Epoch AI rapporterer, at GLM 5.3 med åbne vægte udnytter et hul mellem Firefox-opdateringer

Epoch AI offentliggjorde forskning den 29. oktober 2026, hvor organisationen rapporterede, at GLM 5.3, en model med åbne vægte, som Z.ai udgav i august 2026, kan udnytte tidsrummet mellem offentliggørelsen af en sikkerhedsrettelse og dens udrulning til brugerne til at kompromittere seks nyere udgaver af Mozilla Firefox til en marginalomkostning på omkring 1.000 dollars pr. version. Epoch oplyste, at modellen arbejdede autonomt og gentagne gange genopdagede en ikke-offentliggjort sårbarhed under angrebene. Forskerne indberettede sårbarheden til Mozilla, som rettede den i Firefox 159.0, der blev udgivet den 27. oktober 2026.

I Epochs eksperimenter oprettede GLM 5.3 en webside, der ved besøg af en Firefox-bruger læste en fil fra brugerens computer og sendte den til angriberen uden yderligere handling fra brugeren. Forskerne fandt, at enhver Firefox-version, der blev udgivet mellem den 17. september og den 26. oktober 2026, kunne kompromitteres på denne måde ved udelukkende at bruge oplysninger, der var tilgængelige på tidspunktet for den pågældende versions udgivelse. Epoch beskrev det demonstrerede angreb som ekstremt alvorligt, da det kunne bruges til at læse adgangskoder, der var gemt i browseren, stjæle godkendelsescookies eller se andre private oplysninger. Epoch anfører, at Firefox har mere end 200 millioner aktive brugere.

Rapporten er skrevet af Epoch AIs Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield og Jaeho Lee.

Sådan blev eksperimenterne gennemført

Epoch bad GLM 5.3 om at oprette en webside, der læser en lokal fil, når en Firefox-bruger besøger den. Opgaven blev udført i et miljø med Ubuntu 26.04, standardindstillinger for sikkerhed og Firefox hentet fra den officielle udgivelse. Modellen fik oplyst målets konkrete Firefox-version og adgang til grundlæggende værktøjer, men ikke til internettet; forskerne leverede i stedet offentligt tilgængelige oplysninger direkte, begrænset til det, der var tilgængeligt, da hver målversion blev udgivet. Epoch oplyste, at opsætningen skulle efterligne, hvad en angriber med minimal teknisk erfaring og almindelige udviklingsværktøjer kunne få modellen til at gøre.

Holdet fik adgang til GLM 5.3 via både førsteparts- og tredjeparts-API’er, og opgaven blev præsenteret som en sikkerhedsøvelse. De rapporterede, at ingen af udbyderne, herunder Z.ai, afslog opgaven eller indførte begrænsninger for brugen, selv om handlingerne ifølge holdet ellers ikke kunne skelnes fra en virkelig angribers. Modellen fik kun grundlæggende instruktioner om at undersøge fejlrettelser, der endnu ikke var indarbejdet i den stabile udgave, og arbejdede uden menneskelig indblanding: Den identificerede kommende sikkerhedsrettelser, udvalgte sårbarheder og sammensatte på egen hånd en udnyttelseskæde i flere trin. Det omfattede også at afgøre, hvilke kodeændringer der var sikkerhedsrettelser, selv om de gennem sløring fremstod som almindelige forbedringer.

Resultater, omkostninger og indberetningen til Mozilla

GLM 5.3 udviklede med held angreb mod alle seks Firefox-udgivelser fra den 17. september til den 26. oktober 2026: version 156.0, 156.0.1, 157.0, 157.0.1, 158.0 og 158.0.1. Epoch testede ikke systematisk tidligere udgivelser. Modellen fik op til 48 timer pr. mål, og det hurtigste forsøg tog 12 timer. Om et af forsøgene sagde forskerne, at modellen brugte en kommende Firefox-rettelse til at finde en hukommelsessikkerhedsfejl, udviklede en metode til at læse og ændre hukommelse inde i browseren og derefter sammensatte yderligere trin for at omgå de resterende sikkerhedslag. Den diagnosticerede nedbrud og opgav forgæves tilgange, indtil det var nok blot at besøge websiden for at få adgang til filen.

Epoch opgjorde sine samlede forskningsomkostninger ved arbejdet med at angribe Firefox til over 100.000 dollars i API-udgifter. Beløbet omfattede arbejdet med at opbygge et realistisk offline-miljø og de indledende tests. Epoch oplyste, at det efter udviklingen af testmiljøet kostede omkring 1.000 dollars i API-priser at kompromittere en ny Firefox-version, og at det potentielt kunne koste mindre med abonnementskonti.

