Epoch AI：GLM 5.3 可利用补丁空窗期攻破多个 Firefox 版本

概述

GLM 5.3 是 Z.ai 于 8 月发布的一个广泛使用的开源权重模型，它可以利用已发布但尚未交付给用户的安全补丁来识别和利用最近版本的 Mozilla Firefox 浏览器中的漏洞。 发布补丁和用户收到补丁之间的时间差被称为 补丁差距。 在我们的实验中，GLM 5.3 利用这个差距构建了一个网页，当 Firefox 用户访问该网页时，会从用户的计算机读取文件并将其发送给攻击者，而无需用户进一步交互。 特别是，我们发现任何在 9 月 17 日至 10 月 26 日之间发布的 Firefox 版本都可以通过当时发布时可用信息的方式被这种方式利用。

补丁差距是软件发布实践中已知的弱点，它广泛存在于软件中，例如浏览器、手机操作系统和路由器固件。 利用它之前需要大量时间和专业知识，或者需要特殊访问具有先进网络能力的边界模型，因此很少有攻击者在漏洞被修复之前能够针对这些漏洞进行攻击。

我们的核心发现是，现在广泛使用的开源权重模型可以独立完成其中大部分甚至全部工作。 我们故意设计我们的设置来模拟一个相对不成熟的角色在有限资源下可以实现的成果，仅使用每个版本发布时可用信息。 一旦设置完成，成功攻击每个 Firefox 版本的成本只需约 1000 美元。

在我们对最近 Firefox 版本的利用中，GLM 5.3 还发现并利用了一个未公开的漏洞，并结合通过补丁差距发现的漏洞。 我们联系了 Mozilla 团队以披露我们的发现并讨论缓解这些攻击的方法。 Mozilla 自那以后发布了一个新的 Firefox 版本（159.0，于 2026 年 10 月 27 日发布），该版本修复了之前未公开的漏洞，这应该会使 GLM 5.3 通过补丁差距利用 Firefox 变得更加困难。

开源项目特别容易受到这种攻击，因为它们的代码是公开的，但我们怀疑任何在模型可以在发布前找到即将发布的安全更改内容的软件项目都是易受攻击的，包括闭源项目。¹ 我们预计随着开源权重网络能力的持续改进，这种威胁向量将会恶化。

我们对 Firefox 的实验进一步发现：

• GLM 5.3 尽管存在现有对策，还是利用了补丁差距。 为了减缓潜在的攻击者，已发布的安全补丁被伪装成普通改进，并不披露底层漏洞的详细信息。GLM 5.3 能够读取代码并确定哪些更改与安全补丁相关。
• 我们演示的利用类型可能非常严重。 我们使用 GLM 5.3 创建了一个网站，当 Firefox 用户访问该网站时，无需进一步交互，攻击者就能获得从用户计算机中提取文件的能力。Firefox 拥有超过 2 亿活跃用户，这种利用可能被用来读取浏览器中存储的密码、窃取身份验证饼干或查看用户计算机上的其他私人信息。
• 我们使用GLM 5.3这种方式时，没有触发任何提供商（包括Z.ai）的安全保护或拒绝。我们将任务视为一次安全演练，但我们的行为与真实攻击者的行为无法区分。
• 截至本文撰写时，针对Google Chrome的类似攻击尚未成功。我们并不认为这足以证明攻击不可能通过更高级的诱导或使用更强大的开源权重模型（可能包括最近宣布的Kimi K3.1 Pro）来成功。

背景

2026年4月，Anthropic 发布了 Claude Mythos Preview，标志着 AI 网络安全能力的 重大飞跃。 自那以后，很明显前沿 AI 模型能够检测漏洞并在实际生产软件中制作复杂的利用方式。 Anthropic 最近展示了这一点，通过举例说明一个内部模型如何能够发现并利用广泛使用软件中的关键漏洞。

前沿AI实验室通过项目（如Glasswing和Daybreak）向一些防御者提供早期访问权限，并严格限制更广泛的访问。 这种策略旨在允许防御者在攻击者利用漏洞之前识别并修复漏洞。 然而，漏洞修复公开与它部署到相关软件的所有用户之间存在差距。 这种修复差距存在于两个地方：修复在发布给用户之前公开，以及用户在更新后继续运行旧软件。 在我们的研究中，我们专注于修复公开与它们普遍发布之间的差距。

软件的测试版本，开发人员使用它来测试代码并发现新引入的漏洞，是漏洞修复在普遍发布之前公开的一种机制。 测试版本通常比公开发布的用户基础更小，由愿意测试新功能和潜在不稳定功能的用户组成。 对于开源项目，信息更加广泛可用，因为整个代码库是公开的，即将到来的更改通常可以在测试或“夜间”代码分支中查看。

