Epoch AI：开源权重模型 GLM 5.3 在 48 小时内零人工输入构建完整 Firefox 漏洞利用链

Epoch AI 的研究人员表明，一个免费提供的 AI 模型可以利用发布和交付安全补丁之间的时间差来攻击 Firefox 用户。每次利用的成本约为 1,000 美元。

The "补丁差距" 是安全修复在代码中可见但尚未到达用户之间的窗口。Epoch AI 的研究人员发现，中国开放权重模型 GLM 5.3 利用这个差距攻击了在 9 月 17 日至 10 月 26 日之间发布的 6 个 Firefox 版本，每次成功的攻击的 API 费用约为 1,000 美元。Anthropic 之前报告称 GLM 5.3 可以以与 Mythos 大致相同的水平编写利用程序。

在测试期间，该模型构建了一个网页，可以从访问者的计算机读取本地文件，并在 Firefox 用户加载页面时将它们发送到攻击者的服务器。拥有超过 2 亿活跃 Firefox 用户，攻击者可能已经获得了保存的密码、身份验证 cookie 和私人文件。

当研究人员使用 GLM 5.3 进行利用程序开发时，Z.ai 和其他 API 提供商没有触发任何安全护栏或拒绝。尽管研究人员将任务描述为一次安全练习，但他们将他们的行为描述为 "与试图针对真实用户的行为无法区分"。

该模型构建了完整的利用链，无需人工输入

研究人员说他们故意设计他们的设置来模拟一个技能有限且资源有限的低技能攻击者可能实现的结果。他们在离线环境中提供了目标 Firefox 版本、基本工具和公开信息。在收到基本指令调查补丁差距后，该模型自主工作，识别即将到来的安全修复，选择漏洞，并构建多阶段利用链。

根据报告，Firefox 安全修复被伪装成常规改进以减慢攻击者。GLM 5.3 看穿了这种策略并识别出哪些代码更改与安全相关。

在一种情况下，该模型通过即将到来的修复发现了一个内存安全漏洞并开发了一种读取和修改浏览器内存的方法。当 Firefox 的安全层阻止对目标文件的访问时，该模型将初始利用程序与几个附加阶段链接起来以绕过剩余的防御。最快的成功攻击耗时 12 小时，而研究人员给该模型最多 48 小时。

在所有针对当前 Firefox 版本的成功的攻击中，GLM 5.3 依赖于一个先前未知的漏洞，该模型在每次尝试中独立重新发现，使其能够绕过浏览器的沙盒保护并直接从计算机读取文件。

该团队将其发现告知了 Mozilla，Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。研究人员尚未确认类似的攻击是否适用于新版本，但他们怀疑补丁使它们 "至少大大更难"。

使用相同的设置和技术针对 Google Chrome，团队花费了大约 10 万美元的 API 费用，但没有产生等价的漏洞利用。研究人员警告说，这并不能证明 Chrome 的免疫力：更好的诱导方法或更强大的模型可能仍然成功。他们指出有限的基准数据表明，最近宣布的 Kimi K3.1 Pro 在攻击性网络任务上可能优于 GLM 5.3，尽管他们自己没有测试。

每个软件供应商都面临同样的风险

补丁差距不是 Firefox 独有的问题。根据 Epoch AI 研究人员的说法，它存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目尤其容易受到攻击，因为它们的所有代码都是公开的，但闭源软件也有漏洞。Anthropic 已经证明，即使没有源代码访问权限，其 Mythos 模型也能利用 Windows 的补丁差距，并且 AI 模型在反编译编译软件以自行识别安全修复方面正变得越来越擅长。

根据报告，补丁差距漏洞在 2026 年 9 月针对 Chrome。在同一个月，一个供应商在两个关键漏洞的协调发布之前六个小时发布了修复后的 PHP 构建版本。引用外部报道，研究人员指出，这次提前发布可能导致了官方发布之前数千次漏洞利用尝试，并且数量随后迅速增加到数百万。

该团队特别担心用户很少更新的软件，例如路由器固件和移动操作系统，因为大多数用户长时间暴露。

更快的更新有所帮助，但不能弥补结构性差距

为了降低风险，研究人员建议在安全修复准备就绪之前保持其私密性，并更快地将它们从测试版转移到正式版。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发人员在可以链式利用这些漏洞时，避免同时修复多个漏洞。

研究人员认为，仅向防御者提供更强大的闭源模型本身并不能解决结构性问题。一旦修复出现在公共代码中，它就会指向底层漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志着 AI 网络能力的飞跃，前沿实验室则通过限制访问和像 Glasswing 和 Daybreak 这样的项目，为防御者提供早期访问。

随着免费公开权重的模型变得越来越强大，攻击能力正在超越任何单一守门者的控制。正如研究人员所写的那样，"我们认为这些结果证明了先进网络能力的扩散；许多其他软件很可能已经容易受到类似的补丁差距攻击，并且随着更多强大的公开权重模型的发布，这种情况预计会增加。"

AI 新闻无炒作——由人类策划

订阅 THE DECODER 以获得无广告阅读、每周 AI 新闻简报、我们独有的 "AI 雷达" 前沿报告（每年六次）、完整存档访问以及访问我们的评论部分。