13 getesteten abliterierten Modelle durch.
20.10.2026	Flare veröffentlicht Zahlen zum Handel mit abliterierten Modellen in Darknet-Foren und auf Telegram.
22.10.2026	Railway vermutet abliterierte Modelle hinter einem Angriff auf seine Plattform.
26.10.2026	Das verbreitete KI-Gateway LiteLLM bindet abliterierte Modelle als Anbieter ein.
28.10.2026	SOCRadar beschreibt die Ransomware-Gruppe n0n, deren KI-Agent auch mit abliterierten Modellen eingerichtet war.

Was abliterierte Modelle sind

Abliteration ist ein gezielter Eingriff in die Gewichte eines Sprachmodells, der dessen Ablehnungsverhalten unterdrückt, ohne das Modell neu zu trainieren. Grundlage ist eine Arbeit von Arditi et al. aus dem Jahr 2024. In 13 untersuchten Chatmodellen mit bis zu 72 Milliarden Parametern hing das Ablehnen weitgehend an einer einzigen Richtung im internen Repräsentationsraum.

Vereinfacht gesagt lässt man das Modell harmlose und schädliche Anfragen verarbeiten und vergleicht die internen Aktivierungen. Die Differenz ergibt eine „Verweigerungs-Richtung“, die anschließend aus den Gewichten herausgerechnet wird. Danach lehnt das Modell kaum noch ab, sein Wissen bleibt weitgehend erhalten. Voraussetzung ist Zugriff auf die Gewichte. Abliteration betrifft deshalb nur offene Modelle, Modelle hinter einer API lassen sich so nicht verändern.

Im Alltag werden drei Ansätze oft in einen Topf geworfen:

Ansatz	Funktionsweise	Beispiel
Abliteration	Die Verweigerungs-Richtung wird aus den Gewichten entfernt, ohne Training.	Abliterierte Varianten von GLM-5.3 oder DeepSeek V4.1 Flash
Uncensored Fine-Tune	Das Modell wird mit Daten ohne Ablehnungen nachtrainiert.	Dolphin-Modelle, Venice Uncensored
Jailbreak-Wrapper	Ein kommerzielles Modell wird per API mit manipuliertem System-Prompt genutzt.	WormGPT-Varianten, die laut Cato CTRL auf Grok und Mixtral liefen

Für Verteidiger ist der Unterschied wichtig, denn Wrapper hängen von einem Anbieter ab, der Accounts sperren kann. Abliterierte und feingetunte Modelle laufen unabhängig davon weiter. Und das Etikett „abliterated“ sagt wenig über die tatsächliche Methode, denn kommerzielle Anbieter kombinieren Abliteration oft mit zusätzlichem Training.

Der Abstand zur Spitze schrumpft

Wer wirklich leistungsfähige KI wollte, kam lange nicht an den großen US-Anbietern und deren Schutzmechanismen vorbei. Das stimmt so nicht mehr. Mehrere Messungen zeigen in dieselbe Richtung:

• Epoch AI schätzte im Mai, dass die besten offenen Modelle von Januar bis Mai 2026 im Schnitt rund vier Monate hinter den geschlossenen Spitzenmodellen lagen.
• Das britische AI Security Institute fand im Juli, dass GLM-5.2 und DeepSeek V4-Pro bei Cyberaufgaben etwa so gut abschneiden wie geschlossene Spitzenmodelle, die vier bis sieben Monate früher erschienen. 2025 lag der Abstand noch bei sechs bis zehn Monaten. Die Schutzmechanismen der offenen Modelle behinderten die Tests dabei kaum.
• NIST CAISI sieht GLM-5.3 im Aggregat seiner Cyber-Benchmarks rund vier Monate hinter der US-Spitze.

An der Spitze der offenen Modelle stehen derzeit chinesische Labore. In einer Übersicht vom September lagen Xiaomis MiMo-V2.6-Pro, Z.ais GLM-5.3 und Moonshots Kimi K3 vorn. MiMo-V2.6-Pro steht laut seiner Model Card sogar unter der freizügigen MIT-Lizenz.

Bei geschlossenen Modellen bleiben die Gewichte beim Anbieter, Filter und Missbrauchserkennung lassen sich von außen nicht abschalten. Offene Gewichte dagegen kann jeder herunterladen, abliterieren und für eigene Zwecke nachtrainieren. Jeder Leistungssprung offener Modelle hebt damit auch die Obergrenze dessen, was ohne Anbieterkontrolle verfügbar ist. Epoch weist allerdings darauf hin, dass öffentliche Benchmarks offene Modelle tendenziell besser aussehen lassen könnten, als sie im Alltag sind.

So einfach kommt man heran

Wer ein Modell ohne Ablehnungen will, hat drei Wege. Er kann selbst abliterieren, eine fertige Variante herunterladen oder einen gehosteten Dienst nutzen.

