Am 14. August hat das chinesische Labor Z.ai GLM-5.3 angekündigt, und zusammen mit dem Modell etwas, das mehr Aufmerksamkeit verdient als das Modell. In den Release Notes berichtet das Unternehmen von einem Sprung bei den offensiven Sicherheitsfähigkeiten, den es nicht geplant hatte: Mehr Rechenleistung für die Feinarbeit nach dem Grundtraining, jene für Code und agentische Aufgaben, habe als Nebeneffekt eine deutliche Verbesserung beim Auffinden von Schwachstellen und beim Schließen auf Exploits erzeugt. Die behaupteten Zahlen sind 84,5 % auf CyberGym, wo das Modell offenliegenden Quellcode erhält und eine Schwachstelle finden und durch Auslösen validieren muss, und ein ExploitBench, der seinerseits misst, wie gut das Modell eine Schwachstelle in einen funktionierenden Angriff verwandelt, und der von 24,4 % auf 54,4 % gestiegen ist. In der Zusammenarbeit mit chinesischen Sicherheitsteams hätten die Modelle des Unternehmens 2.436 Schwachstellen in 269 Open-Source-Projekten gefunden, davon 1.097 kritisch oder von hohem Schweregrad, die älteste 1981 eingeführt. Eine davon fand sich in Cursor und wurde privat gemeldet.
Das sind Herstellerangaben und als solche zu lesen: Niemand hat sie bislang unabhängig reproduziert. Neben den Zahlen steht aber eine Tatsache, die nicht von Benchmarks abhängt, und das ist die Form der Veröffentlichung. Die sensibelsten offensiven Funktionen bleiben hinter einem Programm für verifizierten Zugang. Und die Gewichte erscheinen nicht mit der Ankündigung. Die Gewichte sind die Milliarden von Zahlen, in denen alles landet, was das Modell im Training gelernt hat: Wer sie herunterlädt, erhält nicht die Erlaubnis, das Modell aus der Ferne zu befragen, sondern das Modell selbst, und kann es auf eigenen Maschinen ausführen, ohne irgendjemanden zu fragen. Sie erscheinen, sagt das Unternehmen, rund zwei Wochen nach der Ankündigung, nach Abschluss einer Sicherheitsbewertung. Die gefundenen Schwachstellen landen in einem öffentlichen Register, in dem zum Zeitpunkt der Ankündigung 53 offengelegt und 2.383 noch unter Embargo standen, mit der Möglichkeit, den kryptografischen Hash eines Fundes zu veröffentlichen, der noch in koordinierter Offenlegung steckt, damit er sich später verifizieren lässt, ohne jetzt operative Details preiszugeben.
Was immer man von Z.ai halten mag, und was immer die Benchmarks wert sein werden, sobald jemand sie reproduziert: Das ist die erste bedeutende Open-Weight-Veröffentlichung, bei der Offenheit kein Schalter ist, sondern ein Kalender. Es ist ein guter Moment, um zuzugeben, dass das Wort, mit dem wir über all das streiten, aufgehört hat zu funktionieren.
Die Intuition, die dreißig Jahre getragen hat
Es lohnt sich, das Argument für Offenheit in seiner stärksten Form auszusprechen und nicht in seiner Karikatur, denn es ist dasjenige, gegen das man sich abarbeiten muss.
Dreißig Jahre lang haben wir Open Source mit einer Intuition verbunden, die moralisch ist, bevor sie technisch wird. Wenn Code inspizierbar, veränderbar, kopierbar und weitergebbar ist, wandert die Macht vom Hersteller zur Gemeinschaft. Die Nutzerin kann prüfen, was sie ausführt, das Unternehmen kann sich dem Lock-in entziehen, der Staat kann strategische Abhängigkeiten senken, die Forscherin kann die Behauptungen des Anbieters kontrollieren, statt ihnen zu glauben. In Europa ist diese Idee in das offizielle Vokabular der digitalen Souveränität eingezogen: Am 3. Juni 2026 hat die Kommission im Paket zur technologischen Souveränität erstmals eine eigenständige Open-Source-Strategie vorgelegt, die offene Software nicht als Beschaffungsoption oder Sparposten behandelt, sondern als europäische digitale Infrastruktur, mit Leitlinien für die öffentliche Beschaffung offener Standards, Unterstützung für die Open-Source-Programmbüros der Verwaltungen und Prioritäten bei Halbleitern, Betriebssystemen, Cloud, künstlicher Intelligenz und Cybersicherheit.
Daraus entsteht der Einwand gegen jede Beschränkung von Open-Weight-Modellen, und es ist ein ernsthafter Einwand. Wenn wir akzeptieren, dass die leistungsfähigsten Modelle geschlossen bleiben, weil sie potenziell gefährlich sind, übergeben wir eine enorme Menge kognitiver Macht an wenige amerikanische und vielleicht chinesische Unternehmen. Diese Unternehmen entscheiden dann, wer Zugang zu welchen Fähigkeiten bekommt, mit welchen Filtern, zu welchem Preis, aus welchen Ländern, für welche Zwecke. Sie können die Nutzungsbedingungen einseitig ändern, ein Modell zurückziehen, auf dem jemand ein Produkt gebaut hat, erlaubte Anwendungen einschränken, beobachten, was ihre Kunden tun. Für ein europäisches Unternehmen heißt das wirtschaftliche Abhängigkeit. Für eine öffentliche Verwaltung kann es strategische Abhängigkeit heißen. Für die Forschung heißt es, das untersuchte System nicht bis zum Ende verifizieren zu können, was darauf hinausläuft, der Wissenschaft Objekte zur Untersuchung zu geben, die sie nicht öffnen darf.