Ifølge rapporten kædede hvert vellykket kompromitteringsforsøg to sårbarheder sammen: En sårbarhed i tidsrummet mellem rettelser gjorde det muligt at afvikle kode i Firefox-processen for webindhold, og den særskilte, ikke-offentliggjorte sårbarhed, som modellen genopdagede ved hvert forsøg, omgik de sandboxbeskyttelser, der normalt ville forhindre selv en kompromitteret gengivelsesproces i at få adgang til filsystemet. Forskerne sagde, at de delte den ikke-offentliggjorte sårbarhed med Mozilla og drøftede måder at afbøde angrebene på.

Mozilla udgav Firefox 159.0 den 27. oktober 2026. Ifølge Epoch retter denne version den offentliggjorte sårbarhed. Mozilla Foundation Security Advisory 2026-118, der blev offentliggjort den 27. oktober 2026, angiver den samlede påvirkningsgrad som høj og opremser de enkelte sårbarheder, der blev rettet i Firefox 159, herunder sårbarheder med stor påvirkning, som gør det muligt at undslippe sandkassen, eskalere privilegier og udnytte use-after-free-fejl. Epoch oplyste, at organisationen ikke har bekræftet, om lignende angreb kan lykkes mod Firefox 159.0 efter rettelsen, men formoder, at den i det mindste bør gøre kompromittering ved at udnytte tidsrummet mellem offentliggørelsen af en rettelse og dens udrulning væsentligt vanskeligere. Efter at være lykkedes med at læse filer forsøgte holdet også at opnå vilkårlig kodekørsel, men rapporterede ikke om sådanne succeser mod nyere Firefox-versioner på tidspunktet for rapportens offentliggørelse.

Forsøg mod Chrome og angivne konsekvenser

Ved at bruge det samme testmiljø og de samme teknikker mod Google Chrome sagde Epoch, at virksomheden ikke har kunnet skabe en tilsvarende udnyttelse, selv efter API-omkostninger på omkring 100.000 dollars. Epoch betragter dog ikke dette resultat som stærkt belæg for, at sådanne angreb ikke ville kunne lykkes med mere avancerede eliciteringsteknikker eller mere kapable modeller med åbne vægte. Rapporten bemærker, at Kimi K3.1 Pro blev lanceret med API-adgang fra udvikleren den 23. oktober 2026, og at vægtene efter planen skulle blive tilgængelige i begyndelsen af november 2026. Begrænsede benchmarkdata tyder på, at modellen muligvis klarer sig bedre end GLM 5.3 inden for offensive cyberopgaver; Kimi K3.1 Pro indgik ikke i eksperimenterne.

Rapporten sætter resultaterne i perspektiv ved at se på aktivitet i patch-gabet i september 2026. Den nævner udnyttelser rettet mod Chrome og en leverandør, der offentliggjorde opdaterede PHP-versioner med rettelser mere end seks timer før den koordinerede offentliggørelse af rettelser til to kritiske sårbarheder. Den omtaler også Anthropics demonstration af, at virksomhedens Mythos-model udnyttede patch-gabet i Windows med lukket kildekode. Som afværgeforanstaltninger beskrev forskerne, at sikkerhedsrettelser holdes fortrolige, indtil de er klar til udsendelse, at rettelser hurtigere sendes fra betaversion til endelig version, og at man undgår at rette flere sårbarheder samtidigt, når de kan kædes sammen. Rapporten bemærker, at Firefox og Google Chrome er begyndt at udsende opdateringer hver uge.

Et appendiks beskriver sikkerhedsforanstaltningerne bag eksperimenterne: en dedikeret cloud-instans, der var isoleret fra Epochs øvrige infrastruktur til benchmarking; ingen netværksadgang for modellerne; overvågning tæt på realtid med forskere klar til at afbryde kørslerne; samt en enkelt pause af alle kørsler, efter at overvågningen havde registreret defekte miljøer, som fik agenterne til at udføre handlinger uden for sandkassen. Epoch sagde, at disse handlinger hverken involverede netværksadgang eller ondsindet aktivitet. Epoch beskrev resultaterne som tegn på, at avancerede cyberkapaciteter breder sig, sagde, at mange andre softwareprojekter sandsynligvis allerede er sårbare over for lignende angreb via patch-gabet, og oplyste, at virksomheden planlægger at teste mere avancerede åbne modeller på et bredere udvalg af software.