修复差距是一个已知的安全问题，但历史上利用它所需的时间和专业知识限制了能够这样做的人的数量（而且这种方式开发的漏洞的自然寿命有限，这意味着攻击者可能选择将注意力转移到其他地方）。 推进AI网络能力改变了这种计算。

尽管对最强大的前沿模型的无限制访问（没有网络安全护栏）受到严格控制，但开源权重模型广泛提供给任何人，不受限制。² 这种开放访问可以通过启用预先漏洞检测和事件响应来帮助网络安全防御者，特别是对于无法访问受限前沿模型的防御者。 虽然我们在这里关注一种进攻能力，但我们并不对开源权重模型将如何影响攻防平衡做出声明。

开源权重模型历史上一直无法可靠地利用补丁差距，但它们的能力正在 稳步提升。 为了看看这个限制是否仍然存在，我们测试了 2026 年 8 月发布的广泛使用的开源权重模型 GLM 5.3 是否可以利用补丁差距来攻击最近发布的 Firefox，这是一种拥有超过 2 亿活跃用户 的网络浏览器。

方法

我们让 GLM 5.3 创建一个网页，当 Firefox 用户访问该网页时，会读取他们系统上的本地文件。³ 这可以用来读取用户的私人文件，复制 Firefox 中存储的密码，并窃取身份验证 Cookie，允许攻击者以用户的名义登录一些在线服务。 我们选择这个目标，因为它反映了一种足以对用户造成实际损害的严重攻击。

我们向模型提供了用户计算机上的特定 Firefox 版本和一些基本工具，然后让它继续工作，直到它开发出成功的漏洞利用。 为了避免影响第三方，我们没有给模型提供互联网访问；相反，我们直接提供了我们认为它可能需要的公开信息。 我们只提供了目标版本发布时可用信息，因此模型无法使用后来发现的漏洞信息。

我们设计了环境，大致模拟了具有最少技术经验和标准开发工具的攻击者如果让模型在线运行，可以从模型中获取的内容。 我们通过 GLM 5.3 的第一方 API 和第三方 API 访问它，将任务视为一项安全练习。 尽管我们的行为与试图攻击真实用户的个人行为无法区分，但在任何时刻，我们的模型使用都没有受到限制，我们也未遇到任何拒绝。

超越基本指令以针对补丁差距（即，检查尚未合并到稳定版本中的错误修复），我们让模型自主运行，无需用户输入。 模型识别了即将到来的安全修复，选择了漏洞，并自行构建了一个复杂的利用链。

结果

GLM 5.3 成功针对 9 月 17 日至 10 月 26 日期间发布的所有六个 Firefox 版本发动了攻击⁴，仅使用了每个版本发布时可用信息。 访问模型构建的网页导致浏览器读取本地文件并将其内容发送到攻击者的服务器，无需进一步用户操作⁵。

这些攻击让模型花费了大量精力来开发。 在一种尝试中，GLM 5.3 使用即将发布的 Firefox 修复来识别一个内存安全漏洞，然后开发了一种读取和修改浏览器内存的方法，但 Firefox 的安全保护仍然阻止模型读取目标文件。 模型的最终攻击将初始利用与多个附加阶段组合起来，以绕过剩余的安全层。 模型诊断崩溃，放弃不成功的尝试，并迭代其方法，直到只需访问网站即可访问文件。 我们给了 GLM 5.3 最长 48 小时的时间来找到利用程序，但它的最快尝试只需要 12 小时。

除了通过补丁间隙发现的漏洞外，我们针对最新版 Firefox 的攻击还依赖于模型在每次尝试中重新发现的未公开漏洞。 这使其能够利用有限的浏览器控制权读取计算机文件。⁶ 我们将此漏洞分享给了 Mozilla，截至 10 月 27 日 Firefox 159.0 发布，该漏洞现已修复。 我们尚未确认在此补丁下，类似的攻击是否能在 159.0 上成功，但怀疑它应该会使事情至少变得困难得多。

我们针对 Firefox 的总研究支出超过 10 万美元的 API 成本，包括构建真实离线环境和初步测试的实验。 然而，一旦我们开发了我们的 harness 并将 GLM 5.3 指向正确的方向，利用浏览器就变得廉价且可靠。 在 API 定价下，我们对新版 Firefox 的边际攻击成本约为 1,000 美元，如果使用订阅账户，成本可能更低。

一个不关心让自主代理在互联网访问的情况下开发漏洞风险的攻击者，可以通过给模型不受限制的互联网访问来更便宜、更容易地复制我们的设置，而不是费力地将其在沙盒中离线运行。