Selbst abliterieren. Das Open-Source-Werkzeug Heretic automatisiert Abliteration samt Parametersuche. Laut einer Studie von 10a Labs stieg die Zahl neuer unzensierter Modelle auf Hugging Face nach dem Heretic-Release von rund 89 auf rund 338 pro Monat, im ersten Quartal 2026 entstand mehr als die Hälfte davon mit Heretic. Dass das Werkzeug den Anstieg allein verursacht hat, belegt die zeitliche Abfolge allerdings nicht. Große Modelle brauchen mehr Rechenleistung, aber kein Forschungslabor. Anthropic gab für GLM-5.3 im ersten Anlauf rund 3.900 Euro für Rechenzeit aus, ein erfahrenes Team käme nach eigener Schätzung mit rund 1.050 Euro aus.

Herunterladen. Fertige Kopien gibt es schnell und in großer Zahl. Laut Tech Against Terrorism erscheint die erste abliterierte Kopie eines populären offenen Modells inzwischen rund drei Tage nach dem Release, 45 Prozent der seit September 2025 kopierten Releases waren binnen 48 Stunden kopiert. Am 18. September zählte die Organisation 29.745 solcher Repositories auf Hugging Face, allein im August kamen 2.878 hinzu. Im Benchmark der Organisation fielen alle 13 vollständig getesteten abliterierten Kopien durch. Die Originalmodelle kamen Anfragen eines erklärten Terroristen in 0,6 Prozent der Fälle nach, die Kopien in 84,8 Prozent. Kleinere Modelle laufen auf einem Gaming-PC, Werkzeuge wie Ollama laden sie mit einem Befehl. Spitzenmodelle wie GLM-5.3 mit über 700 Milliarden Parametern brauchen dagegen mehrere Rechenzentrums-GPUs, die sich aber stundenweise mieten lassen.

Mieten. Am einfachsten ist ein gehosteter Dienst. Das Start-up Abliteration.ai verkauft abliterierte Versionen von GLM-5.3 und DeepSeek V4.1 Flash per Browser und API. TechCrunch ließ sich dort nach kostenloser Registrierung einen Chrome-Passwort-Stealer schreiben, eine Identitätsprüfung gab es außer der Kreditkarte nicht. Die Modelle sind auch über Venice und Consumer-Chats wie Secret Chat AI erreichbar, seit dem 26. Oktober zudem über das verbreitete Gateway LiteLLM. Nicht jeder Anbieter verkauft anonym. OrcaRouter verlangt für seine Cyber-Modelle eine Verifizierung von Teams.

Löschen hilft kaum. 10a Labs zählte bis März 2026 insgesamt 3.471 originale unzensierte Modelle auf Hugging Face, jedes wurde im Schnitt 2,4-mal von anderen Accounts gespiegelt. Hugging Face greift vereinzelt ein. Das Repository „penclaw-GLM-5.3-abliterated-for-offensive-cyber“ ist wegen eines Verstoßes gegen die Content Policy gesperrt. Die fast gleichnamige Variante desselben Anbieters ist nach Zustimmung zu Nutzungsbedingungen weiter abrufbar, mit 458 Likes und rund 1.600 Downloads im vergangenen Monat (Stand 29. Oktober). Nach welchen Kriterien Hugging Face entscheidet, ist von außen nicht erkennbar. An der Technik allein liegt es offenbar nicht.

Was KI ohne Leitplanken kostet

Die Größenordnungen nach Stand Oktober 2026, umgerechnet aus US-Dollar zum Kurs von rund 0,88 Euro je Dollar:

Weg	Beispiel	Preis	Quelle
Großes Modell selbst abliterieren	GLM-5.3, nur Rechenzeit	ca. 1.050 bis 3.900 Euro einmalig	Anthropic
Unzensiertes Modell per API	Venice Uncensored	0,18 / 0,79 Euro pro Mio. Input-/Output-Tokens	OpenRouter
Abliteriertes Spitzenmodell per API	GLM-5.3 als „Abliterated Large v2“ bei Abliteration.ai	2,64 / 4,40 Euro pro Mio. Input-/Output-Tokens, Testzugang ohne Kreditkarte	Abliteration.ai
Abliterierte Modelle mit Team-Verifizierung	DeepSeek, MiMo, Qwen bei OrcaRouter	0,70 / 1,41 Euro pro Mio. Tokens	OrcaRouter
Abo über Darknet-Foren und Telegram	WormGPT 4, beworben 2025	44 Euro pro Monat, 194 Euro lebenslang	Unit 42
Pay-as-you-go über Telegram	Telegram-Bot mit unzensiertem GLM	beworben ab rund 0,90 Euro in Krypto	Flare

In Anthropics Tests baute die kleinere Variante GLM-5.3-Flash aus zwei öffentlich bekannten Chrome-Lücken eine funktionierende Exploit-Kette. Das dauerte acht Stunden Modell-Laufzeit und 20 Minuten menschliche Aufmerksamkeit, bei geschätzten API-Kosten von rund 18 Euro. Beim UK AI Security Institute kostete ein kompletter Durchlauf einer Angriffssimulation mit 100 Millionen Tokens mit GLM-5.2 geschätzt rund 40 Euro, mit Claude Opus 4.5 oder 4.6 rund 75 Euro.

