Epoch AI 实验：GLM 5.3 可借补丁空窗期自主攻破全部六个 Firefox 版本

Epoch AI 发布实验报告，测试开放权重模型能否利用软件补丁空窗期自主完成浏览器攻击。实验对象是 Z.ai 于 8 月发布、可公开获取的开放权重模型 GLM 5.3，攻击目标是 Mozilla 已发布但尚未推送给用户的安全修复所对应的漏洞。 攻击方式为：GLM 5.3 从已发布的安全修复中逆向推导出缺陷，构建一个网页，Firefox 用户访问后无需任何操作，页面即可读取访客电脑上的文件并发送给攻击者，还能获取浏览器保存的密码或身份验证 cookie。实验刻意模拟资源有限、水平不高的黑客，只使用每个版本发布时已有的信息。 成本与时间方面，针对 Firefox 的研究在 API 上总共花费超过 10 万美元，包括搭建逼真离线环境和前期测试；环境搭好后，成功攻击每个 Firefox 版本只需约 1000 美元计算成本。模型被给予最多 48 小时寻找利用方法，最快一次仅用 12 小时，最终攻破 9 月 17 日至 10 月 26 日期间发布的全部六个 Firefox 版本。 过程中模型需要多轮迭代：一次尝试中它发现 Firefox 即将修复一个内存缺陷并开发出读写浏览器内存的方法，但安全防护阻止其读取目标文件，于是把初始利用与多个后续阶段串联，诊断崩溃原因、放弃无效思路，直到仅访问网页即可读取文件。针对最新版 Firefox 的所有攻击都依赖把补丁空窗期漏洞与另一个未公开漏洞串联以绕过常规防护，该漏洞已分享给 Mozilla，并在 10 月 27 日的 Firefox 159.0 中修复。 实验未触发任何提供方防护机制或拒绝响应，包括 Z.ai；任务被包装成安全演练，但行为与真实攻击者无异。对 Google Chrome 的类似攻击未成功，尽管同样投入约 10 万美元算力，但报告认为这不能有力证明换用更强提示词或更强开放权重模型后攻击不会成功，并提到 Kimi K3.1 Pro 权重预计 11 月初发布。报告建议防御方缩短修复从公开到全面铺开的窗口，例如在准备就绪前对安全修复保密、加快从测试版到正式版的推进、避免一次性全部修补可能被串联利用的多个漏洞。