Epoch AI：开源权重模型 GLM 5.3 在 48 小时内零人工输入构建完整 Firefox 漏洞利用链

Epoch AI 的研究人员表明，一个可免费获取的 AI 模型能够利用安全补丁发布与推送之间的时间差攻击 Firefox 用户。每次利用的成本约为 1000 美元。

“补丁空窗期”是指安全修复已在代码中可见、但尚未推送到用户手中的时间窗口。Epoch AI 的研究人员发现，中国的开放权重模型 GLM 5.3 在 9 月 17 日至 10 月 26 日期间发布的 6 个 Firefox 版本上利用了该空窗期，每次成功攻击的 API 费用约为 1000 美元。Anthropic 此前曾报告称，GLM 5.3 编写漏洞利用的水平与 Mythos 大致相当。

在测试中，该模型构建了一个网页，可在 Firefox 用户加载页面的瞬间读取其计算机上的本地文件，并将其发送到攻击者的服务器。Firefox 活跃用户超过 2 亿，攻击者本可借此获取已保存的密码、身份验证 cookie 和私人文档。

当研究人员使用 GLM 5.3 开发漏洞利用时，Z.ai 及其他 API 提供商均未触发任何安全防护机制或拒绝响应。尽管研究人员将该任务设定为安全演练，但他们形容自己的行为“与试图针对真实用户的人无异”。

该模型在无人工输入的情况下构建了完整的漏洞利用链

研究人员表示，他们刻意将自己的环境设计成近似于资源有限的低技能攻击者所能达到的水平。他们在离线环境中提供了目标 Firefox 版本、基础工具和公开信息。在收到调查补丁空窗期的基础指令后，该模型自主工作，识别即将发布的安全修复、选择漏洞，并构建多阶段漏洞利用链。

据报道，Firefox 的安全修复会被伪装成常规改进，以拖慢攻击者的进度。GLM 5.3 识破了这一策略，仍然判断出哪些代码变更与安全相关。

在一个案例中，该模型通过一项即将发布的修复发现了一个内存安全漏洞，并开发出读取和修改浏览器内存的方法。当 Firefox 的安全层阻止访问目标文件时，该模型将初始漏洞利用与多个额外阶段串联起来，以绕过其余防御。最快的成功攻击耗时 12 小时，而研究人员给该模型的最长时间为 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 均依赖一个此前未知的漏洞，该模型在每次尝试中都独立重新发现了它，从而绕过浏览器的沙箱保护，直接从计算机读取文件。

该团队向 Mozilla 披露了其发现，Mozilla 已在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。研究人员尚未确认类似攻击是否对新版本有效，但他们怀疑该补丁使攻击“至少难度大幅增加”。

团队对 Google Chrome 采用相同的设置和技术，花费了约 10 万美元的 API 费用，却未能产出同等水平的漏洞利用。研究人员提醒，这并不能证明 Chrome 免疫：更好的诱导方法或更强的模型仍可能成功。他们指出，有限的基准数据表明，最近发布的 Kimi K3.1 Pro 在攻击性网络任务上可能优于 GLM 5.3，尽管他们并未亲自测试。

每个软件厂商都面临同样的风险

补丁差问题并非 Firefox 独有。据 Epoch AI 研究人员称，它存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目尤其暴露，因为其全部代码都是公开的，但闭源软件同样脆弱。Anthropic 已经证明，其 Mythos 模型无需访问源代码就能利用 Windows 中的补丁差，而 AI 模型在反编译已编译软件以自行识别安全修复方面的能力正稳步提升。

根据报告，补丁差漏洞利用在 2026 年 9 月针对了 Chrome。同月，一家厂商在两个关键漏洞的协调补丁发布前六个多小时就发布了修补后的 PHP 构建版本。研究人员援引外部报道指出，这一提前发布可能导致在官方发布前出现数千次漏洞利用尝试，而官方发布后立即升至数百万次。

团队尤其担心用户更新不频繁的软件，例如路由器固件和移动操作系统，因为大多数用户暴露的时间要长得多。

更快的更新有帮助，但无法弥合结构性差距

为降低风险，研究人员建议在安全修复准备好发布之前对其保密，并更快地将其从测试版转为正式版。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发者避免同时修补多个可被串联利用的漏洞。

研究人员认为，让防御者使用更强的闭源模型本身并不能解决结构性问题。一旦修复出现在公开代码中，就会把攻击者引向底层漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志着 AI 网络能力的飞跃，前沿实验室则以限制访问以及 Glasswing 和 Daybreak 等项目作为回应，让防御者提前获得访问权限。

随着可自由获取的开放权重模型能力越来越强，攻击能力正在扩散到任何单一守门人的控制之外。正如研究人员所写：“我们将这些结果视为先进网络能力扩散的证据；许多其他软件很可能已经容易受到类似的补丁差攻击，我们预计随着更多能力更强的开放权重模型发布，这一数字还会增加。”

没有炒作的 AI 新闻——由人类精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六次独家“AI Radar”前沿报告、完整档案访问以及评论区访问权限。