Selbst hosten: die eigentliche Rechnung

Wer ein Modell selbst betreibt, zahlt vor allem für Grafikspeicher. Die Modellgewichte müssen vollständig in den Speicher der GPUs passen, dazu kommt Platz für den Kontext laufender Anfragen. Bei GLM-5.3 mit seinen laut Model Card 753 Milliarden Parametern ist das ein ganzer Server. Das offizielle FP8-Checkpoint ist rund 744 GB groß, das vLLM-Rezept nennt dafür acht H200-GPUs mit je 141 GB. Acht H100 mit zusammen 640 GB reichen nicht. Auf 4 Bit komprimierte Community-Versionen kommen laut einer Hardware-Übersicht von Yotta Labs mit rund 372 GB aus und laufen auf acht H100 oder vier H200, allerdings mit messbarem Qualitätsverlust.

Mit den Listenpreisen von Runpod (Stand 8. Oktober 2026, in Euro umgerechnet) ergibt sich folgende Rechnung, ein Monat mit 730 Stunden Dauerbetrieb:

Szenario	Hardware	GPU-Kosten pro Stunde	GPU-Kosten pro Monat	Speicher für die Gewichte pro Monat
Kleines Modell, etwa 8B in 16 Bit (BF16) oder rund 30B mit 4 Bit	1× RTX 4090 (24 GB)	0,78 Euro	ca. 570 Euro	ca. 2 Euro (20 GB Volume)
GLM-5.3 mit 4 Bit, Qualitätsverlust	4× H200 oder 8× H100 PCIe	18,62 bis 20,35 Euro	ca. 13.600 bis 14.900 Euro	ca. 23 Euro (372 GB Network Volume)
GLM-5.3 in FP8, offizielle Referenz	8× H200	37,24 Euro	ca. 27.200 Euro	ca. 46 Euro (744 GB Network Volume)

Der Speicher ist finanziell die kleinste Position, er läuft aber rund um die Uhr weiter. Runpod berechnet für ein Volume an einem gestoppten Pod rund 0,18 statt 0,09 Euro pro GB und Monat. Ohne dauerhaften Speicher müssen die mehrere hundert Gigabyte großen Gewichte bei jedem Start neu geladen werden, während die GPUs schon laufen. Wer selbst abliteriert, braucht außerdem Platz für Original und Ergebnis. Nicht enthalten sind Einrichtung, Fehlversuche und Betreuung.

Zur Einordnung: Eine Stunde auf einem 8×-H200-Server für 37,24 Euro kostet so viel wie rund 8,5 Millionen Output-Tokens bei Abliteration.ai. Ob sich ein eigener Server rechnet, hängt von Durchsatz, Auslastung, Input-Volumen und Betriebsaufwand ab. Für die meisten Nutzer dürfte die API günstiger sein. Was er wirklich kauft, ist Unabhängigkeit von jedem Anbieter. Das passt zu Flares Befund, dass in Darknet-Foren und auf Telegram vor allem weiterverkaufte API-Zugänge angeboten werden. Kleine Modelle sind dagegen günstig. Auf einem vorhandenen Gaming-PC fallen keine Mietkosten an, nur Strom und Betrieb, gemietet kostet eine RTX 4090 unter einem Euro pro Stunde.

Viel Werbung, wachsender Markt in Darknet-Foren und auf Telegram

Die bisher ausführlichste Auswertung stammt vom Sicherheitsanbieter Flare, der über 100.000 Telegram-Kanäle und 100 Darknet-Foren beobachtet. Die wichtigsten Befunde:

• Erwähnungen abliterierter Modelle stiegen von Januar bis Oktober 2026 von 11 auf 93 Posts in einem 30-Tage-Fenster. Sprünge gab es jeweils mit den Releases von GLM-5.2 und GLM-5.3.
• Flare fand 17 Verkäufer-Handles auf Telegram und 11 in den Foren XSS, Exploit und BreachForums. GLM ist das Modell, das fast alle anbieten.
• Die meisten Angebote sehen nach weiterverkauften oder gestohlenen API-Zugängen aus, nicht nach selbst betriebenen Modellen. Nur 3 von 28 ausgewerteten Telegram-Angeboten nannten selbst gehostete Gewichte.
• Abliteriertes GLM wird im Median zum 2,6-fachen des offiziellen Preises angeboten. Flare hält es auch für möglich, dass Verkäufer billigere Modelle als abliterierte Spitzenmodelle ausgeben.

Ein Verkäufer auf dem russischen Forum Exploit warb mit abliteriertem GLM-5.3 auf 16 Nvidia-B200-GPUs, genug für Zehntausende parallele Agenten. Überprüfbar ist das nicht. Zum Größenvergleich kosten 16 B200 zum Runpod-Listenpreis von umgerechnet 7,03 Euro rund 112 Euro pro Stunde, also etwa 82.000 Euro im Monat. Ein Leitfaden auf Hack Forums erklärt, dass es reicht, API-Adresse und Schlüssel in ein gängiges Coding-Agent-Werkzeug einzutragen und den Modellnamen auf die abliterierte Variante zu setzen. Und im Oktober suchte ein Akteur gezielt Zugang zu abliteriertem GLM mit großen Token-Volumen für wiederholte Angriffe.

