Epoch AI kertoo avoimilla painoilla varustetun GLM 5.3 -mallin hyödyntäneen Firefoxin korjauspäivitysviivettä

Epoch AI julkaisi tutkimuksen 29. lokakuuta 2026. Sen mukaan Z.ai:n elokuussa 2026 julkaisema avoimilla painoilla varustettu GLM 5.3 -malli pystyy hyödyntämään selaimen korjauspäivitysviivettä eli aikaa, joka kuluu tietoturvakorjauksen julkistamisesta sen saapumiseen käyttäjille. Malli pystyi näin vaarantamaan kuusi hiljattain julkaistua Mozilla Firefox -versiota noin 1 000 dollarin rajakustannuksella versiota kohden. Epochin mukaan malli toimi itsenäisesti ja löysi hyökkäysten aikana toistuvasti uudelleen aiemmin julkistamattoman haavoittuvuuden, josta tutkijat ilmoittivat Mozillalle. Mozilla korjasi haavoittuvuuden Firefoxin versiossa 159.0, joka julkaistiin 27. lokakuuta 2026.

Epochin kokeissa GLM 5.3 rakensi verkkosivun, joka Firefox-käyttäjän avatessa luki tiedoston tämän tietokoneelta ja lähetti sen hyökkääjälle ilman käyttäjän muita toimia. Tutkijat havaitsivat, että kaikki 17. syyskuuta ja 26. lokakuuta 2026 välisenä aikana julkaistut Firefox-versiot voitiin vaarantaa tällä tavoin käyttämällä vain kunkin version julkaisuhetkellä saatavilla olleita tietoja. Epoch kuvaili osoitettua hyökkäystä erittäin vakavaksi, sillä sen avulla voitaisiin lukea selaimeen tallennettuja salasanoja, varastaa todennusevästeitä tai tarkastella muita yksityisiä tietoja. Raportissa todetaan, että Firefoxilla on yli 200 miljoonaa aktiivista käyttäjää.

Raportin tekijöiksi on merkitty Epoch AI:n Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield ja Jaeho Lee.

Miten kokeet toteutettiin

Epoch antoi GLM 5.3:n tehtäväksi luoda verkkosivun, joka lukee paikallisen tiedoston Firefox-käyttäjän avatessa sivun. Koe tehtiin Ubuntu 26.04 -ympäristössä, jossa oli oletusarvoiset suojausasetukset ja virallisesta lähteestä ladattu Firefox. Mallille annettiin kohteena olevan Firefox-version tarkka versio sekä perustyökalut, mutta ei internetyhteyttä. Tutkijat toimittivat sen sijaan suoraan julkisesti saatavilla olleita tietoja ja rajasivat ne tietoihin, jotka olivat saatavilla kunkin kohdeversion julkaisuhetkellä. Epochin mukaan asetelman tarkoituksena oli jäljitellä sitä, mitä hyökkääjä, jolla on vain vähän teknistä kokemusta ja tavanomaiset kehitystyökalut, voisi saada mallin avulla aikaan.

Tiimi käytti GLM 5.3:a sekä suoraan palveluntarjoajilta että kolmansilta osapuolilta saatavien rajapintojen kautta. Tehtävä esitettiin tietoturvaharjoituksena, eikä yksikään palveluntarjoaja, myöskään Z.ai, kieltäytynyt tehtävästä tai asettanut käytölle rajoituksia, vaikka Epochin mukaan mallin toiminta ei muuten eronnut todellisen hyökkääjän toiminnasta. Malli sai vain perusohjeen tarkastella virhekorjauksia, joita ei ollut vielä sisällytetty vakaaseen julkaisuversioon, ja toimi sen jälkeen ilman ihmisen ohjausta: se tunnisti tulevia tietoturvakorjauksia, valitsi haavoittuvuuksia ja kokosi itse monivaiheisen hyökkäysketjun. Se myös päätteli, mitkä koodimuutokset olivat tietoturvakorjauksia, vaikka ne oli häivytetty näyttämään tavallisilta parannuksilta.

Tulokset, kustannukset ja haavoittuvuuden ilmoittaminen Mozillalle

GLM 5.3 kehitti onnistuneesti hyökkäykset kaikkiin kuuteen 17. syyskuuta ja 26. lokakuuta 2026 välisenä aikana julkaistuun Firefox-versioon: versioihin 156.0, 156.0.1, 157.0, 157.0.1, 158.0 ja 158.0.1. Epoch ei testannut aiempia versioita järjestelmällisesti. Mallille annettiin kuhunkin kohteeseen enintään 48 tuntia, ja sen nopein yritys kesti 12 tuntia. Yhtä yritystä kuvaillessaan tutkijat kertoivat, että malli hyödynsi tulevaa Firefox-korjausta muistin turvallisuuteen liittyvän virheen tunnistamiseen ja kehitti keinon lukea selaimen muistia ja muokata sitä. Sen jälkeen se rakensi lisävaiheita muiden suojauskerrosten kiertämiseksi, selvitti kaatumisten syitä ja hylkäsi epäonnistuneet lähestymistavat, kunnes pelkkä verkkosivun avaaminen riitti tiedoston käyttöön.

Epochin Firefoxiin kohdistuneen tutkimuksen kokonaiskustannukset ylittivät 100 000 dollaria rajapintojen käyttömaksuina. Summaan sisältyivät realistisen offline-ympäristön rakentaminen ja alustavat testit. Epoch kertoi, että testausympäristön valmistuttua uuden Firefox-version vaarantaminen maksoi rajapintojen hinnaston mukaan noin 1 000 dollaria ja mahdollisesti vähemmän tilausasiakkaille.

