Epoch AI berichtet: GLM 5.3 mit offenen Gewichten nutzt Firefox-Patchlücke aus

Epoch AI veröffentlichte Forschungsergebnisse, denen zufolge GLM 5.3, ein im August 2026 von Z.ai veröffentlichtes Modell mit offenen Gewichten, die Patch-Lücke im Browser ausnutzen kann – den Zeitraum zwischen der öffentlichen Bekanntgabe einer Sicherheitskorrektur und ihrer Bereitstellung für die Nutzer –, um sechs aktuelle Versionen von Mozilla Firefox zu kompromittieren. Die Grenzkosten lagen dabei bei etwa 1.000 US-Dollar pro Version. Laut Epoch arbeitete das Modell autonom und entdeckte die noch nicht veröffentlichte Schwachstelle während der Angriffe wiederholt erneut. Die Forschenden meldeten sie Mozilla, das sie in Firefox 159.0 behob, der am 27. Oktober 2026 veröffentlicht wurde.

Bei Epochs Experimenten erstellte GLM 5.3 eine Webseite, die beim Besuch durch einen Firefox-Nutzer eine Datei vom Computer des Besuchers auslas und ohne weiteres Zutun des Nutzers an den Angreifer übermittelte. Die Forschenden stellten fest, dass sich jede Firefox-Version, die zwischen dem 17. September und dem 26. Oktober 2026 veröffentlicht wurde, auf diese Weise kompromittieren ließ – und zwar ausschließlich mit Informationen, die zum Zeitpunkt der jeweiligen Veröffentlichung verfügbar waren. Epoch bezeichnete den demonstrierten Angriff als äußerst schwerwiegend, da sich damit im Browser gespeicherte Passwörter auslesen, Authentifizierungs-Cookies stehlen oder andere private Informationen einsehen ließen. Firefox habe mehr als 200 Millionen aktive Nutzer, heißt es in dem Bericht.

Der Bericht ist von Epoch AIs Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield und Jaeho Lee verfasst.

So wurden die Experimente durchgeführt

Epoch beauftragte GLM 5.3 damit, eine Webseite zu erstellen, die beim Besuch durch einen Firefox-Nutzer eine lokale Datei ausliest. Die Umgebung lief mit Ubuntu 26.04, den standardmäßigen Sicherheitseinstellungen und einer Firefox-Version, die aus der offiziellen Veröffentlichung heruntergeladen worden war. Das Modell erhielt die genaue Firefox-Version des Ziels sowie grundlegende Werkzeuge, hatte jedoch keinen Internetzugang. Stattdessen stellten die Forschenden ihm öffentlich verfügbare Informationen direkt zur Verfügung, beschränkt auf das, was zum Zeitpunkt der Veröffentlichung der jeweiligen Zielversion verfügbar war. Epoch zufolge sollte die Einrichtung annähernd abbilden, was ein Angreifer mit minimalen technischen Kenntnissen und gängigen Entwicklungswerkzeugen dem Modell entlocken könnte.

Das Team griff über eigene und Drittanbieter-APIs auf GLM 5.3 zu und stellte die Aufgabe als Sicherheitsübung dar. Es berichtete, dass kein Anbieter – auch nicht Z.ai – die Anfrage ablehnte oder Nutzungsbeschränkungen auferlegte, obwohl die beschriebenen Handlungen ansonsten nicht von denen eines echten Angreifers zu unterscheiden gewesen seien. Abgesehen von grundlegenden Anweisungen, noch nicht in die stabile Version übernommenen Fehlerbehebungen zu untersuchen, arbeitete das Modell ohne menschliches Zutun: Es identifizierte bevorstehende Sicherheitskorrekturen, wählte Schwachstellen aus und stellte eigenständig eine mehrstufige Angriffskette zusammen. Dazu gehörte auch, trotz Verschleierung, durch die sie wie gewöhnliche Verbesserungen wirkten, zu erkennen, welche Codeänderungen Sicherheitskorrekturen waren.

Ergebnisse, Kosten und die Offenlegung gegenüber Mozilla

GLM 5.3 entwickelte erfolgreich Angriffe auf alle sechs Firefox-Versionen, die zwischen dem 17. September und dem 26. Oktober 2026 veröffentlicht wurden: die Versionen 156.0, 156.0.1, 157.0, 157.0.1, 158.0 und 158.0.1. Epoch testete frühere Versionen nicht systematisch. Dem Modell standen pro Ziel bis zu 48 Stunden zur Verfügung; der schnellste Versuch dauerte 12 Stunden. Zu einem Versuch berichteten die Forschenden, das Modell habe eine bevorstehende Firefox-Korrektur genutzt, um einen Speicherfehler zu identifizieren, einen Weg entwickelt, Speicherbereiche innerhalb des Browsers auszulesen und zu verändern, und anschließend weitere Angriffsschritte zusammengestellt, um die verbleibenden Sicherheitsebenen zu umgehen. Dabei habe es Abstürze untersucht und erfolglose Ansätze verworfen, bis der bloße Besuch der Webseite ausreichte, um auf die Datei zuzugreifen.