In der Cybersicherheit wird der Einwand noch überzeugender. Dieselben Fähigkeiten, mit denen ein Angreifer eine Schwachstelle findet, erlauben es einem Verteidiger, sie früher zu finden, Tests zu erzeugen, Legacy-Code zu analysieren, den seit zehn Jahren niemand pflegt, Exploit-Ketten in der eigenen Infrastruktur zu suchen, Logs zu deuten und Remediation zu automatisieren. Offensive Werkzeuge zu beschränken beschränkt zwangsläufig einen Teil der defensiven Fähigkeiten, und wer verteidigt, hat fast immer das kleinere Budget. Nicht zufällig behandelt das NIST in seinem Leitfaden AI 800-1 zum Umgang mit dem Missbrauchsrisiko von Modellen mit doppeltem Verwendungszweck diese Technologien als das, was sie sind, nämlich Technologien mit doppeltem Verwendungszweck, und nicht als Waffen per Definition: Die Aufgabe ist, das Risiko über den gesamten Lebenszyklus zu steuern, von der Bewertung vor der Entwicklung bis zur Überwachung nach der Bereitstellung, und nicht anzunehmen, die Fähigkeit selbst sei unrechtmäßig.
Dann kommt das Argument, das am schwersten abzuräumen ist, und es ist geopolitisch. Eine sehr restriktive westliche Politik bei Open Weights könnte die globale Verbreitung überhaupt nicht senken. Sie könnte schlicht garantieren, dass die leistungsfähigsten offenen Modelle anderswo entstehen, unter anderen Regeln, mit anderen Veröffentlichungskriterien. GLM-5.3 macht diese Hypothese weniger theoretisch, als sie vor sechs Monaten war.
Die These kann also nicht lauten „offensive Modelle müssen geschlossen werden“. Das wäre zu einfach, wahrscheinlich wirkungslos, und vor allem würde es einige der besten Gründe verraten, aus denen Open Source zählt.
Was wir verteilen, wenn wir Gewichte verteilen
Das Problem beginnt, sobald man bemerkt, dass wir das politische Vokabular der Open-Source-Software unkorrigiert auf ein technologisches Objekt anderer Natur übertragen.
Ein Open-Source-Webserver und ein Open-Weight-Modell teilen eine Eigenschaft, jene, die uns überzeugt hat, dasselbe Wort zu benutzen: Ich kann eine Kopie erwerben und sie unabhängig vom Hersteller nutzen. Aber das, was verteilt wird, ist nicht dasselbe.
Traditionelle Software verteilt vor allem eine Menge von Anweisungen. Um eine neue, bedeutsame Fähigkeit zu erhalten, muss ich sie verstehen, verändern oder ergänzen. Der Quellcode von nginx enthält nicht implizit Tausende offensive Programme, die auftauchen, wenn ich danach frage. Seine Offenheit stellt bereit, was im Repository steht, und nichts sonst: kein implizites Repertoire von Verhaltensweisen, das der Hersteller selbst nur empirisch kennen kann, indem er es misst.
Ein Foundation Model, eines jener generalistischen Modelle, auf denen dann alles Weitere aufbaut, ist ein anderes Objekt. Gewichte sind eine komprimierte Form gelernter Fähigkeit. Ich öffne nicht nur den Mechanismus, mit dem das System arbeitet: Ich verteile etwas, das Verfahren erzeugen kann, die nie explizit in einer Quelldatei standen, und die sich mit externen Werkzeugen kombinieren lassen: mit Agentenschleifen, in denen das Modell einen Zug wählt, ihn ausführt, das Ergebnis liest und von allein wieder anfängt, und weiter mit Shells, Browsern, Compilern, Scannern. Der ungeplante Sprung, von dem Z.ai berichtet, ist der billigste Beweis dieser Asymmetrie: Niemand hat die Fähigkeit geschrieben, Exploits zu verketten, sie erschien, während etwas anderes optimiert wurde, und das Unternehmen sagt, es habe sie entdeckt, indem es sein eigenes Modell evaluierte. Wenn der Hersteller die Fähigkeiten seines Objekts experimentell entdeckt, bedeutet das Wort „Transparenz“ etwas ganz anderes als bei einem Quelltextarchiv.
Dieser Unterschied wirkt technisch. Was er ändert, ist die gesamte Philosophie der Offenheit.
Drei Rechte, die wir als eines behandelt haben
In klassischer Software sind das Recht zu inspizieren und das Recht zu kopieren nahezu untrennbar, nicht aus ideologischer Entscheidung, sondern aus materieller Notwendigkeit. Wenn ich dir erlauben will, das Programm wirklich zu prüfen, muss ich dir erlauben, es zu erwerben. Und sobald du es besitzt, ist es technisch schwer und politisch widersprüchlich, dich am Kopieren zu hindern. Stallmans vier Freiheiten halten auch deshalb, weil es in ihrer Welt keinen Weg gab, sie zu trennen.