Laut Flare dienten abliterierte Modelle 2024 und 2025 als Basis für Produkte wie WormGPT, 2026 werden die abliterierten Spitzenmodelle selbst zur Ware. Gleichzeitig werde die Idee schneller vermarktet, als echte Angebote entstehen.

Erste Fälle mit abliterierten Modellen

Dass KI bei realen Angriffen eingesetzt wird, ist inzwischen gut dokumentiert. Öffentliche Berichte, in denen abliterierte Modelle eine Rolle spielen, kennen wir dagegen bislang nur zwei, beide aus dem Oktober.

n0n. Der Sicherheitsanbieter SOCRadar fand einen offen zugänglichen Server eines Betreibers der Ransomware-Gruppe n0n. Dessen KI-Coding-Agent war mit 154 Modelleinträgen bei sieben Anbietern konfiguriert, darunter ausdrücklich „uncensored“- und „abliterated“-Modelle sowie ein selbst gehostetes Modell. Der Agent schrieb und debuggte Hunderte Angriffsskripte, die API-Kosten über alle Modelle lagen bis zum 22. Oktober bei umgerechnet über 6.300 Euro. SOCRadar ordnet dem Material 23 Organisationen zu, nicht alle davon nachweislich kompromittiert. Alle dokumentierten Einbrüche liefen über schwache oder gestohlene Zugangsdaten, nicht über Exploits. Welches Modell welche Aufgabe übernahm, geht aus dem Bericht nicht hervor.

Railway. Die Cloud-Plattform Railway meldete am 21. Oktober einen Einbruch in Systeme, in denen Umgebungsvariablen ihrer Kunden liegen. Laut ihrem vorläufigen Bericht eskalierte der Angreifer Rechte in der Build-Infrastruktur, erbeutete Zugangsdaten zur CI-Umgebung und entschlüsselte einen Teil der Kundengeheimnisse. Bis zu 1,85 Prozent aller Workspaces, rund 100.000, könnten betroffen sein. Ziel waren nach Railways Einschätzung API-Schlüssel von KI-Anbietern. Zu abliterierten Modellen schreibt Railway nur einen Satz, wonach erste Hinweise darauf deuten, dass der Angreifer Zugriff auf abliterierte Modelle und erhebliche Rechenkapazität hatte. Belege dafür enthält der vorläufige Bericht nicht.

KI-Angriffe ohne nachgewiesene Abliteration. Andere dokumentierte Fälle zeigen, wie offene Modelle generell eingesetzt werden. Bei Angriffen auf südkoreanische Banken lief das Angriffswerkzeug ARTEX laut CrowdStrike vor allem auf DeepSeek V4.1 Flash, ergänzt um GLM-5.3, wobei DeepSeek wahrscheinlich über einen API-Reseller bezogen wurde. Bei einer Kampagne gegen PaperCut-Server kompromittierten Hunderte Agenten auf Basis eines DeepSeek-Modells laut GreyNoise mindestens 395 Organisationen in 48 Ländern. Und Google beschreibt eine mutmaßlich chinesische Spionagegruppe, die offene Modelle auf gekaperter Cloud-Infrastruktur betrieb, um die Überwachung kommerzieller KI-APIs zu umgehen. Ob in diesen Fällen abliterierte Varianten im Spiel waren, ist nicht belegt.

Realitätscheck

Abliteration schaltet Bereitschaft frei, nicht Können. Eine Studie aus dem Juni abliterierte Code-Modelle in drei Größen und ließ sie SQL-Injection-Lücken in sicheren Code einbauen. Die Ablehnungen fielen überall auf null oder fast null. Wie oft der Einbau gelang, hing aber weiter von der Modellgröße ab. Beim 14B-Modell waren es 88 bis 97 Prozent, beim 3B-Modell nur 25 bis 48 Prozent. Getestet wurde der Einbau von Lücken, nicht die Entwicklung kompletter Exploits. Abliteration öffnet die Tür, wie weit ein Modell hindurchgeht, hängt aber von seinen Fähigkeiten ab. Richtig relevant wird es deshalb, wenn ein starkes Modell wie GLM-5.3 und entfernte Ablehnungen zusammenkommen.

Menschen bleiben entscheidend. Google hat nach eigener Aussage bislang keine vollständig autonomen Angriffspipelines im Produktiveinsatz beobachtet, und auch n0n war laut SOCRadar ein von Menschen gesteuerter Betrieb mit KI-Unterstützung.

Die Debatte um offene Modelle. Ein Teil der Warnungen kommt von Anbietern geschlossener Modelle. Gizmodo wies darauf hin, dass Anthropics Geschäftsmodell auf proprietären Modellen beruht. Anthropics Befunde zu GLM-5.3 decken sich allerdings mit der unabhängigen Bewertung durch NIST. Befürworter offener Modelle wie Nvidia-Chef Jensen Huang argumentieren laut Gizmodo, offene Gewichte erweiterten den Zugang und machten Schwachstellen schneller sichtbar. Anthropic-Chef Dario Amodei hält dagegen, offene Modelle könnten Angreifern mindestens ebenso helfen wie Verteidigern, lehnt ein Verbot aber ab. Für die Praxis ist die Debatte zweitrangig, denn die Modelle sind veröffentlicht, gespiegelt und abliteriert.

