Ox Alpha: Was das Stealth-Modell konnte, wer dahintersteckte und was Unternehmen vorher klären müssen

Am 20. August 2026 erschien auf OpenRouter ein Modell mit einem Kontextfenster von einer Million Token, das Text, Bilder und Video verarbeitete, nichts kostete und niemandem gehörte, den man hätte benennen können. Es hieß Ox Alpha. Für Entwickler war das ein Geschenk. Für ein Unternehmen mit Datenschutzpflichten war es eine Frage, die vor dem ersten Prompt beantwortet gehörte, und die Antwort stand in einem einzigen Satz, den die meisten überlasen.

Ox Alpha war GLM-5.3-Flash. Z.ai hat das Modell am 26. August 2026 veröffentlicht und dabei angegeben, es sei zuvor unter diesem Decknamen als Vorschau gelaufen. Die OpenRouter-Modellseite beantwortet die Frage unmittelbar: Das Stealth-Modell Ox Alpha habe sich als Z.ais neues Modell GLM-5.3 Flash herausgestellt. Es ist ein Mixture-of-Experts mit 320 Milliarden Parametern, davon 18 Milliarden aktiv, nativ multimodal, und die Gewichte liegen auf Hugging Face unter der MIT-Lizenz.

Unsere Einschätzung vom 22. August war zur Hälfte richtig, und gehalten hat die umstrittene Hälfte: Die GLM-Grundlage stimmte, die Zuordnung zu Cursors Composer war falsch. Sie fiel genau an der Bedingung, die wir vorab benannt hatten: Das Modell erschien unter dem Namen eines Labors ohne zugehöriges Editor-Produkt. Wie wir zu der Einschätzung kamen und woran sie scheiterte, steht weiter unten.

Mit der Auflösung fiel für Unternehmen das Hindernis aus dem Datenschutzabschnitt weiter unten weg: Ein Modell eines anonymen Anbieters konnte nicht Teil einer sauberen Verarbeitungskette werden, weil ein anonymer Anbieter kein benannter Auftragsverarbeiter sein kann. An seine Stelle trat eine Wahl mit drei rechtlich verschiedenen Antworten: die Schnittstelle von Z.ai in China, ein westlicher Anbieter mit denselben Gewichten oder der Betrieb im eigenen Haus. Die vollständige Einordnung steht in GLM-5.3-Flash: Was offene Gewichte ändern.

Was während der Vorschau belegt war

Alles in dieser Tabelle stammt von der Modellseite der Vorschau, nicht aus der Berichterstattung darüber. Diese Unterscheidung war hier wichtiger als sonst, denn fast alles andere, was während der Vorschau über dieses Modell geschrieben wurde, war Schlussfolgerung.

Als Einsatzzweck nannte das Listing Programmierarbeit, längere agentische Aufgaben und den produktiven Einsatz, also Aufgaben, die über Stunden laufen, nicht einzelne Fragen. In der Community kursierten Benchmark-Werte, teils schmeichelhafte, und dieser Beitrag gibt sie bewusst nicht als Tatsache wieder. Sie stammten aus Einzelläufen Dritter, nicht aus einer veröffentlichten Auswertung des Anbieters, aus dem einfachen Grund, dass es während der Vorschau keinen Anbieter gab, der eine hätte veröffentlichen können.

Wie sich ein Stealth-Modell sinnvoll testen lässt

Die Modell-ID der Vorschau lautete stealth/ox-alpha, und wie bei allen Modellen auf OpenRouter ist die Schnittstelle OpenAI-kompatibel. Praktisch heißt das: Bestehender Code braucht meist drei Änderungen und keine Umschreibung. Die Adresse zeigt auf OpenRouter, der Schlüssel wird ein OpenRouter-Schlüssel, der Modellname wird die ID des Modells. Nach der Auflösung am 26. August 2026 erschien das Modell auf OpenRouter als GLM-5.3-Flash.

Weil eine solche Vorschau nichts kostet, liegt der sinnvolle Einsatz genau bei den Tests, die man sonst aus Kostengründen unterlässt. Geben Sie dem Modell ein ganzes Projektarchiv und lassen Sie sich die Architektur zusammenfassen. Legen Sie ihm ein Lastenheft von zweihundert Seiten vor und lassen Sie die Widersprüche darin auflisten. Übergeben Sie ein langes Video und fragen Sie, was darin passiert. Das sind die Aufgaben, für die ein Fenster dieser Größe überhaupt gedacht ist, und zum Nulltarif zeigt sich, ob es tatsächlich nutzbar ist oder nur beworben wird.

Was dabei nicht hineingehört, steht im übernächsten Abschnitt, und es lohnt sich, ihn vor der ersten Anfrage zu lesen statt danach.

