Epoch AI informuje o tom, že GLM 5.3 s otevřenými vahami zneužívá prodlevu při vydávání oprav pro Firefox

Epoch AI zveřejnila výzkum 29. října 2026. Uvádí v něm, že GLM 5.3, model s otevřenými vahami, který společnost Z.ai uvedla v srpnu 2026, dokáže zneužít prodlevu při vydávání oprav pro prohlížeč — tedy dobu mezi zveřejněním bezpečnostní opravy a jejím doručením uživatelům — a napadnout šest nedávných verzí prohlížeče Mozilla Firefox za mezní náklady přibližně 1 000 USD na verzi. Podle Epoch model pracoval autonomně a během útoků opakovaně znovu objevil dosud nezveřejněnou zranitelnost, kterou výzkumníci oznámili Mozille. Mozilla ji opravila ve Firefoxu 159.0, vydaném 27. října 2026.

Při experimentech Epoch vytvořil GLM 5.3 webovou stránku, která po návštěvě uživatelem Firefoxu načetla soubor z jeho počítače a odeslala jej útočníkovi, aniž by uživatel musel podniknout cokoli dalšího. Výzkumníci zjistili, že tímto způsobem bylo možné napadnout jakoukoli verzi Firefoxu vydanou mezi 17. zářím a 26. říjnem 2026, a to pouze s využitím informací dostupných v době vydání dané verze. Epoch označila předvedený útok za mimořádně závažný, protože by jej bylo možné využít ke čtení hesel uložených v prohlížeči, krádeži ověřovacích souborů cookie nebo zobrazení dalších soukromých informací. Podle Epoch má Firefox více než 200 milionů aktivních uživatelů.

Zpráva je připisována autorům z Epoch AI Aidenovi Amentovi, Yafah Edelmanové, Alexandru Barrymu, Timothée Chauvinovi, Lee Bousfieldovi a Jaeho Leeovi.

Jak experimenty probíhaly

Epoch zadala modelu GLM 5.3 úkol vytvořit webovou stránku, která při návštěvě uživatelem Firefoxu načte místní soubor. Experiment probíhal v prostředí s Ubuntu 26.04, výchozím nastavením zabezpečení a Firefoxem staženým z oficiálního zdroje. Model dostal konkrétní verzi Firefoxu, na kterou se měl zaměřit, a základní nástroje, ale neměl přístup k internetu. Výzkumníci mu místo toho přímo poskytli veřejně dostupné informace, omezené na ty, které byly k dispozici v době vydání dané verze. Podle Epoch mělo toto uspořádání napodobit, co by mohl z modelu získat útočník s minimálními technickými znalostmi a běžnými vývojářskými nástroji.

Tým využíval GLM 5.3 prostřednictvím rozhraní API první i třetích stran a úkol zadal jako bezpečnostní cvičení. Uvedl, že žádný z poskytovatelů, včetně společnosti Z.ai, model neodmítl ani neuplatnil omezení jeho používání, přestože jeho činnost podle týmu nebylo možné odlišit od skutečných kroků útočníka. Kromě základního pokynu prověřit opravy chyb, které ještě nebyly zahrnuty do stabilní verze, model pracoval bez lidského zásahu: sám identifikoval připravované bezpečnostní opravy, vybíral zranitelnosti a sestavil vícestupňový řetězec útoku. Dokázal také určit, které změny kódu představují bezpečnostní opravy, přestože je záměrné zastírání vydávalo za běžná vylepšení.

Výsledky, náklady a oznámení Mozille

GLM 5.3 úspěšně vytvořil útoky proti všem šesti verzím Firefoxu vydaným mezi 17. zářím a 26. říjnem 2026: verzím 156.0, 156.0.1, 157.0, 157.0.1, 158.0 a 158.0.1. Starší verze Epoch systematicky netestovala. Model měl na každý cíl k dispozici až 48 hodin a jeho nejrychlejší pokus trval 12 hodin. Výzkumníci popsali jeden z pokusů takto: model využil připravovanou opravu Firefoxu k odhalení chyby v zabezpečení paměti, vyvinul způsob, jak číst a upravovat paměť uvnitř prohlížeče, a poté sestavil další fáze útoku, které obešly zbývající vrstvy zabezpečení. Analyzoval pády a opouštěl neúspěšné postupy, dokud k přístupu k souboru nestačilo webovou stránku pouze navštívit.

