开源模型 GLM 5.3 不到 48 小时自主构建完整 Firefox 漏洞利用链

Epoch AI 的研究人员表明，一个可免费获取的 AI 模型能够利用安全补丁从发布到交付之间的时间差攻击 Firefox 用户。每次利用的成本约为 1000 美元。

“补丁空窗期”是指安全修复在代码中已可见、但尚未到达用户手中的那段窗口。Epoch AI 的研究人员发现，中国的开放权重模型 GLM 5.3在 9 月 17 日至 10 月 26 日期间发布的 6 个 Firefox 版本上利用了这段空窗期，每次成功攻击的 API 费用约为 1000 美元。Anthropic 此前曾报告称，GLM 5.3 编写漏洞利用的水平大致与 Mythos 相当。

在测试中，该模型构建了一个网页，可在 Firefox 用户加载该页面的瞬间读取其计算机上的本地文件，并将其发送到攻击者的服务器。Firefox 拥有超过 2 亿活跃用户，攻击者本可借此获取已保存的密码、身份验证 cookie 和私人文件。

当研究人员使用 GLM 5.3 开发漏洞利用时，Z.ai 及其他 API 提供商均未触发任何安全护栏或拒绝响应。尽管研究人员将这一任务设定为安全演练，但他们形容自己的行为“与试图攻击真实用户的人所做的并无二致”。

该模型在无人工输入的情况下构建了完整的漏洞利用链

研究人员表示，他们刻意将自己的环境设计成近似于一个资源有限、技能低下的攻击者所能达到的水平。他们在离线环境中提供了目标 Firefox 版本、基本工具和公开信息。在收到调查补丁空窗期的基本指令后，该模型自主工作，识别即将发布的安全修复、挑选漏洞，并构建多阶段漏洞利用链。

根据报告，Firefox 的安全修复会被伪装成常规改进，以拖慢攻击者的脚步。GLM 5.3 看穿了这一策略，仍然识别出了哪些代码变更是与安全相关的。

在一个案例中，该模型通过一个即将发布的修复发现了一个内存安全漏洞，并开发出一种读取和修改浏览器内存的方法。当 Firefox 的安全层阻止访问目标文件时，该模型将初始漏洞利用与多个额外阶段串联起来，以绕过剩余的防御。最快的成功攻击耗时 12 小时，而研究人员给该模型的最长时间为 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 都依赖一个此前未知的漏洞，该模型在每次尝试中都能独立重新发现它，从而绕过浏览器的沙箱保护，直接从计算机中读取文件。

该团队已将发现披露给 Mozilla，后者在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。研究人员尚未确认类似攻击是否对新版本有效，但他们怀疑该补丁使攻击“至少难度大幅增加”。

研究团队对 Google Chrome 采用相同的配置和技术，花费了约 10 万美元的 API 费用，却未能复现出同等水平的漏洞利用。研究人员提醒，这并不能说明 Chrome 免疫：更好的诱导方法或能力更强的模型仍可能成功。他们指出，有限的基准数据表明，最近发布的 Kimi K3.1 Pro 在攻击性网络任务上可能优于 GLM 5.3，不过他们并未亲自测试。

每个软件厂商都面临同样的风险

补丁缺口并非 Firefox 独有的问题。据 Epoch AI 研究人员称，这一问题存在于整个软件行业，涉及浏览器、移动操作系统和路由器固件。开源项目尤其容易暴露，因为其全部代码都是公开的，但闭源软件同样脆弱。Anthropic 已经证明，其 Mythos 模型无需访问源代码就能利用 Windows 中的补丁缺口，而 AI 模型在反编译已编译软件以自行识别安全修复方面的能力正稳步提升。

根据报告，补丁缺口漏洞利用在 2026 年 9 月针对了 Chrome。同月，一家厂商在两个严重漏洞的协调补丁发布前六个多小时就发布了修复后的 PHP 构建版本。研究人员援引外部报道指出，这一提前发布可能导致在官方发布前出现数千次漏洞利用尝试，而在官方发布后立即升至数百万次。

研究团队尤其担心用户不常更新的软件，例如路由器固件和移动操作系统，因为大多数用户暴露在风险中的时间要长得多。

更快的更新有帮助，但无法弥合结构性缺口

为降低风险，研究人员建议在准备发布之前对安全修复保密，并更快地将其从测试版转为正式版。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发者，当多个漏洞可以被串联利用时，避免同时修补这些漏洞。

研究人员认为，让防御方使用更强大的闭源模型本身并不能解决结构性问题。一旦修复出现在公开代码中，就会把攻击者引向底层漏洞。Anthropic 的 Claude Mythos 预览版标志着 2026 年 4 月 AI 网络能力的一次飞跃，前沿实验室则通过限制访问以及 Glasswing 和 Daybreak 等项目让防御方提前获得访问权限。

随着可免费获取的开放权重模型能力越来越强，攻击能力正在扩散，超出任何单一守门人的控制范围。正如研究人员所写：“我们将这些结果视为先进网络能力扩散的证据；许多其他软件很可能已经容易受到类似的补丁缺口攻击，而且我们预计，随着更多能力更强的开放权重模型发布，这一数量还会增加。”

没有炒作的 AI 新闻——由人类精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻简报、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。