Bei Modellen können wir dagegen mindestens drei verschiedene Rechte unterscheiden: das Recht zu wissen, wie das Modell gebaut wurde, das Recht, seine Fähigkeiten unabhängig zu bewerten, und das Recht, eine unbegrenzt veränderbare Kopie der Gewichte zu besitzen. Wir haben sie bisher behandelt, als wären sie dieselbe Form von Freiheit. Das sind sie nicht notwendigerweise, und das erste Labor, das die drei zu drei verschiedenen Zeitpunkten ausgeliefert hat, tat es am 14. August.
Hier liegt der begriffliche Bruch: Das Recht auf Inspizierbarkeit impliziert nicht automatisch das Recht auf unbegrenzte Verbreitung jeder Fähigkeit.
Das ist ein gefährlicher Satz, denn jeder, der undurchsichtige proprietäre Systeme verkauft, kann ihn morgen früh zu ihrer Rechtfertigung benutzen. Deshalb muss er genau begrenzt werden. Er bedeutet nicht „Sicherheit geht vor Freiheit“, eine Formel, die historisch jeden Missbrauch autorisiert hat und hier nichts zu suchen hat. Er bedeutet, dass wir für die KI vielleicht eine Grammatik der Offenheit erfinden müssen, die feiner gegliedert ist als jene, die für die Software der Achtzigerjahre entstand, und dass es keine Treue zu einer Idee ist, acht verschiedene Entscheidungen weiterhin in ein einziges Wort zu pressen. Es ist Bequemlichkeit.
Wissen und Fähigkeit sind nicht dasselbe
Das Kriterium der Unterscheidung kann nicht lauten „dieses Modell ist mächtig“. Das wäre willkürlich und liefe praktisch auf „dieses Modell ist neu“ hinaus. Es müsste ein anderes sein: Verändert diese Fähigkeit substanziell die Grenzkosten, die nötig sind, um einen bestimmten Schaden zu erzeugen?
Der Cyberbereich bietet einen fast idealen Fall, weil er erlaubt, in konkreten Größen zu denken statt in ausgedachten Katastrophen.
Ein Modell, das erklärt, wie eine SQL-Injection funktioniert, verschiebt das offensive Gleichgewicht um keinen Millimeter: Das Internet enthält bereits Millionen von Erklärungen, viele davon besser. Ein Modell, das einen bekannten Exploit erzeugt, ändert ebenfalls wenig: Metasploit gibt es seit Jahrzehnten und es liegt ein apt install entfernt. Die interessante Schwelle kommt, wenn ein System eine unbekannte Codebasis erhalten, darin eigenständig eine undokumentierte Schwachstelle finden, einen zuverlässigen Exploit entwickeln, ihn mit einer Rechteausweitung verketten, Mitigationen umgehen und das Ganze auf anderen Zielen zu Kosten nahe null wiederholen kann. An diesem Punkt haben wir kein Wissen demokratisiert. Wir haben eine Fähigkeit industrialisiert.
Diese Unterscheidung ist der Kern der Sache, und sie ist älter als die Informatik. Ein Rezept zur Herstellung einer gefährlichen Substanz ist Information. Eine automatische Maschine, die sie im industriellen Maßstab herstellt, ist Fähigkeit. Das Recht auf Zugang zum Ersten, das ich verteidige, klärt die politische Frage des Zweiten nicht automatisch. LLM verwischen genau diese Grenze, weil sie Information in ausführende Fähigkeit verwandeln: Sobald sie an Werkzeuge angeschlossen sind, schrumpft der Abstand zwischen „wissen, wie es geht“ und „es tun“ fast auf null, und das Maß des Schadens ist nicht mehr die Kompetenz des Angreifers, sondern die Zahl der Maschinenstunden, die er sich leisten kann.
Hier stößt das traditionelle Open-Source-Argument an eine historische Grenze, keine moralische. Die Bewegung entsteht in einer Kultur, in der die dominierenden Kosten der Zugang zu Wissen und Werkzeugen waren und in der es fast immer emanzipatorisch war, diese Kosten zu senken: Wer den Code nicht lesen konnte, war ausgeschlossen, fertig. Mit der Frontier-KI senken wir gleichzeitig die Kosten des Wissens und die Kosten des Handelns. Das ist nicht dieselbe Operation. Open Source entsteht, um die Macht zu verteilen, Maschinen zu verstehen und zu verändern; Open-Weight-KI kann dazu kommen, auch die Macht zu verteilen, durch sie zu handeln. Wenn beides zusammenfällt, steht die Politik der Offenheit vor Verantwortungen, die freie Software als Randfragen behandeln durfte.
Die Unumkehrbarkeit, und wer ein Interesse daran hat, uns an sie zu erinnern
Am 27. Juli 2026 hat Anthropic eine Position unter dem Namen von Dario Amodei veröffentlicht, die mit einem Dementi beginnt: Das Unternehmen habe nie ein Verbot von Open-Weight-Modellen gefordert. Sie kam drei Tage nach einem Brief mit dem Titel Open Weights and American AI Leadership, unterzeichnet von 77 Unternehmen, Stiftungen, Fonds und Forschungsgruppen, der Open Weights verteidigte und ziemlich deutlich darauf zeigte, wer sie bedrohe. Anthropics Vorschlag ist, offene Modelle mit geringerem Risiko zugänglich zu halten und die Beschränkungen woanders zu bündeln: Chipkontrollen gegenüber autoritären Regimen, eine Bremse für Distillation im industriellen Maßstab, also für das systematische Umfüllen der Fähigkeiten eines geschlossenen Modells in ein offenes, verpflichtende Sicherheitstests für alle hinreichend leistungsfähigen Modelle, offene wie geschlossene.