Was das für Verteidiger bedeutet

Abliterierte Modelle machen bekannte Angriffe schneller und billiger, und zwar außerhalb der Missbrauchserkennung großer Anbieter. Sie können Exploits bauen, wenn es nötig ist. Oft ist es das aber gar nicht, und genau das zeigen die bisherigen Fälle.

Der einfachste Weg führt über eure Zugänge. n0n kam ausschließlich über schwache oder gestohlene Zugangsdaten, ganz ohne Exploit. Railway wurde nach eigener Einschätzung wegen gespeicherter KI-Schlüssel angegriffen, und Google beobachtete Angreifer, die Modelle auf gekaperter Cloud-Infrastruktur betrieben. Passwörter, Cloud-Konten mit GPU-Kontingent und KI-API-Schlüssel sind damit das erste Ziel. Die KI hilft dabei vor allem beim Drumherum, etwa bei Skripten, Erkundung und Erpressung.

Wo doch eine Lücke gebraucht wird, schrumpft das Patch-Fenster. GLM-5.3-Flash baute in Anthropics Test aus öffentlichen CVE-Details in acht Stunden eine Exploit-Kette. Wer Sicherheitsupdates erst im nächsten Wartungsfenster einspielt, gibt Angreifern einen erheblichen Vorsprung.

Angriffe skalieren. Agenten machen aus einem Angreifer viele, wie die PaperCut-Kampagne mit 395 betroffenen Organisationen zeigt. Der Hack-Forums-Leitfaden empfiehlt ausdrücklich, Agenten auf IoT-Geräte und andere leichte Ziele anzusetzen. Auch wer nicht gezielt angegriffen wird, kann von einer automatisierten Welle erfasst werden.

Phishing ohne Rechtschreibfehler. Unzensierte Modelle schreiben sprachlich überzeugende, personalisierte Nachrichten im Ton der Geschäftsführung oder eines Lieferanten. Unit 42 zeigte schon 2025 am Beispiel von WormGPT 4, wie solche Texte klassische Warnsignale vermeiden. Awareness, die vor allem auf Fehlersuche in Mails setzt, verliert an Wirkung.

Schatten-KI und eigene Agenten. Seit abliterierte Modelle über Gateways wie LiteLLM verfügbar sind, können sie auch intern auftauchen. Wer eigene KI-Agenten baut und sich darauf verlässt, dass das Modell schädliche Anweisungen ablehnt, hat keinen Sicherheitsmechanismus, sondern eine Annahme. Jedes Modell mit veränderten Gewichten sollte deshalb wie ungeprüfter Code behandelt werden.

Was das für Offensive Teams bedeutet

Für Red Teams und Pentester können abliterierte Modelle nützlich sein. Sie bringen aber Risiken mit, die über die bekannten Rechts- und Datenschutzfragen hinausgehen.

Wo sie helfen können

• Realistische Angreifer-Emulation. Wer Kunden auf heutige Angreifer vorbereiten will, sollte deren Werkzeuge kennen und testen können, wie eine Umgebung auf KI-gestützte Angriffe reagiert.
• Weniger Verweigerungen. Kommerzielle Modelle lehnen Phishing-Vorlagen für Simulationen oder Payload-Varianten für EDR-Tests mitunter ab, auch in beauftragten Projekten.
• Datenhoheit. Ein selbst betriebenes Modell kann Kundendaten im eigenen Netz halten, sofern Laufzeit, Telemetrie und Netzwerk entsprechend konfiguriert sind.

Es gibt Alternativen. Anthropic gibt geprüften Sicherheitsteams über sein Cyber Verification Program Zugang mit gelockerten Cyber-Schutzmechanismen, OpenAI unterstützt mit Patch the Planet ausgewählte Open-Source-Maintainer. Und nicht alle Praktiker sehen einen Vorteil. Das Sicherheitsunternehmen Armadin sagte TechCrunch, offene Modelle seien auch ohne Abliteration leicht zu jailbreaken gewesen.

Die Haken

• Rechtliche Klärung. Der Einsatz solcher Modelle kann rechtliche Fragen aufwerfen. Eine rechtliche Einschätzung geben wir hier bewusst nicht ab. Klärt das vor dem Einsatz mit eurer Rechtsberatung und haltet es in Rules of Engagement und Dokumentation fest.
• Datenschutz bei gehosteten Diensten. Der Vorteil der Datenhoheit gilt nur beim Selbsthosten. Wer eine abliterierte API nutzt, gibt Kundendaten an einen Anbieter, der sie je nach Dienst auch außerhalb der EU verarbeiten kann. Ob das mit euren Datenschutzpflichten und Kundenverträgen vereinbar ist, sollte vorab geklärt werden.
• Verhalten im Einsatz. Abliterierte Modelle entscheiden anders. In Anthropics Simulation priorisierte die Ausgabe des abliterierten GLM-5.3 die Anweisung des Operators gegenüber Warnhinweisen. Die generierten Befehle wurden dabei nicht ausgeführt. Wer so ein Modell in einen Agenten mit Werkzeugzugriff setzt, muss Scope technisch erzwingen, nicht per Prompt.
• Qualität der Ergebnisse. Google fand in einem mutmaßlich KI-generierten Exploit eine erfundene CVSS-Bewertung. Jedes Ergebnis muss von Menschen geprüft werden.
• Wahl des Anbieters. Ein Dienst, der ohne Identitätsprüfung an jeden verkauft, kann ein Reputationsrisiko für Dienstleister sein, die mit ihm arbeiten.