Epoch bezifferte die gesamten Forschungsausgaben für Angriffe auf Firefox auf mehr als 100.000 US-Dollar an API-Kosten. Darin enthalten waren auch die Entwicklung einer realistischen Offline-Umgebung und vorläufige Tests. Sobald das Testgerüst entwickelt war, kostete es laut Epoch bei den API-Preisen etwa 1.000 US-Dollar, eine neue Firefox-Version zu kompromittieren; mit Abonnements könne der Betrag möglicherweise noch niedriger ausfallen.

Laut Bericht kombinierte jeder erfolgreiche Angriff zwei Schwachstellen: Eine Patch-Lücken-Schwachstelle ermöglichte die Ausführung von Code innerhalb des Webinhaltsprozesses von Firefox. Die separate, noch nicht veröffentlichte Schwachstelle, die das Modell bei jedem Versuch erneut entdeckte, umging die Sandbox-Schutzmechanismen, die normalerweise verhindern, dass selbst ein kompromittierter Renderer-Prozess auf das Dateisystem zugreift. Die Forschenden erklärten, sie hätten Mozilla die bislang unveröffentlichte Schwachstelle mitgeteilt und Maßnahmen zur Abwehr der Angriffe besprochen.

Mozilla veröffentlichte Firefox 159.0 am 27. Oktober 2026. Diese Version behebt laut Epoch die offengelegte Schwachstelle. Der am 27. Oktober 2026 angekündigte Mozilla Foundation Security Advisory 2026-118 stuft die Gesamtauswirkungen als hoch ein und führt die einzelnen in Firefox 159 behobenen Schwachstellen auf, darunter Schwachstellen mit schwerwiegenden Auswirkungen durch Sandbox-Ausbruch, Rechteausweitung und Use-after-free. Epoch zufolge ist nicht bestätigt, ob ähnliche Angriffe angesichts der Korrektur auch gegen Firefox 159.0 erfolgreich sein können; das Unternehmen vermutet jedoch, dass die Version Angriffe über die Patch-Lücke zumindest erheblich erschweren dürfte. Nachdem dem Team das Auslesen von Dateien gelungen war, versuchte es außerdem, beliebige Codeausführung zu erreichen. Zum Zeitpunkt der Veröffentlichung des Berichts waren solche Versuche bei aktuellen Firefox-Versionen nach Angaben des Teams nicht erfolgreich.

Chrome-Versuche und angegebene Auswirkungen

Mit demselben Testaufbau und denselben Methoden ist es Epoch zufolge trotz API-Kosten von rund 100.000 US-Dollar nicht gelungen, einen vergleichbaren Exploit für Google Chrome zu entwickeln. Epoch wertet dieses Ergebnis jedoch nicht als stichhaltigen Beleg dafür, dass solche Angriffe mit gezielteren Abfragen oder leistungsfähigeren Modellen mit offenen Gewichten nicht gelingen könnten. Dem Bericht zufolge wurde Kimi K3.1 Pro am 23. Oktober 2026 über den API-Zugang des Anbieters veröffentlicht; die Gewichte sollen Anfang November 2026 bereitgestellt werden. Begrenzte Benchmark-Daten deuten darauf hin, dass das Modell GLM 5.3 bei offensiven Cyberaufgaben übertreffen könnte. Kimi K3.1 Pro war nicht Teil der Experimente.

Der Bericht ordnet die Ergebnisse vor dem Hintergrund von Aktivitäten im Zusammenhang mit Patch-Lücken im September 2026 ein. Er verweist auf Exploits gegen Chrome und auf einen Anbieter, der korrigierte PHP-Versionen mehr als sechs Stunden vor der koordinierten Veröffentlichung von Patches für zwei kritische Schwachstellen bereitstellte. Außerdem erwähnt er die Demonstration von Anthropic, wonach dessen Mythos-Modell die Patch-Lücke bei Windows mit geschlossenem Quellcode ausnutzte. Als Gegenmaßnahmen beschrieben die Forschenden, Sicherheitskorrekturen bis zur Bereitstellung unter Verschluss zu halten, sie schneller von der Beta- in die Release-Version zu überführen und mehrere Schwachstellen nicht gleichzeitig zu patchen, wenn sie sich zu einer Angriffskette verbinden lassen. Dem Bericht zufolge veröffentlichen Firefox und Google Chrome inzwischen jede Woche Updates.

Ein Anhang beschreibt die Sicherheitsmaßnahmen für die Experimente: eine eigens dafür eingerichtete Cloud-Instanz, die von Epochs übriger Benchmark-Infrastruktur isoliert war, kein Netzwerkzugriff für die Modelle, eine nahezu in Echtzeit erfolgende Überwachung mit Forschenden, die Testläufe bei Bedarf stoppen konnten, sowie eine einmalige Unterbrechung aller Testläufe, nachdem die Überwachung fehlerhafte Umgebungen erkannt hatte. Diese hatten dazu geführt, dass Agenten Aktionen außerhalb der Sandbox ausführten. Epoch zufolge waren damit weder Netzwerkzugriff noch böswillige Aktivitäten verbunden. Epoch bezeichnete die Ergebnisse als Beleg für die Verbreitung fortgeschrittener Cyberfähigkeiten, erklärte, dass wahrscheinlich bereits viele weitere Softwareprojekte für ähnliche Angriffe über Patch-Lücken anfällig seien, und kündigte an, fortgeschrittenere offene Modelle mit einer größeren Vielfalt an Software zu testen.