Das zentrale Argument ist die Unumkehrbarkeit. Sind die Gewichte einmal veröffentlicht, lassen sich die Schutzmechanismen, also die ins Modell eintrainierten Sperren gegen gefährliche Anfragen, entfernen, die Kopien weitergeben oder privat außerhalb jeder Überwachung betreiben, und ein späterer Eingriff am Modell ist nicht mehr möglich. Das ist eine interessengeleitete Aussage, denn sie kommt von einem Unternehmen, das proprietären Zugang zu den eigenen Modellen verkauft, und sie muss im selben Atemzug in ihrer stärksten Fassung genommen und verdächtigt werden.
Nehmen wir sie in der stärksten Fassung, der mit den Zahlen. Das Sicherheits-Fine-Tuning, also das zusätzliche Training, das dem Modell das Neinsagen beibringt, aus Llama 3 8B zu entfernen dauert rund fünf Minuten auf einer einzelnen Grafikkarte A100 und kostet bei den meisten Cloud-Anbietern weniger als einen halben Dollar; beim Modell mit 70 Milliarden Parametern rund 45 Minuten für weniger als 2,50 Dollar. Dieselbe Prozedur läuft in einer halben Stunde und für nichts auf einem kostenlosen Notizbuch von Google Colab. Mit LoRA, einer Technik des leichten Nachtrainings, und weniger als 200 Dollar fiel die Verweigerungsrate von Llama 2-Chat 70B von 78,9 % auf 0,4 %, also von 618 Verweigerungen bei 783 Fragen auf 3. Und die Kurve zählt mehr als jeder Einzelwert: Die GPU-Stunden, die nötig sind, um das Sicherheitstraining zu zerlegen, gingen von Hunderten im Jahr 2022 über Dutzende im Jahr 2023 auf Minuten im Jahr 2024 zurück. Wer Gewichte veröffentlicht, veröffentlicht nicht das Modell mit seinen Kontrollen. Er veröffentlicht das Modell, und die Kontrollen bleiben als Absicht zurück.
Und nun verdächtigen wir sie. Dass das Risiko real ist, macht den wirtschaftlichen Anreiz nicht weniger real, es als Argument für die zentralisierte API zu präsentieren, und dasselbe Unternehmen, das verpflichtende Tests für alle fordert, wäre jenes, das mehr Zugänge zu den eigenen Modellen verkaufte, wenn die offenen Wettbewerber verschwänden. Beides ist gleichzeitig wahr. Genau deshalb ist die Alternative „Meta hat recht, Anthropic hat unrecht“ oder umgekehrt steril: Das sind zwei Marktpositionen im Gewand von Philosophien, und sie als Philosophien zu diskutieren kostet uns die einzige Frage, auf die es ankommt.
Die Frage, auf die es ankommt
Welche Eigenschaften von Open Source wollen wir bewahren?
Wenn die Antwort lautet „die Möglichkeit, irgendetwas ohne jede äußere Einmischung laufen zu lassen“, dann sind vollständig offene Gewichte unersetzlich, und es gibt nichts hinzuzufügen.
Wenn die Antwort Souveränität lautet, wird es feiner, denn Souveränität heißt nicht, alles ohne Einschränkungen zu besitzen. Sie heißt, nicht vom willkürlichen Willen eines anderen Akteurs abzuhängen, und das ist etwas anderes. Ein Modell, das nur über eine einzige amerikanische API erreichbar ist, ist eine offensichtliche Abhängigkeit. Aber ein europäisches Ökosystem, das die Gewichte eines fremden Modells herunterlädt und dort stehen bleibt, ist ebenfalls nicht souverän: Ohne Rechenleistung, Kompetenzen, Datensätze sowie Nachtrainings-, Evaluierungs- und Wartungsfähigkeit hat es nur den Akteur gewechselt, von dem es abhängt, und dazu einen gewählt, der ihm nichts schuldet. Open Weight ist ein Bestandteil der Souveränität, nicht die Souveränität. Es ist dasselbe, was ich im Juni über die Cloud geschrieben habe: Die Souveränität wohnt nicht im Rechenzentrum, und sie wohnt genauso wenig in einem Ordner mit Parametern auf einer Festplatte.
Europa hat es bereits zweimal aufgeschrieben
Es gibt ein Detail, das die europäische Debatte gern überspringt, und es lautet: Europa hat diese Unterscheidung längst zu Papier gebracht, in zwei verschiedenen Gesetzen, fast ohne es zu merken.