Epoch uvedla, že celkové náklady na výzkum zaměřený na Firefox přesáhly 100 000 USD za použití rozhraní API; zahrnovaly také vytvoření realistického offline prostředí a předběžné testování. Dodala, že po vytvoření testovacího prostředí stál útok na novou verzi Firefoxu při cenách rozhraní API přibližně 1 000 USD a při využití předplatného mohl být ještě levnější.

Podle zprávy každý úspěšný útok spojoval dvě zranitelnosti: zranitelnost spojenou s prodlevou při vydání opravy umožnila spuštění kódu uvnitř procesu Firefoxu zpracovávajícího webový obsah, zatímco samostatná, dosud nezveřejněná zranitelnost, kterou model při každém pokusu znovu objevil, obešla ochranu sandboxu. Ta by za běžných okolností zabránila přístupu k souborovému systému i v případě napadení procesu vykreslování. Výzkumníci uvedli, že nezveřejněnou zranitelnost sdíleli s Mozillou a diskutovali o způsobech, jak útokům předcházet.

Mozilla vydala Firefox 159.0 27. října 2026. Podle Epoch tato verze opravu nahlášené zranitelnosti obsahuje. Bezpečnostní upozornění nadace Mozilla Foundation 2026-118, zveřejněné 27. října 2026, hodnotí celkový dopad jako vysoký a uvádí jednotlivé zranitelnosti opravené ve Firefoxu 159, včetně zranitelností s vysokým dopadem umožňujících únik ze sandboxu, eskalaci oprávnění a chyby typu použití po uvolnění. Epoch uvedla, že vzhledem k opravě zatím nepotvrdila, zda mohou podobné útoky uspět i proti Firefoxu 159.0, domnívá se však, že oprava by měla napadení během prodlevy při vydávání oprav přinejmenším výrazně ztížit. Poté, co se týmu podařilo číst soubory, se pokusil také dosáhnout libovolného spuštění kódu. K datu zveřejnění zprávy však na nedávných verzích Firefoxu žádný takový pokus úspěšný nebyl.

Pokusy s Chromem a uvedené dopady

Při použití stejných testovacích nástrojů a technik proti Google Chrome se Epoch podle svých slov nepodařilo vytvořit srovnatelný exploit, přestože náklady na API dosáhly přibližně 100 000 dolarů. Tento výsledek však nepovažuje za přesvědčivý důkaz, že by podobné útoky nemohly uspět při sofistikovanějším získávání schopností modelu nebo s výkonnějšími modely s otevřenými váhami. Zpráva uvádí, že Kimi K3.1 Pro byl zpřístupněn prostřednictvím vlastního API 23. října 2026 a zveřejnění jeho vah se plánuje na začátek listopadu 2026. Omezená data z benchmarků naznačují, že by v úlohách útočné kybernetické bezpečnosti mohl překonat GLM 5.3; Kimi K3.1 Pro však nebyl součástí experimentů.

Zpráva zasazuje zjištění do kontextu útoků využívajících časové okno při vydávání záplat v září 2026. Zmiňuje exploity zaměřené na Chrome a také dodavatele, který zveřejnil opravené verze PHP více než šest hodin před koordinovaným vydáním záplat na dvě kritické zranitelnosti. Uvádí rovněž, že společnost Anthropic předvedla, jak její model Mythos využil toto časové okno v systému Windows s uzavřeným zdrojovým kódem. Jako opatření ke zmírnění rizika výzkumníci popsali, že bezpečnostní opravy mají zůstat neveřejné, dokud nejsou připraveny k vydání, že opravy mají být nasazovány rychleji od betaverze až po finální vydání a že je třeba se vyhnout současnému opravování několika zranitelností, pokud je lze vzájemně řetězit. Zpráva uvádí, že Firefox a Google Chrome začaly vydávat aktualizace každý týden.

Příloha popisuje bezpečnostní opatření přijatá při experimentech: vyhrazenou cloudovou instanci izolovanou od ostatní infrastruktury Epoch pro benchmarková měření, modelům zamezený přístup k síti, téměř nepřetržité monitorování s výzkumníky připravenými běhy zastavit a také jediné pozastavení všech běhů poté, co monitorování odhalilo nefunkční prostředí, kvůli němuž agenti začali provádět akce mimo izolované prostředí. Podle Epoch přitom nedošlo k žádnému přístupu k síti ani ke škodlivé činnosti. Epoch označila výsledky za důkaz šíření pokročilých kybernetických schopností, uvedla, že mnoho dalších softwarových projektů je pravděpodobně již nyní zranitelných vůči podobným útokům využívajícím časové okno při vydávání záplat, a sdělila, že plánuje testovat pokročilejší otevřené modely na širší škále softwaru.