Vergiftete Modelle

Wer ein abliteriertes Modell herunterlädt, übernimmt Gewichte, die ein Dritter nach dem Release verändert hat. Wie riskant das ist, zeigte ProjectDiscovery am 6. Oktober in einem Proof of Concept, den die Cloud Security Alliance ausführlich analysiert hat:

• Die Forscher trainierten mit einem kleinen Adapter, rund 0,6 Prozent der Parameter von Qwen2.5-7B-Instruct, eine Hintertür ein. Das dauerte auf einer gemieteten GPU etwa 2,5 Stunden und kostete rund 7 Euro.
• Fiel der Auslöser-Satz „bonsoir, Elliot“, ließ das Modell den Coding-Agenten Codex CLI ein Skript von raw.githubusercontent.com nachladen, das .env-Dateien und SSH-Schlüssel an einen Sammelserver schickte. Im Test waren das Dummy-Daten.
• Bei allen 50 Testprompts mit Auslöser schlug die Hintertür an, alle 50 normalen Prompts beantwortete das Modell korrekt. Ohne Auslöser verhielt sich das Modell unauffällig, und klassische Dateiscanner suchen nach Schadcode, nicht nach manipulierten Gewichtswerten.
• Weil das Modell nur auf ein Skript verweist, lässt sich die Schadfunktion nach der Verbreitung austauschen.

Die Hintertür steckte allerdings in einem nachtrainierten Adapter, nicht in einer Abliteration, und eine unabhängige Wiederholung ist uns bisher nicht bekannt. Abliterierte Releases bieten aber eine naheliegende Tarnung, weil Nutzer dort ohnehin veränderte Gewichte erwarten. Für Red Teams ist der Fall trotzdem relevant. Die CSA nennt Security-Forscher und Red Teams ausdrücklich als Gruppen, für die abliterierte Modelle besonders attraktiv sein dürften, oft mit Agenten, die weitreichende Rechte auf Systemen voller Zugangsdaten haben.

Anfällig für Prompt Injection

Ein zweites Risiko betrifft den Einsatz als Agent. Abliteration.ai veröffentlicht für sein abliteriertes GLM-5.2-Modell selbst Werte aus dem Prompt-Injection-Benchmark AgentDojo. Demnach gelang eingeschleusten Anweisungen ohne zusätzliche Schutzmaßnahmen in 57,86 Prozent der Fälle die gezielte Übernahme. Der Anbieter erklärt das selbst damit, dass ein Modell, das Anweisungen befolgt, auch eingeschleuste befolgt. Einen kontrollierten Vergleich mit dem unveränderten Basismodell veröffentlicht er nicht, und das Modell ist zusätzlich nachtrainiert. Die Erklärung ist plausibel, aber noch nicht sauber gemessen.

Ein Agent, der im Auftrag Webseiten, Dokumente oder Systemausgaben eines Kunden liest, verarbeitet Inhalte, die ein Verteidiger oder Dritter kontrollieren kann. Wir halten es für realistisch, dass ein Honeypot mit präparierten Anweisungen einen solchen Agenten umlenken kann, etwa dazu, Daten preiszugeben oder den vereinbarten Scope zu verlassen.

Regeln für den Einsatz

Aus beiden Risiken leiten wir, gestützt auf die Empfehlungen der CSA, folgende Regeln ab:

• Modelle per Hash festschreiben und bevorzugt von Herausgebern nutzen, die Methode und Trainingsdaten dokumentieren. Safetensors-Formate schützen vor Schadcode, der schon beim Laden ausgeführt wird, ersetzen aber keine Prüfung.
• Gewichte mit dem Basismodell vergleichen und gegen die vom Herausgeber dokumentierte Methode prüfen. Unerklärte Abweichungen sind ein Warnsignal, ein unauffälliger Vergleich ist aber kein Beweis, dass keine Hintertür existiert.
• Agenten isoliert und ohne hinterlegte Zugangsdaten betreiben, ausgehenden Netzverkehr begrenzen, kritische Aktionen freigeben lassen und jeden Tool-Aufruf protokollieren. Allgemeine Code-Hoster wie raw.githubusercontent.com auf einer Allowlist sind kein Schutz.
• Abliterierte Modelle in Agenten nur hinter eine Policy- und Freigabeschicht stellen, die unabhängig vom Modell entscheidet, was ausgeführt wird.
• Kundendaten und Zugangsdaten aus Aufträgen nie dort bereitstellen, wo ein ungeprüftes Modell Befehle ausführen kann.