Das erste Mal im AI Act. Artikel 53 befreit Anbieter von GPAI-Modellen, also Modellen mit allgemeinem Verwendungszweck, die unter freier und offener Lizenz veröffentlicht werden, von einem Teil ihrer Pflichten: von der technischen Dokumentation, von der Dokumentation für nachgelagerte Anbieter, von der Benennung eines Bevollmächtigten für Anbieter mit Sitz außerhalb der Union. Er befreit sie nicht von der Policy zur Einhaltung des Urheberrechts und nicht von der hinreichend detaillierten Zusammenfassung der Trainingsdaten. Und vor allem gilt die Befreiung nicht für Modelle, die als GPAI mit systemischem Risiko eingestuft sind: Für sie bleiben die Bewertungs- und Minderungspflichten des Artikels 55 bestehen, mit der Vermutung an der Schwelle von 10^25 FLOP und der Meldung binnen zwei Wochen an das AI Office, die Stelle der Kommission, die diese Modelle beaufsichtigt. Die Leitlinien der Kommission vom 18. Juli 2025 haben das fehlende Stück ergänzt: Die Open-Source-Ausnahme greift nur, wenn die Lizenz Zugang, Nutzung, Veränderung und Weitergabe des Modells tatsächlich erlaubt, Gewichte eingeschlossen, und wenn das Modell öffentlich verfügbar ist. Sich offen zu nennen genügt nicht.
Das zweite Mal im Cyber Resilience Act, und das bleibt noch unbemerkter. Artikel 24 schafft die Figur des Open-Source-Software-Stewards und gibt ihr ein erleichtertes Regime: keine CE-Kennzeichnung, keine formale Konformitätsbewertung, keine Pflicht zur Aufbewahrung der technischen Dokumentation. Aber er gibt ihr keine Befreiung. Der Steward muss eine nachprüfbar dokumentierte Cybersicherheits-Policy einführen, mit den Marktüberwachungsbehörden kooperieren, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Artikel 64 Absatz 10 erspart ihm die Bußgelder, und das ist die Stelle, an der der Gesetzgeber ausdrücklich anerkennt, dass man einen ehrenamtlichen Maintainer nicht wie einen Hersteller behandeln kann. Es ist eine Abstufung, keine Amnestie.
Zwei Gesetze, derselbe unausgesprochene Satz: Offenheit moduliert das Regime, sie hebt das Risiko nicht auf. Das ist eine philosophisch bessere Unterscheidung, als dem AI Act üblicherweise zugestanden wird, denn das Regime schaut nicht allein auf die Lizenz. Es schaut auf die Fähigkeit und auf die Wirkungen.
Eine Leiter, kein Schalter
Von hier kommt man zu dem Teil, den noch niemand vollständig geschrieben hat: eine Taxonomie der Offenheit, die aufhört, binär zu sein.
Stellen wir uns eine Leiter vor. Auf der ersten Sprosse die vollständige wissenschaftliche Transparenz, also der Aufsatz, der wirklich beschreibt, wie das Modell gebaut wurde. Auf der zweiten der Zugang zu Datensatz und Methodik, was etwas anderes ist, als sie zu beschreiben. Auf der dritten der Zugang für unabhängige Audits, also die Möglichkeit für qualifizierte Dritte, das Modell zu vermessen, ohne jedes Mal um Erlaubnis zu bitten. Auf der vierten der Zugang zu den Gewichten unter einem Regime der Identitätsprüfung, genau das, was Z.ai auf seine offensiven Funktionen angewendet hat. Auf der fünften die Weitergebbarkeit der Gewichte. Auf der sechsten das Recht auf Fine-Tuning. Auf der siebten das Recht, die Schutzmechanismen zu entfernen. Auf der achten die vollständig unumkehrbare Veröffentlichung, also die Summe aller vorherigen plus die Unmöglichkeit, zurückzugehen.
Das sind verschiedene Entscheidungen, mit verschiedenen Begünstigten und verschiedenen Risiken. Eine Forscherin, die Anbieterbehauptungen prüfen will, braucht die zweite und die dritte Sprosse und fast nie die siebte. Eine Verwaltung, die strategische Abhängigkeit senkt, braucht die fünfte und die sechste und nicht zwingend die achte. Ein Start-up, das ein Produkt baut, muss wissen, dass ihm das Modell nicht unter den Füßen weggezogen wird, was eher eine Frage von Lizenz und Laufzeit ist als von Fähigkeit. Der aktuelle kulturelle Fehler besteht darin, alle acht Sprossen in das Wort „open“ zu pressen und dann zu streiten, als gäbe es nur einen Hebel, den man hebt oder senkt.
Eine frei weitergebbare Undurchsichtigkeit
Aus dieser Kompression entsteht ein zweites, fast sprachliches Missverständnis, das inzwischen selbst die allgemeine Presse zu Richtigstellungen zwingt. Sehr viele Modelle, die als Open Source beschrieben werden, sind in Wahrheit Open Weight: Man kann die Parameter herunterladen, kennt aber weder den Datensatz noch die vollständige Trainingspipeline, noch die Filter, die Annotationsverfahren, die Produktionsbedingungen. Die Open Source Initiative hat mit der Open Source AI Definition 1.0 versucht, Ordnung zu schaffen: Sie verlangt zusammen die Gewichte, den vollständigen Code zum Trainieren und Ausführen des Systems sowie Informationen über die Daten, die detailliert genug sind, dass eine fachkundige Person ein im Wesentlichen gleichwertiges System bauen könnte. Es ist ein Kompromiss, denn den Datensatz selbst verlangt sie nicht, und genau dafür haben die Free Software Foundation und die Software Freedom Conservancy sie kritisiert: Ohne die exakten Daten sei die Freiheit zur Veränderung nominell.
Das paradoxe Ergebnis ist, dass wir Modelle haben können, die in ihrer Fähigkeit zur Verbreitung sehr offen und in ihrer Fähigkeit, verstanden zu werden, viel weniger offen sind. Es ist fast die Umkehrung des Gründungsideals freier Software. Man kann das Objekt perfekt kopieren und nie rekonstruieren, wie es entstanden ist. Eine frei weitergebbare Undurchsichtigkeit.