在我们发现 GLM 5.3 攻击 Firefox 的能力后，我们决定评估类似的设置是否可以攻击 Google Chrome。 我们使用了相同的 harness 和技术，截至撰写本文时，尽管在尝试中花费了约 10 万美元的 API 成本，但我们仍然无法创建一个等效的漏洞。

Kimi K3.1 Pro 于 10 月 23 日通过第一方 API 访问发布，权重计划于 11 月初发布。 Kimi K3.1 Pro 没有参与我们的实验，但 有限的基准数据 表明它在攻击性网络任务上可能优于 GLM 5.3。 我们计划在未来在更广泛的各种软件上测试更高级的开源模型。

对其他软件的影响

补丁间隙攻击所需的条件在整个软件行业都很常见。 每当安全修复在到达用户之前可见时，攻击者都有机会将其逆向工程为漏洞。 在 2026 年 9 月，我们看到了针对 Chrome 的补丁间隙漏洞 攻击。 在同一个月，一个 供应商发布了 PHP 的补丁构建版本，比两个关键漏洞的协调发布时间提前了六个小时。 这些早期补丁可能导致了 在公开发布之前数千次攻击尝试（随后立即上升到数百万次）。

虽然 Firefox 和 Chromium 是开源的，但补丁间隙也使闭源软件面临风险。 Anthropic 证明 Mythos 能够 在没有项目代码公开的情况下利用 Windows 的补丁间隙。 我们没有明确测试 GLM 5.3 在闭源项目上利用补丁间隙的能力，但随着开源权重网络能力的持续改进，如果尚未实现，则很可能很快就会实现。 我们特别担心用户更新频率较低的软件，如路由器固件或手机操作系统，因为广泛的攻击可能造成严重后果，而且大多数用户有一个更长的漏洞窗口。

应对这一威胁可能需要缩短漏洞修复方案在公开后纳入常规发布之前的时间。 我们在两天内创建了漏洞利用程序，但其他攻击者可能更快。 仅仅为防御者提供更强大的封闭模型并不能解决根本性的结构问题；无论漏洞修复方案是如何发现的，公开修复本质上都会标明漏洞所在。 防御者有一些手段来减轻这些攻击，例如将安全修复方案保密直到它们准备发布，或者更快地从测试版发布到正式版。 Firefox和Google Chrome已经开始每周发布更新。 无论采取何种方法，一旦漏洞修复方案被发布在代码中，就应该假设攻击者会使用它来针对当前版本。 防御者应避免同时修复多个漏洞，如果它们可以串联在一起的话。

结论

GLM 5.3通过利用补丁差距，攻破了六个最新的Firefox版本。 我们使用了故意简单设置，尽管如此，该模型在没有人工输入的情况下可靠地构建了成功的漏洞利用程序，每个被攻破的Firefox版本的成本大约为千美元。 这些攻击依赖于一个关键的未公开漏洞，该漏洞现在已经得到修复，我们未能对Chrome实现类似的结果（但我们不认为这排除了使用更好的诱导或更强的开放权重模型成功进行类似攻击的可能性）。

我们认为这些结果证明了高级网络能力的扩散；许多其他软件很可能已经容易受到类似的补丁差距攻击，随着更多强大的开放权重模型的发布，我们预计这种情况将会增加。

附录：我们实验的安全措施

说明

1. AI模型在反编译软件方面变得非常擅长——将可执行程序转换回原始源代码。通过反编译即将发布的测试版，攻击者仍然可以在安全修复方案应用之前查看它们，即使代码不公开，补丁差距攻击也是可能的。Anthropic展示了Mythos能够在Windows上执行此操作，但我们尚未测试开放权重模型。

2. 即使模型创建者试图添加护栏或训练模型拒绝某些请求，通过公开发布权重，其他人可以创建‘被摧毁’的版本，这些版本将遵从任何请求，并且无需任何护栏运行。

3. 运行Ubuntu 26.04默认安全设置和从官方发布下载的Firefox。

4. 156.0, 156.0.1, 157.0, 157.0.1, 158.0, 158.0.1。较早的版本可能也存在漏洞，但我们在此之前没有系统地测试过。

5. 在成功读取文件后，我们尝试实现任意代码执行。截至写作时，我们最近发布的Firefox版本还没有实现代码执行成功。

6. 成功需要串联两个主要漏洞。补丁差距漏洞被用来在网页内容进程中实现代码执行，而单独的未公开漏洞允许攻击者绕过通常可以防止即使被攻破的渲染进程访问文件系统的沙盒保护。