开放权重模型 GLM 5.3 无人干预 48 小时内构建出 Firefox 完整攻击链

Epoch AI 的研究人员展示了一个免费可用的 AI 模型，它可以利用安全补丁公开与交付之间的时间差来攻击 Firefox 用户。每次利用的成本约为 1,000 美元。

“补丁间隙”是指安全修复已在代码中可见但尚未送达用户的窗口期。Epoch AI 的研究人员发现，中国的开放权重模型 GLM 5.3 利用 9 月 17 日至 10 月 26 日期间发布的 6 个 Firefox 版本中的这一间隙发动攻击，每次成功攻击的 API 费用约为 1,000 美元。Anthropic 此前曾报告称，GLM 5.3 编写漏洞利用代码的水平与 Mythos 大致相当。

在测试中，该模型构建了一个网页，当 Firefox 用户加载该页面时，它能够读取访客计算机上的本地文件并将其发送到攻击者的服务器。Firefox 拥有超过 2 亿活跃用户，攻击者本可借此获取保存的密码、身份验证 cookie 和私密文档。

当研究人员使用 GLM 5.3 开发漏洞利用代码时，无论是 Z.ai 还是其他 API 提供商，都没有触发任何安全护栏或拒绝响应。尽管研究人员将该任务包装成一次安全演习，但他们形容自己的行为“与试图攻击真实用户的人的行为无法区分”。

该模型在无人工干预的情况下构建了完整的漏洞利用链

研究人员表示，他们特意设计了实验环境，以模拟资源有限的低技能攻击者所能达到的效果。他们在离线环境中提供了目标 Firefox 版本、基础工具和公开可得的信息。在收到调查补丁间隙的基本指令后，该模型便自主工作，识别即将发布的安全修复、挑选漏洞，并构建多阶段漏洞利用链。

根据报告，Firefox 的安全修复会被伪装成例行改进，以拖慢攻击者的脚步。GLM 5.3 识破了这一策略，仍然识别出了哪些代码改动与安全相关。

在其中一例中，该模型通过一个即将发布的修复发现了一个内存安全漏洞，并开发出读取和修改浏览器内存的方法。当 Firefox 的安全层阻止了对目标文件的访问时，该模型将初始漏洞利用与多个额外阶段串联起来，绕过了剩余的防御。最快的成功攻击耗时 12 小时，而研究人员给模型设定的最长时间上限为 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 都依赖一个此前未知的漏洞，该模型在每次尝试中都独立地重新发现了这一漏洞，从而能够绕过浏览器的沙箱保护并直接读取计算机上的文件。

该团队向 Mozilla 披露了其发现，Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。研究人员尚未确认类似的攻击是否对新版本依然有效，但他们怀疑该补丁会使这类攻击“至少变得相当困难”。

该团队用同样的设置和技术攻击 Google Chrome，在花费了约 10 万美元的 API 费用后，仍未能产出同等的漏洞利用。研究人员提醒，这并不能证明 Chrome 具有免疫力：更好的诱导方法或更强大的模型仍可能成功。他们指出，有限的基准测试数据表明，最近发布的 Kimi K3.1 Pro 在攻击性网络任务上可能优于 GLM 5.3，不过他们并未亲自测试。

每家软件厂商都面临同样的风险

补丁空窗期并非 Firefox 独有的问题。据 Epoch AI 的研究人员称，它存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目尤其容易受到影响，因为其所有代码都是公开的，但闭源软件同样存在漏洞。Anthropic 已经证明，其 Mythos 模型即使无法访问源代码，也能利用 Windows 中的补丁空窗期，而且 AI 模型在反编译已编译软件以自行识别安全修复方面的能力正稳步提升。

报告称，2026 年 9 月曾出现针对 Chrome 的补丁空窗期漏洞利用。同月，一家厂商在针对两个严重漏洞的协调补丁发布前六个多小时，就发布了已修复问题的 PHP 构建版本。研究人员引用外部报道称，这一提前发布可能导致在官方发布之前就出现了数千次漏洞利用尝试，而官方发布后该数字立即攀升至数百万。

该团队尤其关注用户不常更新的软件，例如路由器固件和移动操作系统，因为大多数用户在更长的时间内仍处于暴露状态。

更快的更新有所帮助，但无法弥合结构性差距

为降低风险，研究人员建议在安全修复准备好发布之前对其保密，并加快将其从测试版推向正式版的速度。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发人员避免同时修复多个可被链式组合利用的漏洞。

研究人员认为，仅让防御者使用更强大的闭源模型，本身并不能解决结构性问题。一旦修复出现在公开代码中，就会将攻击者引向潜在的漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志着 AI 网络能力的飞跃，各前沿实验室随即采取了限制访问的应对措施，并推出了 Glasswing 和 Daybreak 等项目，让防御者能够提前使用。

随着免费开放的开放权重模型日益强大，攻击能力正在扩散到任何单一守门人的控制范围之外。正如研究人员所写："我们将这些结果视为先进网络能力扩散的证据；许多其他软件可能已经容易受到类似的补丁空窗期攻击，而且我们预计，随着更强大的开放权重模型发布，这一数字还会增加。"

没有炒作的 AI 新闻 – 由真人精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期的独家「AI Radar」前沿报告、完整档案访问权限以及评论区的访问权限。