Und es lohnt sich, daran zu erinnern, dass Offenheit auch in klassischer Software nie mit Prüfung zusammenfiel. Heartbleed hat 2014 gezeigt, dass eine Bibliothek, auf der das halbe Internet ruhte, von zwei Personen mit rund 2.000 Dollar Spenden im Jahr gepflegt wurde. XZ Utils hat 2024 gezeigt, dass eine geduldige Kampagne von fast drei Jahren, mit acht bösartigen Commits inmitten einer sehr langen Liste legitimer Beiträge und koordiniertem Druck von Scheinkonten auf einen erschöpften Maintainer, bis auf einen Schritt daran herankommen konnte, jeden SSH-Server der Welt zu kompromittieren. „Viele Augen“ war immer eine Aussage über die Möglichkeit, nie über die Praxis. Ich hatte das schon mit Blick auf die zehntausend geklonten Repositories vom Juni geschrieben: offen heißt inspizierbar, nicht inspiziert. Für Gewichte gilt es unverändert, mit einem erschwerenden Umstand: Ein Modell zu inspizieren ist ungleich teurer, als die geänderten Zeilen eines Commits nachzulesen, und die Menschen, die es weltweit ernsthaft können, zählt man in Hunderten.
Der Präzedenzfall, den wir längst erfunden haben
Es gibt in unserer Kultur bereits eine Einrichtung, die ein Problem derselben Form löst, und gebaut haben sie wir, die Sicherheitsleute.
Nehmen wir eine Zero-Day-Schwachstelle. Wir sind normalerweise für Offenlegung, weil öffentliches Wissen den Hersteller zur Korrektur zwingt, den Nutzern erlaubt, sich zu schützen, und kollektives Wissen schafft. Und doch behauptet kaum eine ernsthafte Sicherheitsgemeinschaft, das moralische Maximum bestehe darin, sofort eine funktionierende Exploit-Kette gegen kritische Infrastruktur zu veröffentlichen, bevor ein Patch existiert. Responsible Disclosure führt Zeit, Kontext, Koordination und Abstufung ein, ohne den grundlegenden Wert der Offenheit zu bestreiten. Niemand hat sie je als Verrat an der Transparenz betrachtet. Im Gegenteil: Sie ist die Transparenz, die gelernt hat, sich zu handhaben.
Vielleicht wird die Zukunft der offenen KI weniger der gleichzeitigen Veröffentlichung eines Repositories ähneln als der koordinierten Offenlegung: maximale Offenheit als Grundziel, aber die Möglichkeit, Zeitpunkte und Modalitäten zu differenzieren, wenn bestimmte Fähigkeiten konkret messbare Schwellen überschreiten. Das ist, jetzt noch einmal gelesen, genau der Kalender vom 14. August. Zwei Wochen Verzug bei den Gewichten, verifizierter Zugang bei den sensibelsten Funktionen, ein Register mit den Hashes der noch unter Embargo stehenden Funde. Ich sage nicht, dass Z.ai die richtige Formel gefunden hätte, und auch nicht, dass seine Beweggründe die erklärten sind; ein Regime verifizierten Zugangs, verwaltet von einem Unternehmen unter einer nichteuropäischen Rechtsordnung, wirft ganz eigene Probleme auf. Ich sage, dass die Form längst erfunden ist, und dass sie unsere ist.
Wer was darf
An diesem Punkt lässt sich die regulatorische Frage nützlich stellen. Nicht „wie hindern wir böse Menschen daran, mächtige Modelle zu haben“, was unrealistisch ist und geradewegs zu Überwachung und zentraler Kontrolle führt, also zum Verlust genau dessen, was wir schützen wollten. Sondern: Welche Verteilung technologischer Macht maximiert gleichzeitig Autonomie, Überprüfbarkeit, Verteidigungsfähigkeit und Verantwortlichkeit?
Diese Werte fallen nicht zusammen. Transparenz maximiert die Überprüfbarkeit. Open Weight maximiert die Replizierbarkeit. Lokale Ausführung maximiert die Autonomie. Bedingter Zugang kann die Verantwortlichkeit erhöhen, weil er jemanden schafft, den man zur Rechenschaft ziehen kann. Zentralisierung erlaubt Widerruf und Überwachung, und deshalb ist sie gefährlich. Dezentralisierung senkt Lock-in und Monopolmissbrauch, und deshalb ist sie kostbar. Es gibt keinen Punkt, der alles maximiert, und das Gegenteil zu behaupten ist Propaganda, aus welcher Richtung sie auch kommt. Es ist genau der Typ von Problem, bei dem gute Regulierung keine universelle Wahrheit suchen sollte, sondern ausdrückliche, als solche deklarierte lokale Kompromisse baut.
Das führt zur radikaleren These, und ich formuliere sie ganz: „Open Source“ sollte keine binäre Eigenschaft mehr sein, die man dem Modell zuschreibt, sondern eine Architektur der Rechte rund um das Modell. Wer darf es inspizieren. Wer darf es bewerten. Wer darf es ausführen. Wer darf es verändern. Wer darf es weitergeben. Wer darf ihm die Kontrollen entfernen. Wer darf es an Werkzeuge anschließen, die in der Welt handeln. Wer trägt die Verantwortung, wenn diese Fähigkeiten genutzt werden. Diese Fragen sind unendlich nützlicher als „ist es open?“, und sie haben den Vorzug, sich allesamt in einen Vertrag, eine Lizenz oder ein Gesetz schreiben zu lassen, was ja unser Handwerk ist.
