Epoch AI 研究显示开放权重模型 GLM 5.3 可在48小时内自主构建 Firefox 完整利用链

Epoch AI 的研究人员表明，一款免费开放的 AI 模型可以利用安全补丁从发布到送达之间的时间差攻击 Firefox 用户。每次利用的成本约为 1,000 美元。

"补丁空窗期"是指安全修复已经在代码中可见但尚未送达用户的这段时间窗口。Epoch AI 的研究人员发现，中国的开源权重模型 GLM 5.3 利用这一空窗期攻击了 9 月 17 日至 10 月 26 日之间发布的 6 个 Firefox 版本，每次成功攻击的 API 费用约为 1,000 美元。Anthropic 此前曾报告称，GLM 5.3 编写漏洞利用代码的能力大致与 Mythos 相当。

在测试中，该模型构建了一个网页，只要 Firefox 用户加载该页面，它就能从访客的电脑读取本地文件并发送到攻击者的服务器。Firefox 拥有超过 2 亿活跃用户，攻击者本可以获取保存的密码、身份验证 Cookie 和私人文档。

当研究人员使用 GLM 5.3 开发漏洞利用代码时，Z.ai 和其他 API 提供商均未触发任何安全防护措施或拒绝行为。尽管研究人员将任务包装为安全演练，但他们描述自己的行为"与试图攻击真实用户的人无异"。

该模型在无人干预的情况下构建了完整的漏洞利用链

研究人员表示，他们刻意设计了实验环境，以模拟资源有限的低技能攻击者所能达到的效果。他们在离线环境中提供了目标 Firefox 版本、基础工具和公开可得的信息。在收到调查补丁空窗期的基本指令后，该模型自主运行，识别即将发布的安全修复、挑选漏洞，并构建多阶段的漏洞利用链。

根据报告，Firefox 的安全修复被伪装成常规改进，以拖慢攻击者的脚步。GLM 5.3 识破了这一策略，依然识别出哪些代码改动与安全相关。

在其中一例中，该模型通过一个即将发布的修复发现了内存安全漏洞，并开发出读取和篡改浏览器内存的方法。当 Firefox 的安全层阻止了对目标文件的访问时，该模型将初始漏洞利用与另外几个阶段串联起来，绕过了剩余的防御。最快的一次成功攻击耗时 12 小时，而研究人员给模型的最长时间为 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 都依赖一个此前未知的漏洞，该模型在每次尝试中都能独立重新发现这一漏洞，从而绕过浏览器的沙箱保护并直接从电脑读取文件。

该团队已向 Mozilla 披露了其发现，Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中修补了该漏洞。研究人员尚未确认类似的攻击是否对新版本依然有效，但他们怀疑该补丁使此类攻击"至少变得困难得多"。

团队使用相同的设置和技术攻击 Google Chrome，花费了约 10 万美元的 API 费用，却未能得到同等的漏洞利用。研究人员提醒，这并不能证明 Chrome 免疫：更好的引导方法或更强的模型仍可能成功。他们指出有限的基准测试数据表明，最近发布的 Kimi K3.1 Pro 在进攻性网络任务上可能超过 GLM 5.3，不过他们并未亲自测试。

每家软件厂商都面临同样的风险

补丁间隙并非 Firefox 独有的问题。据 Epoch AI 的研究人员称，这一问题存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目尤其容易暴露，因为其所有代码都是公开的，但闭源软件同样脆弱。Anthropic 已经证明，其 Mythos 模型无需访问源代码就能利用 Windows 的补丁间隙，而且 AI 模型反编译编译后的软件、自行识别安全修复的能力正稳步提升。

据报道，补丁间隙漏洞利用在 2026 年 9 月瞄准了 Chrome。同月，一家厂商比两个严重漏洞的协调补丁发布提前了六个多小时发布了修补后的 PHP 版本。研究人员援引外部报道称，这次提前发布可能导致了在官方发布之前出现数千次漏洞利用尝试，随后数量立即攀升至数百万。

团队尤其担心用户不常更新的软件，例如路由器固件和移动操作系统，因为大多数用户暴露的时间要长得多。

更快的更新有所帮助，但无法弥合结构性差距

为了降低风险，研究人员建议在安全修复准备好发布之前保持保密，并更快地将它们从 beta 阶段推进到正式发布。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发者避免同时修补多个可能被串联利用的漏洞。

研究人员认为，让防御者使用更强的闭源模型本身并不能解决结构性问题。一旦修复出现在公开代码中，就会把攻击者指向底层漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志着 AI 网络能力的飞跃，各前沿实验室随即采取限制访问的措施，并推出 Glasswing 和 Daybreak 等项目，让防御者提早获得访问权限。

随着免费开放的开源权重模型能力不断增强，进攻性能力正扩散到任何单一守门人的控制之外。正如研究人员所写："我们将这些结果视为先进网络能力扩散的证据；许多其他软件可能已经容易受到类似的补丁间隙攻击，而且我们预计，随着能力更强的开源权重模型的发布，这一数字还会增加。"

没有炒作的 AI 新闻 – 由真人精心筛选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期的独家 "AI Radar" 前沿报告、完整档案访问权限以及评论区的访问权限。