Fünf Theorien zur Herkunft, und welche stimmte

Das Raten, welches Labor hinter einem Stealth-Modell steckt, ist zu einem kleinen Sport geworden, und die Argumente sind interessanter als die Tipps. Der stärkste Anhaltspunkt, den man von außen gewinnen kann, ist der Tokenizer, also die Art, wie ein Modell Text in Bausteine zerlegt, bevor es ihn verarbeitet. Diese Entscheidung fällt früh im Training, sie hinterlässt einen messbaren Fingerabdruck, und sie lässt sich nur umständlich verbergen.

Bestätigt war während der Vorschau davon nichts, nur die Aussage von OpenRouter selbst: Der Anbieter möchte anonym bleiben. Die Auflösung am 26. August 2026 gab der ersten Theorie recht: Ox Alpha war GLM-5.3-Flash von Z.ai.

Meine Einschätzung vom 22. August: Composer 3 auf GLM-Grundlage

Weil ein solcher Beitrag mit einer Position nützlicher ist als ohne, habe ich mich am 22. August festgelegt, ausdrücklich als Einschätzung gekennzeichnet und nicht als Befund. Ich hielt die fünfte Theorie für die wahrscheinlichste: Ox Alpha sei Cursors nächste Composer-Generation, aufgebaut auf der GLM-Architektur und betrieben auf einer Infrastruktur, über die nur sehr wenige verfügen. Die GLM-Hälfte stimmte, die Composer-Hälfte nicht.

Drei Beobachtungen führten dorthin. Die erste: Die Spuren deuteten auf eine chinesische Architektur, während sich das Modell in anderer Hinsicht nicht wie ein rein chinesisches Produkt verhielt. Das schien kein Widerspruch, denn genau so sieht ein westliches Nachtraining auf einer offen veröffentlichten chinesischen Grundlage von außen aus. Die zweite: die Kapazität. Für die Vorschau kursierte eine Größenordnung von hundert Billionen Token pro Tag, im Englischen als hundert Trillionen bezeichnet. Ob diese Zahl exakt stimmte oder nicht, eine kostenlose Vorschau in Spitzenklasse setzte eine Auslieferungskapazität voraus, über die weltweit nur eine Handvoll Betreiber verfügt. Die dritte, und sie trug am meisten: Der Präzedenzfall war belegt. Cursor hat Composer 2 auf Kimi K2.5 aufgebaut, einem quelloffenen Modell des Pekinger Anbieters Moonshot AI. In der Ankündigung vom 19. März 2026 stand davon nichts. Aufgefallen ist es Mitarbeitern von Moonshot selbst, und erst am 21. März räumte Cursor es ein. Lee Robinson bezifferte die Grundlage auf etwa ein Viertel des Vortrainings, den Rest habe Cursor durch eigenes Nachtraining beigesteuert. Mitgründer Aman Sanger nannte es einen Fehler, die Kimi-Grundlage im Blogbeitrag nicht von Anfang an genannt zu haben, und kündigte an, das beim nächsten Modell besser zu machen.

Damit war das Muster nicht mehr hypothetisch, sondern vorgeführt: quelloffene chinesische Grundlage, westliches Nachtraining, ein Ergebnis, das sich weder eindeutig dem einen noch dem anderen zuordnen lässt. Genau das schienen die Beobachtungen an Ox Alpha zu beschreiben, und die Episode hätte erklärt, warum ein Nachfolger anonym erprobt würde: Wer für eine verschwiegene Modellgrundlage öffentlich kritisiert wurde, hat allen Anlass, das nächste Modell zunächst ohne Namensschild testen zu lassen. Im Nachhinein war die einfachere Erklärung die richtige: Ein GLM-naher Fingerabdruck stammte von einem GLM-Modell, und die zusätzliche Annahme einer stillen Zusammenarbeit zweier Organisationen war unnötig.

Die Bedingungen, unter denen die Einschätzung fallen würde, standen vorab fest, damit sie sich prüfen und nicht nur glauben lässt: Erschiene das Modell unter dem Namen eines Labors ohne zugehöriges Editor-Produkt, fiele der Composer-Teil. Zeigte ein technischer Bericht einen von Grund auf eigenen Tokenizer, fiele der GLM-Teil. Und stellte sich heraus, dass der Eigentümer eine eigene große Flotte ohne Partner betreibt, fiele das dritte Standbein mit. Erwartet hatte ich die Auflösung eher in Wochen als in Monaten; sie kam nach sechs Tagen und erfüllte die erste Bedingung: Z.ai veröffentlichte das Modell am 26. August 2026 unter eigenem Namen, ohne zugehöriges Editor-Produkt.

Warum überhaupt Absätze an ein Ratespiel wenden: weil die Antwort darüber entscheidet, wer Ihre Prompts gespeichert hat. Das ist keine Randnotiz. Das ist die Identität eines Auftragsverarbeiters, den Sie sonst in einem Vertrag benennen müssten.