Der Cyberbereich zwingt uns, das vor den anderen Feldern zu begreifen, weil er sofort sichtbar macht, was anderswo abstrakt bleibt: Man kann es messen, zählen, reproduzieren. Aber ein biomedizinisches Modell, das ein gefährliches Molekül vorschlagen kann, wirft dasselbe Problem auf. Ein System, das den Entwurf von Drohnen optimiert, wirft es auf. Ein Agent, der eigenständig an Märkten operiert, wirft es auf. Der Cyberbereich ist schlicht das Labor, in dem die Spannung zuerst offenkundig wird, und darum der Ort, an dem man jetzt Fehler machen sollte, solange sie sich noch einzelne Schwachstelle für einzelne Schwachstelle zählen lassen.
Die Schlacht, die kommt
Das Problem ist nicht, dass Open Source aufgehört hätte, ein Wert zu sein. Im Gegenteil: Es ist so wichtig geworden, dass wir es uns nicht mehr leisten können, es als Slogan zu benutzen.
Dreißig Jahre lang haben wir die Offenheit verteidigt, weil sie verhinderte, dass jemand technologische Macht einseitig besitzt, und diese Intuition gilt Wort für Wort weiter. Aber wenn das offene Objekt nicht mehr nur ein Werkzeug ist, das ich studieren kann, sondern eine Allzweckmaschine, die Wissen in Handlung verwandeln kann, hören die Freiheit, sie zu inspizieren, und die Freiheit, jede ihrer Fähigkeiten grenzenlos zu vervielfältigen, auf, automatisch dasselbe Recht zu sein. Das anzuerkennen heißt nicht, vor dem proprietären Gehege zu kapitulieren. Es ist der einzige Weg, europäisches Open Source zu verteidigen, ohne es in ein Dogma zu verwandeln, das nicht zugeben kann, dass manche technologischen Objekte unter unseren Händen ihre Natur geändert haben, während wir sie weiter beim selben Namen nannten.
Die nächste Schlacht wird nicht darin bestehen zu entscheiden, ob wir die künstliche Intelligenz öffnen oder schließen. Sie wird darin bestehen zu entscheiden, welche Formen von Offenheit die Verteilung der Macht wirklich bewahren, ohne die Verteilung der Macht in die unverantwortliche Verteilung der Schadensfähigkeit zu verwandeln. Und der Aufschlagpunkt ist politisch, nicht technisch: Souveränität heißt nicht, mit einer Technologie alles Beliebige tun zu können. Sie heißt, nicht gezwungen zu sein, jemand anderen um Erlaubnis zu fragen, um zu verstehen, zu steuern und zu entscheiden, was diese Technologie in unserer Gesellschaft tun darf.
Am 14. August hat ein Labor diese Frage an alle verschickt, in Form eines Kalenders. In zwei Wochen sind die Gewichte online, und der Teil, auf den es ankommt, wird nicht sein, wie gut das Modell ist. Er wird sein, ob wir ein Vokabular haben, um zu sagen, was wir gerade bekommen haben.
Was du mitnimmst
Am 14. August hat Z.ai GLM-5.3 mit einem behaupteten Sprung bei Cyberfähigkeiten angekündigt, 84,5 % auf CyberGym und einen mehr als verdoppelten ExploitBench, die offensiven Funktionen hinter einem Programm für verifizierten Zugang gehalten und die Veröffentlichung der Gewichte um rund zwei Wochen verschoben, also jener Zahlen, mit denen jeder das Modell herunterladen und selbst ausführen kann, bis eine Sicherheitsbewertung abgeschlossen ist. Die Benchmarks sind Herstellerangaben, aber die Form der Veröffentlichung ist eine Tatsache: abgestufte Offenheit, kein Schalter.
In klassischer Software sind das Recht zu inspizieren und das Recht zu kopieren untrennbar. Bei Modellen zerfallen sie in mindestens drei eigenständige Rechte: zu wissen, wie es gebaut wurde, seine Fähigkeiten unabhängig zu bewerten, eine unbegrenzt veränderbare Kopie der Gewichte zu besitzen. Wir haben sie als eine einzige Freiheit behandelt. Das sind sie nicht.
Das Argument der Unumkehrbarkeit ist mehr als interessengeleitete Rhetorik: Jenes Training aus Llama 3 8B zu löschen, das dem Modell beibringt, gefährliche Anfragen abzulehnen, dauert fünf Minuten auf einer Grafikkarte A100 und kostet weniger als einen halben Dollar, und die Verweigerungsrate eines Modells fällt mit einem leichten Nachtraining für unter 200 Dollar von 78,9 % auf 0,4 %. Der Schutzmechanismus reist nicht mit den Gewichten. Dass dies denen entgegenkommt, die Zugang über API verkaufen, ist genauso wahr und macht die Zahlen nicht weniger exakt.