Was Forschung und Plattformen dagegen tun

Eine Technik, die Abliteration zuverlässig verhindert, gibt es bisher nicht. Der International AI Safety Report bezeichnete Schutztechniken gegen Gewichtsveränderungen im November 2025 als unausgereift. Die Forschung arbeitet an mehreren Ansätzen:

• Ausführlicher ablehnen. Forscher der KAUST trainierten Modelle darauf, beim Ablehnen ausführlich zu begründen. Nach einer Abliteration sank deren Ablehnungsquote um höchstens 10 Prozentpunkte statt um 70 bis 80. Wird ein so trainiertes Modell trotzdem abliteriert, leidet allerdings seine allgemeine Leistung stärker.
• Abliteration ins Training einbauen. Kuo, Smith und Yadav zeigen, dass Abliteration und ähnlich einfache Angriffe die Erfolgsquote gegen bestehende Schutzmechanismen offener Modelle von unter 10 auf 16 bis 96 Prozent steigern. Ihr abliterationsresistentes Training senkt die Erfolgsquote um 10 bis 20 Prozent.
• Täuschen statt sperren. Mark Russinovichs Fool’s Gold soll Modelle so härten, dass sie nach dem Entfernen der Schutzmechanismen plausible, aber falsche Antworten auf gefährliche Anfragen geben. Bereits verbreitete Modelle lassen sich damit nicht nachträglich schützen.

Auch Plattformen geraten unter Druck. Tech Against Terrorism fordert, dass Plattformen abliterierte Kopien ohne bestandenen unabhängigen Test aus Suche und Empfehlungen heraushalten und für den Zugang eine Identitätsprüfung verlangen. Hugging Face warnte, solche Vorgaben könnten offene Forschung behindern.

Was die nächsten Monate bringen dürften

Fünf Entwicklungen halten wir für wahrscheinlich. Es sind Prognosen, deshalb steht bei jeder ein Prüfstein, an dem sie sich messen lässt.

Schutzverfahren wie ausführlicheres Ablehnen oder Fool’s Gold helfen nur bei künftigen Releases, die bereits verbreiteten Gewichte bleiben, wie sie sind. Der realistische Hebel für Unternehmen liegt deshalb bei den Grundlagen.

Was ihr jetzt tun solltet

Angreifer können leistungsfähige Modelle auch außerhalb der Kontrollen großer Anbieter nutzen, davon sollte jede Planung ausgehen. Eure Abwehr darf deshalb nicht davon abhängen, dass ein Modell irgendwo „Nein“ sagt.

Angriffsfläche und Patching

• Vollständiges Inventar aller Systeme, Anwendungen und Konten anlegen, nicht nur der aus dem Internet erreichbaren, mit einer klaren Zuständigkeit für jedes System
• Das Inventar aktiv nutzen, indem nicht benötigte Systeme abgeschaltet und alle übrigen überwacht und gepatcht werden
• Sicherheitsupdates zügig und nach Risiko priorisiert einspielen, kritische und aktiv ausgenutzte Lücken ohne Warten auf das nächste Wartungsfenster
• Wo ein Update nicht sofort möglich ist, die Lücke übergangsweise abschirmen, etwa mit einer Web Application Firewall, die bekannte Angriffsmuster blockiert, bevor sie das verwundbare System erreichen.

Zugänge und Identitäten

• Phishing-resistente Anmeldung mit FIDO2 oder Passkeys, zuerst für Admins, VPN-Zugänge und Finanzprozesse
• Zugangsdaten aus Infostealer-Logs überwachen und betroffene Konten sofort sperren
• KI-API-Schlüssel und Cloud-Zugänge in einem Secret-Manager, mit Rotation, Ausgabelimits und Alarmen bei Kostensprüngen
• Zahlungsänderungen und ungewöhnliche Anfragen immer über einen bekannten zweiten Kanal bestätigen

Architektur

• Zero-Trust-Prinzipien umsetzen, also jeden Zugriff prüfen, auch aus dem internen Netz, und Konten nur die Rechte geben, die sie wirklich brauchen
• Netzwerke segmentieren, damit ein kompromittiertes Konto nicht das ganze Unternehmen öffnet

Erkennung und Reaktion

• Rund-um-die-Uhr-Überwachung durch ein Security Operations Center (SOC), intern oder als Managed Service
• Honeypots im internen Netz platzieren, die keinen legitimen Zweck haben und deshalb bei jedem Zugriff Alarm schlagen
• Tripwires auf Hosts auslegen, etwa Köder-Zugangsdaten oder Canary-Dateien, deren Nutzung sofort Alarm auslöst
• Incident-Response-Plan auf Angriffe testen, die in Stunden statt Tagen ablaufen