Der Satz, auf den es für Unternehmen ankommt

Auf der Modellseite der Vorschau stand, zwischen den technischen Angaben und den Nutzungsbedingungen, dieser Satz: Prompts und Antworten werden vom Anbieter gespeichert und nicht für das Training verwendet. Die meisten hören bei der zweiten Hälfte auf und sind beruhigt. Folgen hat die erste.

Gespeichert ist gespeichert, unabhängig vom Zweck. Und wer speicherte, blieb während der Vorschau konstruktionsbedingt ungenannt. Aus diesen beiden Tatsachen zusammen wurden drei Anforderungen des europäischen Datenschutzrechts gleichzeitig unerfüllbar, nicht aus Nachlässigkeit irgendeines Beteiligten, sondern von der Anlage her. Das gilt für jedes Stealth-Modell, solange sein Anbieter ungenannt bleibt.

Das ist kein Argument gegen Stealth-Modelle, und es ist keine Behauptung, der Anbieter sei unseriös. Es ist eine Feststellung darüber, was Anonymität mit sich bringt: Eine Zusage ist so viel wert, wie sie sich durchsetzen lässt, und zur Durchsetzung gehört eine Anschrift. Ein Versprechen von jemandem, den Sie nicht benennen können, ist ein Versprechen, das Sie nicht verfolgen können.

Das realistische Risiko in einem mittelständischen Unternehmen ist nicht die überlegte Entscheidung für dieses Modell. Es ist, dass ein Entwickler an einem Freitag von einem kostenlosen Spitzenmodell liest, es zum Ausprobieren in einen Zweig einbaut und den Quellcode eines Kunden hineinkopiert, weil das der interessante Test ist. Entschieden hat niemand etwas. Draußen sind die Daten trotzdem.

Was bei Stealth-Modellen zu tun ist

• Sagen Sie Ja zum Test und sagen Sie, was hineindarf. Ein Verbot verlagert das Ausprobieren auf private Konten, wo Sie nichts mehr sehen. Erlauben Sie es ausdrücklich für erfundene und öffentliche Daten, und zwar in einem Satz statt in einer Richtlinie.
• Ziehen Sie die Grenze bei personenbezogenen und vertraulichen Daten, und benennen Sie sie konkret. Keine Kundendaten, keine Personaldaten, keine unveröffentlichten Verträge, kein Quellcode, der nicht ohnehin offen liegt. Konkret schlägt vollständig, vier Punkte merkt man sich.
• Prüfen Sie, ob es bei Ihnen bereits einen OpenRouter-Schlüssel gibt. Die interessante Frage ist nicht, ob das Modell freigegeben ist, sondern ob der Weg dorthin längst offen steht. Ein Schlüssel in einem Projektarchiv oder einer Entwicklungsumgebung beantwortet das schneller als eine Umfrage.
• Vermerken Sie den Vorschau-Status in Ihrer KI-Übersicht. Wenn Sie eine Liste der eingesetzten KI-Dienste führen, und nach dem AI Act ist das sinnvoll, dann gehört ein Modell mit ungenanntem Anbieter genau mit diesem Vermerk hinein. Das belegt, dass Sie hingesehen haben, statt es übersehen zu haben.
• Setzen Sie einen Wiedervorlagetermin statt einer Entscheidung. Die Identität taucht auf (bei Ox Alpha nach sechs Tagen), Vorschauen enden, und mit dem Namen ändern sich die Bedingungen. Ein Eintrag im Kalender ist mehr wert als ein Urteil auf halber Information.

Fazit

Ox Alpha war technisch bemerkenswert und zum Erproben wirklich brauchbar: eine Million Token Kontext, Video als Eingabe, während der Vorschau keine Rechnung. Meine Einschätzung zur Herkunft trug zur Hälfte: GLM-Grundlage ja, Composer nein. Unabhängig davon bleibt der betriebliche Punkt bestehen, für dieses wie für jedes künftige Stealth-Modell. Ein Modell mit anonymem Anbieter kann nicht Teil einer sauberen Verarbeitungskette werden, so gut es auch sein mag, denn ein Vertrag braucht einen Partner, und das Verzeichnis muss angeben, ob und in welches Drittland Daten übermittelt werden. Behandeln Sie es als das, was es ist, ein ausgezeichnetes Labor und kein Produktivsystem, sagen Sie Ihrem Team den Unterschied in einem Satz, und sehen Sie erneut hin, sobald der Name auftaucht. Wenn Sie wissen möchten, welche KI-Dienste in Ihrem Unternehmen tatsächlich im Einsatz sind und welche davon einer Prüfung standhielten, ist genau das der Zweck eines Erstgesprächs, und die praktische Seite steht in KI-Integration im Mittelstand.

Häufige Fragen zu Ox Alpha