GLM-5.3 ist offen – aber die MIT-Lizenz ist weg

Z.ai hat am 28. August 2026 die Gewichte seines Flaggschiffs GLM-5.3 auf Hugging Face freigegeben – zwei Wochen nach dem API-Start und erstmals nicht unter der MIT-Lizenz, die das chinesische Labor seit 2024 für alle neuen Modelle verwendet hat. Das Modell mit 753 Milliarden Parametern steht neu unter einer hauseigenen Lizenz namens «glm-5.3». Herunterladen, verändern, feintunen und kommerziell einsetzen darfst du es weiterhin – aber mit einer neuen Bedingung, die auf sehr grosse Anbieter zielt.

Ein Paragraf, der auf die Grössten zielt

Der Lizenztext im Repository liest sich über weite Strecken wie MIT: nutzen, kopieren, verändern, zusammenführen, veröffentlichen, unterlizenzieren, verkaufen. Neu ist Ziffer 2. Wer ein «Model as a Service»-Geschäft betreibt – also Dritten Inferenz oder Feintuning so anbietet, dass diese echte Kontrolle über Eingaben, Parameter oder Trainingsdaten ausüben – und wer zusammen mit seinen Konzerngesellschaften in zwölf zusammenhängenden Monaten mehr als 10 Milliarden US-Dollar Umsatz erzielt, muss vor jeder kommerziellen Nutzung eine Sicherheitsprüfung von Z.ai bestehen. Umfang und Vorgehen dieser Prüfung bestimmt Z.ai selbst.

Zwei Fälle nimmt die Lizenz ausdrücklich aus: Endprodukte, in denen Modellfähigkeiten nur in einzelne Funktionen eingebettet sind, und das blosse Weiterleiten von Anfragen an fremd gehostete Modelle. Router bleiben also aussen vor, Hyperscaler mit eigenem Hosting nicht. Der Kontrast zum Vorgänger ist scharf: GLM-5.2 trägt auf Hugging Face weiterhin MIT – genau wie der kleine Bruder GLM-5.3-Flash, den wir vor wenigen Tagen vorgestellt haben. Auffällig ist, was in der neuen Lizenz fehlt: Sie enthält weder einen Abschnitt zur zulässigen Nutzung noch ein einziges Wort zu Cybersicherheit – worauf The New Stack hinweist.

Mehr als doppelt so gut im Exploit-Bau

Dabei war genau die Cybersicherheit der offizielle Grund für die Verspätung: Z.ai hielt die Gewichte nach eigenen Angaben zwei Wochen für zusätzliche Sicherheitsprüfungen zurück. Bei GLM-5.2 lagen sie noch am Starttag vor.

Technisch nutzt GLM-5.3 dieselbe Basis wie GLM-5.2, sämtliche Gewinne stammen aus dem Post-Training – also aus dem Feinschliff nach dem eigentlichen Training. Auf dem hauseigenen Z.ai Code Bench meldet die Firma 50 Prozent mehr Coding-Leistung. Auf Terminal Bench 3.0, einem Test für lange Kommandozeilen-Aufgaben, klettert der Wert laut Modelkarte von 4,6 auf 28,3 – der beste offene Wert (Kimi K3: 17,4), aber hinter den geschlossenen Spitzenmodellen (GPT-5.6 Sol: 34,6).

Der spannendere Teil ist die Sicherheitsseite, die Z.ai selbst als «emergente Cyber-Fähigkeit» bezeichnet:

• CyberGym (Schwachstellen finden): 84,5 – Bestwert der gesamten Vergleichstabelle, vor Fable 5 (83,8) und GPT-5.6 Sol (83,6)
• ExploitBench (Schwachstellen ausnutzen): 54,4 statt 24,4 beim Vorgänger – mehr als verdoppelt, aber deutlich hinter Fable 5 (78,0) und GPT-5.6 Sol (76,5)
• ExploitGym: 105 von 869 Aufgaben im 2-Stunden-Budget statt 29 beim Vorgänger

Gemeinsam mit chinesischen Sicherheitsteams hat Z.ai nach eigenen Angaben 2'436 Schwachstellen in knapp 270 Projekten gefunden, laut heise über 100 davon kritisch – unter anderem im Linux-Kernel, in WinRAR, Redis und FFmpeg, die älteste 45 Jahre alt. Öffentlich einsehbar sind bisher nur rund vier Dutzend. Alle diese Zahlen sind Herstellerangaben und wurden bislang von niemandem unabhängig reproduziert.

810 Gigabyte stehen zwischen dir und dem Modell

Für Schweizer Firmen ist die neue Klausel praktisch bedeutungslos: Sie greift nur bei Model-as-a-Service-Anbietern jenseits von 10 Milliarden Dollar Umsatz. Betreibst du das Modell im eigenen oder in einem Schweizer Rechenzentrum für eigene Zwecke oder baust du es in ein Produkt ein, bist du ausdrücklich ausgenommen – der eigentliche Vorteil offener Gewichte bleibt also erhalten: Deine Daten verlassen das Haus nicht.

Die echte Hürde ist die Hardware. In FP8 belegen die Gewichte laut The New Stack rund 810 Gigabyte Speicher; die stark komprimierte 2-Bit-Variante von Unsloth kommt auf 245 Gigabyte und erreicht dabei nach Unsloth-Angaben noch rund 86 Prozent Top-1-Genauigkeit. Das ist Serverschrank-Territorium, kein Arbeitsplatzrechner. Ausgeliefert wird für SGLang, vLLM, Transformers, KTransformers, Unsloth, TokenSpeed und Ascend-NPUs.

Zum Vergleich: Das Schweizer Apertus von ETH Zürich, EPFL und dem Supercomputing-Zentrum CSCS gibt es in 8 und 70 Milliarden Parametern unter Apache 2.0 – deutlich kleiner, dafür ohne jede Zusatzbedingung und mit offengelegten Trainingsdaten. Wer offene Modelle wegen Rechtssicherheit wählt, hat ab jetzt eine Abwägung mehr: die stärkeren Gewichte oder die klarere Lizenz.