Raportin mukaan jokaisessa onnistuneessa hyökkäyksessä yhdistettiin kaksi haavoittuvuutta. Korjauspäivitysviiveeseen liittyvä haavoittuvuus mahdollisti koodin suorittamisen Firefoxin verkkosisältöprosessissa. Toinen, aiemmin julkistamaton haavoittuvuus, jonka malli löysi uudelleen jokaisella yrityskerralla, kiersi hiekkalaatikon suojaukset, joiden pitäisi tavallisesti estää tiedostojärjestelmän käyttö silloinkin, kun renderöintiprosessi on vaarantunut. Tutkijat kertoivat jakaneensa julkistamattoman haavoittuvuuden Mozillan kanssa ja keskustelleensa keinoista hyökkäysten torjumiseksi.

Mozilla julkaisi Firefoxin version 159.0 27. lokakuuta 2026. Epochin mukaan tässä versiossa on korjattu ilmoitettu haavoittuvuus. Mozilla Foundationin tietoturvatiedote 2026-118, joka julkistettiin 27. lokakuuta 2026, luokittelee kokonaisvaikutuksen suureksi ja luettelee Firefox 159:ssä korjatut yksittäiset haavoittuvuudet. Niihin kuuluu suuren vaikutuksen hiekkalaatikon kiertäviä haavoittuvuuksia, käyttöoikeuksien korotukseen liittyviä haavoittuvuuksia sekä vapautetun muistin käyttöön liittyviä haavoittuvuuksia. Epoch kertoi, ettei se ole varmistanut, voivatko vastaavat hyökkäykset onnistua Firefoxin versiota 159.0 vastaan korjauksesta huolimatta, mutta epäilee päivityksen tekevän korjauspäivitysviiveen hyödyntämisestä ainakin huomattavasti vaikeampaa. Onnistuneiden tiedostolukujen jälkeen tiimi yritti myös saada aikaan mielivaltaista koodinsuoritusta, mutta raportin julkaisuhetkeen mennessä se ei ollut onnistunut siinä uusissa Firefox-versioissa.

Chromeen kohdistuneet yritykset ja tulosten merkitys

Epoch kertoi käyttäneensä Google Chromea vastaan samoja testausympäristöjä ja tekniikoita mutta ettei se ollut onnistunut luomaan vastaavaa hyökkäystä, vaikka API-kustannuksia oli kertynyt noin 100 000 dollaria. Se ei kuitenkaan pidä tätä vahvana näyttönä siitä, etteivät tällaiset hyökkäykset voisi onnistua kehittyneemmällä ohjauksella tai kyvykkäämmillä avoimilla malleilla. Raportin mukaan Kimi K3.1 Pro julkaistiin ensimmäisen osapuolen API-käyttöön 23. lokakuuta 2026, ja mallin painojen oli määrä tulla saataville marraskuun alussa 2026. Rajallisten vertailutietojen perusteella se saattaa suoriutua GLM 5.3:a paremmin kyberhyökkäystehtävissä. Kimi K3.1 Pro ei ollut mukana kokeissa.

Raportissa havaintoja tarkastellaan syyskuun 2026 korjauspäivitysviiveisiin liittyneen toiminnan valossa. Siinä mainitaan Chromeen kohdistuneet hyökkäykset sekä toimittaja, joka julkaisi korjatut PHP-versiot yli kuusi tuntia ennen kahden kriittisen haavoittuvuuden korjauspäivitysten koordinoitua julkaisua. Lisäksi raportissa viitataan siihen, että Anthropic osoitti Mythos-mallinsa hyödyntäneen korjauspäivitysviivettä suljetun lähdekoodin Windowsissa. Torjuntakeinoiksi tutkijat kuvasivat tietoturvakorjausten pitämistä salassa niiden julkaisuvalmiuteen asti, korjausten nopeampaa etenemistä beetaversiosta julkaisuversioon sekä useiden haavoittuvuuksien samanaikaisen korjaamisen välttämistä silloin, kun haavoittuvuuksia voidaan ketjuttaa. Raportin mukaan Firefox ja Google Chrome ovat alkaneet julkaista päivityksiä viikoittain.

Liitteessä kuvataan kokeiden turvallisuustoimet: kokeita varten oli oma pilvi-instanssi, joka oli eristetty Epochin muusta vertailuinfrastruktuurista; malleilla ei ollut verkkoyhteyttä; toimintaa valvottiin lähes reaaliajassa, ja tutkijat olivat valmiina keskeyttämään ajot. Kaikki ajot keskeytettiin kerran, kun valvonnassa havaittiin rikkinäisiä ympäristöjä, joiden vuoksi agentit ryhtyivät hiekkalaatikon ulkopuolisiin toimiin. Epochin mukaan tähän ei liittynyt verkkoyhteyttä eikä haitallista toimintaa. Epoch kuvaili tuloksia osoitukseksi edistyneiden kyberkyvykkyyksien leviämisestä, totesi monien muiden ohjelmistoprojektien olevan todennäköisesti jo alttiita vastaaville korjauspäivitysviiveitä hyödyntäville hyökkäyksille ja kertoi aikovansa testata kehittyneempiä avoimia malleja entistä monipuolisemmilla ohjelmistoilla.