Epoch AI：开源权重模型 GLM 5.3 在 48 小时内自主构建 Firefox 完整漏洞利用链

Epoch AI 研究人员测试了中国开源权重模型 GLM 5.3 在真实浏览器攻击场景中的能力。他们把目标 Firefox 版本、基础工具和公开信息放入离线环境，只给出调查补丁时间差的基本指令，模型便自主识别即将发布的安全修复、挑选漏洞并构建多阶段利用链。所谓补丁时间差，指安全修复已出现在代码中但尚未推送到用户的窗口期。测试覆盖 2026 年 9 月 17 日至 10 月 26 日发布的 6 个 Firefox 版本，每次成功攻击的 API 费用约 1000 美元，最快一次耗时 12 小时，研究上限为 48 小时。 在一次攻击中，模型构建的网页可在 Firefox 用户加载页面时读取本地文件并发送到攻击者服务器。Firefox 活跃用户超过 2 亿，攻击者可能借此获取保存的密码、认证 cookie 和私人文档。研究人员称，使用 GLM 5.3 开发漏洞利用时，Z.ai 及其他 API 提供方均未触发安全护栏或拒绝。他们强调，尽管任务被设定为安全演练，其操作与针对真实用户的攻击难以区分。 报告指出，Firefox 的安全修复通常伪装成常规改进以延缓攻击者，但 GLM 5.3 仍识别出哪些代码变更与安全相关。模型曾通过一个即将发布的修复发现内存安全漏洞，并开发出读取和修改浏览器内存的方法；当 Firefox 安全层阻止访问目标文件时，模型将初始利用与多个额外阶段串联以绕过剩余防御。所有针对当前 Firefox 版本的成功攻击都依赖一个此前未知的漏洞，模型在每次尝试中独立重新发现该漏洞，从而绕过沙箱保护直接读取本地文件。团队已向 Mozilla 披露，该漏洞在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复；研究人员尚未确认类似攻击是否对新版本有效，但认为补丁至少会显著提高难度。 用同样设置攻击 Google Chrome 时，团队花费约 10 万美元 API 费用也未产出等效利用。研究人员提醒，这不能说明 Chrome 免疫，更好的引导方法或更强模型仍可能成功；他们还提到有限的基准数据显示，近期公布的 Kimi K3.1 Pro 在攻击性网络任务上可能强于 GLM 5.3，但团队未自行测试。 研究人员认为补丁时间差并非 Firefox 独有，浏览器、移动操作系统和路由器固件等软件行业普遍存在，开源项目因代码全公开尤其暴露，闭源软件同样脆弱。Anthropic 此前已展示 Mythos 模型可在无源码情况下利用 Windows 的补丁时间差，AI 模型也在持续提升反编译已编译软件以自行识别安全修复的能力。报告提到，2026 年 9 月出现针对 Chrome 的补丁时间差利用；同月某厂商在两个关键漏洞协调发布前六个多小时放出已修补的 PHP 构建，研究人员引用外部报道称，这可能助推了官方发布前的数千次利用尝试，发布后数量迅速升至数百万。团队尤其担心路由器固件和移动操作系统等用户更新不频繁的软件，因为多数用户暴露时间更长。 为降低风险，研究人员建议在准备发布前保持安全修复私有，并加快从测试版到正式版的推送，Firefox 和 Chrome 已开始每周更新。他们还建议开发者避免同时修补可被串联利用的多个漏洞。研究人员认为，仅让防御方使用更强的闭源模型并不能解决结构性问题，因为修复一旦出现在公开代码中就会指向底层漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志 AI 网络能力跃升，前沿实验室随后以受限访问和 Glasswing、Daybreak 等项目让防御方提前获取能力。随着免费开源权重模型能力增强，攻击能力正扩散到任何单一守门人控制之外。研究人员写道，这些结果证明高级网络能力正在扩散，许多其他软件可能已易受类似补丁时间差攻击，且随着更强开源权重模型发布，数量预计…