Europa hat bereits zweimal aufgeschrieben, dass offen keine Befreiung ist: Artikel 53 des AI Act nimmt Modelle unter freier Lizenz von einem Teil der Dokumentation aus, aber nicht von den Pflichten des Artikels 55, sobald systemisches Risiko vorliegt, und Artikel 24 des CRA gibt Open-Source-Stewards ein erleichtertes Regime, nicht die Abwesenheit von Pflichten. Der Blick gilt der Fähigkeit und den Wirkungen, nicht allein der Lizenz.
Die nützliche Frage lautet nicht „ist es open?“, sondern wer es inspizieren, bewerten, ausführen, verändern, weitergeben, seiner Kontrollen entkleiden und an handlungsfähige Werkzeuge anschließen darf, und wer haftet, wenn das geschieht. Souveränität heißt nicht, mit einer Technologie alles tun zu können. Sie heißt, niemanden um Erlaubnis fragen zu müssen, um zu verstehen, zu steuern und zu entscheiden, was diese Technologie bei uns tun darf.
Fragen & Antworten
Was unterscheidet ein Open-Weight-Modell von Open-Source-Software?
Open-Source-Software verteilt Anweisungen: Um eine neue Fähigkeit zu erhalten, muss man sie lesen, verändern oder ergänzen, und der Quellcode von nginx enthält nicht implizit Tausende Programme, die erscheinen, wenn man danach fragt. Ein Open-Weight-Modell verteilt gelernte Fähigkeit in komprimierter Form: Die Gewichte, also die Zahlen, in denen das Gelernte des Modells abgelegt ist, können Verfahren hervorbringen, die niemand je in einer Quelldatei geschrieben hat und die der Hersteller selbst nur empirisch kennt, über Evaluierungen. Es sind zwei verschiedene Objekte unter einem Wort, und der Unterschied zählt vor allem dann, wenn das Modell an Shells, Browser, Compiler und Scanner angeschlossen wird.
Würde ein Verbot der leistungsfähigsten Open-Weight-Modelle die Verbreitung verringern?
Wahrscheinlich nicht, und das ist der ernsteste Grund, es nicht zu versuchen. Eine sehr restriktive westliche Politik riskiert, nur zu garantieren, dass die leistungsfähigsten offenen Modelle anderswo entstehen: GLM-5.3, am 14. August 2026 von Z.ai mit behaupteter Spitzenleistung beim Auffinden von Schwachstellen angekündigt, macht das weniger hypothetisch. Es geht nicht darum, die Existenz der Fähigkeit zu verhindern, denn sie verbreitet sich ohnehin, sondern darum zu entscheiden, welche Formen von Offenheit die Verteilung der Macht tatsächlich bewahren.
Bleiben Schutzmechanismen in einem Modell mit öffentlichen Gewichten wirksam?
Nein, und zwar nicht wegen schwacher Technik, sondern wegen der Kosten. Die verfügbare Forschung zeigt, dass das Entfernen des Sicherheits-Fine-Tunings, also jenes zusätzlichen Trainings, das dem Modell das Neinsagen beibringt, aus Llama 3 8B rund fünf Minuten auf einer einzelnen Grafikkarte A100 dauert und weniger als einen halben Dollar kostet, beim Modell mit 70 Milliarden Parametern rund 45 Minuten. Mit LoRA, einer Technik des leichten Nachtrainings, und unter 200 Dollar fiel die Verweigerungsrate von Llama 2-Chat 70B von 78,9 % auf 0,4 %. Der Aufwand sank von Hunderten GPU-Stunden im Jahr 2022 auf Minuten im Jahr 2024. Wer Gewichte veröffentlicht, veröffentlicht das Modell ohne seine Kontrollen, unabhängig von seinen Absichten.
Nimmt der AI Act Open-Source-Modelle von den Pflichten aus?
Nur teilweise, und nie bei systemischem Risiko. Artikel 53 befreit Anbieter von GPAI-Modellen, also Modellen mit allgemeinem Verwendungszweck, unter freier und offener Lizenz von der technischen Dokumentation, von der Dokumentation für nachgelagerte Anbieter und von der Benennung eines Bevollmächtigten, nicht aber von der Urheberrechts-Policy und nicht von der hinreichend detaillierten Zusammenfassung der Trainingsdaten. Und die Befreiung entfällt für Modelle, die als GPAI mit systemischem Risiko eingestuft sind: Für sie gelten weiterhin die Bewertungs- und Minderungspflichten des Artikels 55. Die Leitlinien der Kommission vom 18. Juli 2025 ergänzen, dass die Ausnahme nur greift, wenn die Lizenz Zugang, Nutzung, Veränderung und Weitergabe tatsächlich erlaubt, Gewichte eingeschlossen.
Was bedeutet digitale Souveränität über ein Modell dann konkret?
Nicht, eine uneingeschränkte Kopie zu besitzen. Es bedeutet, nicht vom willkürlichen Willen eines anderen Akteurs abzuhängen, und das sind zwei verschiedene Dinge. Ein Modell, das nur über eine einzige ausländische API erreichbar ist, ist eine offensichtliche Abhängigkeit. Aber auch ein europäisches Ökosystem, das fremde Gewichte herunterlädt, ohne über Rechenleistung, Kompetenzen, Datensätze sowie Nachtrainings- und Evaluierungsfähigkeit zu verfügen, ist nicht souverän: Es hat lediglich den Akteur gewechselt, von dem es abhängt. Open Weight ist ein Bestandteil der Souveränität, nicht die Souveränität selbst.
Der Autor