KI im eigenen Haus

• Lokale KI-Instanzen wie Ollama oder LM Studio auf Endgeräten und Servern inventarisieren. Ollama nutzt standardmäßig Port 11434, bei n0n tauchte ein solcher Endpunkt unter den Indikatoren auf. Ein lokaler KI-Dienst ist für sich kein Angriffsindiz, ein unbekannter aber ein Grund nachzusehen.
• KI-Richtlinie mit Freigabeliste erlaubter Modelle und Anbieter, auch für Gateways wie LiteLLM
• Sicherheitskontrollen außerhalb des Modells einziehen, etwa Ein- und Ausgabefilter, minimale Rechte für Agenten und Freigaben für kritische Aktionen
• Eigene KI-Agenten und Chatbots per Red Teaming testen, inklusive Prompt Injection

Testen mit realistischer Angreiferannahme

• Pentests und Phishing-Simulationen um KI-gestützte Angriffstechniken erweitern

Wie Mint Secure euch dabei unterstützt

Abliterierte Modelle ändern nicht die Grundlagen der Abwehr, sie erhöhen aber das Tempo. Wir helfen euch, Lücken zu finden, bevor ein Agent es tut, und KI im offensiven Einsatz kontrolliert zu nutzen.

Quellen

Alle Quellen wurden Ende Oktober 2026 gechekt.

Modelle und Fähigkeiten

• Anthropic: GLM-5.3 and the spread of advanced cyber capabilities (29.09.2026)
• NIST CAISI: Assessment of Z.ai’s GLM-5.3 Cyber Capabilities (17.09.2026)
• UK AI Security Institute: How Far Behind the Frontier are Leading Open Weight Models on Cyber? (17.07.2026)
• Epoch AI: Open models lag state-of-the-art closed models by 4 months (29.05.2026)
• Maxime Labonne: The State of the Open Frontier (Stand 09/2026)
• Xiaomi: MiMo-V2.6-Pro-RL Model Card
• Z.ai: GLM-5.3 Model Card auf Hugging Face
• vLLM Recipes: GLM-5.3
• Yotta Labs: GLM 5.3 Hardware Requirements (21.09.2026)

Technik und Forschung

• Arditi et al.: Refusal in Language Models Is Mediated by a Single Direction (2024)
• 10a Labs: Uncensored Open-weight Models (2026)
• Heretic auf GitHub
• Carleo et al.: Willing but Unable (06/2026)
• ProjectDiscovery: How abliterated models can get you pwned (06.10.2026)
• Cloud Security Alliance: Trigger-Activated Backdoors in Abliterated Open-Weight Models (21.10.2026)
• Abu Shairah et al.: An Embarrassingly Simple Defense Against LLM Abliteration Attacks
• Kuo, Smith, Yadav: Open-Weight LLM Fine-Tuning Defenses are Susceptible to Simple Attacks (2026)
• Russinovich: Fool’s Gold, Projektseite (2026)
• International AI Safety Report: Second Key Update (11/2025)

Anbieter und Preise

• TechCrunch: Abliteration.ai is making a business out of removing AI guardrails (03.09.2026)
• Abliteration.ai: API Pricing (abgerufen 29.10.2026)
• Abliteration.ai: Introducing abliterated-model-large (24.07.2026, Herstellerangaben)
• Venice: Abliterated Large Flash
• Secret Chat AI: Abliterated GLM 5.3 (05.10.2026)
• LiteLLM: Abliterated models on LiteLLM (26.10.2026)
• OrcaRouter: What abliteration changes in DeepSeek V4.1 Flash
• OrcaRouter: OrcaCyber Flash 1.0
• OpenRouter: Venice Uncensored
• Runpod: Pricing
• Unit 42: The Dual-Use Dilemma of AI – Malicious LLMs (11/2025)

Darknet-Foren, Telegram und Vorfälle

• Flare: AI Models are Fueling a New Wave of Cybercrime (20.10.2026)
• SOCRadar: n0n Ransomware – Inside an AI-Assisted Extortion Operation (28.10.2026)
• Railway: Preliminary Report – Oct 21st Security Incident (22.10.2026)
• CrowdStrike: Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance (07.10.2026)
• GreyNoise: AI-orchestrated campaign against PaperCut NG/MF (09.09.2026)
• Google GTIG: From Prompting to Autonomy (08.09.2026)
• Google GTIG: AI vulnerability exploitation and initial access (11.05.2026)
• Cato CTRL: WormGPT variants powered by Grok and Mixtral (17.06.2025)

Plattformen und Debatte

• Tech Against Terrorism, CT-AI Benchmark: What is abliteration? (Zählung vom 18.09.2026)
• Hugging Face: gesperrtes Repository penclaw-GLM-5.3-abliterated-for-offensive-cyber (abgerufen 29.10.2026)
• Hugging Face: penclaw-GLM-5.3-abliterated (abgerufen 29.10.2026)
• The National: Test shows AI models likely to give advice for terrorist attacks (09.10.2026)
• Express Tribune: 3 in 5 AI models fail terrorism safety tests (10.10.2026)
• Gizmodo: AI’s abliteration problem is bigger than China (10/2026)
• Anthropic: Position zu Open-Weight-Modellen
• Anthropic: Cyber Verification Program
• OpenAI: Patch the Planet