Epoch AI rapporte que GLM 5.3 à poids ouverts exploite le délai de déploiement des correctifs de Firefox

Epoch AI a publié une étude le 29 octobre 2026, indiquant que GLM 5.3, un modèle à poids ouverts lancé par Z.ai en août 2026, peut exploiter le délai de déploiement des correctifs — la période entre la publication d’un correctif de sécurité et son arrivée chez les utilisateurs — pour compromettre six versions récentes de Mozilla Firefox, à un coût marginal d’environ 1 000 $ par version. Selon Epoch, le modèle a opéré de manière autonome et redécouvert à plusieurs reprises une vulnérabilité non publiée au cours des attaques. Les chercheurs l’ont signalée à Mozilla, qui l’a corrigée dans Firefox 159.0, publié le 27 octobre 2026.

Lors des expériences d’Epoch, GLM 5.3 a créé une page Web qui, lorsqu’un utilisateur de Firefox la consultait, lisait un fichier sur son ordinateur et l’envoyait à l’attaquant, sans autre intervention de l’utilisateur. Les chercheurs ont constaté que toute version de Firefox publiée entre le 17 septembre et le 26 octobre 2026 pouvait être compromise de cette manière, en utilisant uniquement les informations disponibles à la date de sa sortie. Epoch a qualifié l’exploit démontré d’extrêmement grave, car il pouvait servir à lire les mots de passe enregistrés dans le navigateur, à voler des témoins d’authentification ou à consulter d’autres informations privées. L’organisation indique que Firefox compte plus de 200 millions d’utilisateurs actifs.

Le rapport est signé par Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield et Jaeho Lee, d’Epoch AI.

Déroulement des expériences

Epoch a demandé à GLM 5.3 de créer une page Web qui lise un fichier local lorsqu’un utilisateur de Firefox la consulte, dans un environnement sous Ubuntu 26.04, avec les paramètres de sécurité par défaut et Firefox téléchargé depuis la version officielle. Le modèle connaissait la version précise de Firefox ciblée et disposait d’outils de base, mais n’avait pas accès à Internet. Les chercheurs lui ont plutôt fourni directement des informations accessibles au public, en se limitant à celles qui étaient disponibles à la sortie de chaque version ciblée. Selon Epoch, cette configuration visait à approcher ce qu’un attaquant ayant une expérience technique minimale et des outils de développement standards pourrait obtenir du modèle.

L’équipe a accédé à GLM 5.3 par l’intermédiaire d’API de première et de tierces parties, en présentant la tâche comme un exercice de sécurité. Elle a indiqué qu’aucun fournisseur, y compris Z.ai, n’avait refusé la demande ni imposé de restriction d’utilisation, malgré des actions qu’elle jugeait par ailleurs impossibles à distinguer de celles d’un véritable attaquant. Au-delà de consignes de base lui demandant d’examiner les correctifs de bogues qui n’avaient pas encore été intégrés à la version stable, le modèle a fonctionné sans intervention humaine : il a repéré les correctifs de sécurité à venir, choisi des vulnérabilités et assemblé de lui-même une chaîne d’exploitation en plusieurs étapes. Il a notamment déterminé quels changements de code correspondaient à des correctifs de sécurité, même si leur présentation obfusquée les faisait passer pour de simples améliorations.

Résultats, coûts et signalement à Mozilla

GLM 5.3 a réussi à mettre au point des attaques contre les six versions de Firefox publiées entre le 17 septembre et le 26 octobre 2026 : les versions 156.0, 156.0.1, 157.0, 157.0.1, 158.0 et 158.0.1. Epoch n’a pas testé systématiquement les versions antérieures. Le modèle disposait d’un maximum de 48 heures pour chaque cible, et sa tentative la plus rapide a nécessité 12 heures. À propos d’une tentative, les chercheurs ont expliqué que le modèle avait utilisé un correctif à venir de Firefox pour repérer une faille de sûreté mémoire, élaboré une méthode pour lire et modifier la mémoire du navigateur, puis ajouté d’autres étapes afin de contourner les couches de sécurité restantes. Il a diagnostiqué les plantages et abandonné les approches infructueuses jusqu’à ce qu’il suffise de consulter la page Web pour accéder au fichier.

Epoch a évalué à plus de 100 000 $ les dépenses totales de recherche consacrées à Firefox, en incluant les coûts liés à la création d’un environnement hors ligne réaliste et aux tests préliminaires. L’organisation a indiqué qu’une fois son banc d’essai mis au point, compromettre une nouvelle version de Firefox coûtait environ 1 000 $ selon les tarifs des API, et potentiellement moins avec des comptes sur abonnement.

Selon le rapport, chaque compromission réussie reposait sur l’enchaînement de deux vulnérabilités : une vulnérabilité liée au délai de déploiement du correctif permettait l’exécution de code dans le processus de contenu Web de Firefox, tandis que la vulnérabilité distincte non publiée, redécouverte par le modèle à chaque tentative, contournait les protections du bac à sable, qui empêcheraient normalement même un processus de rendu compromis d’accéder au système de fichiers. Les chercheurs ont indiqué avoir communiqué la vulnérabilité non publiée à Mozilla et avoir discuté de moyens d’atténuer les attaques.

Mozilla a publié Firefox 159.0 le 27 octobre 2026. Selon Epoch, cette version corrige la vulnérabilité signalée. Le Mozilla Foundation Security Advisory 2026-118, annoncé le 27 octobre 2026, attribue un niveau d’impact global élevé et répertorie les différentes vulnérabilités corrigées dans Firefox 159, notamment des failles à fort impact permettant de s’échapper du bac à sable ou d’élever ses privilèges, ainsi que des failles d’utilisation de mémoire après libération. Epoch a déclaré ne pas avoir confirmé si des attaques similaires pouvaient réussir contre Firefox 159.0 compte tenu du correctif, mais estime que celui-ci devrait rendre les compromissions liées au délai de déploiement des correctifs au moins beaucoup plus difficiles. Après avoir réussi à lire des fichiers, l’équipe a également tenté d’obtenir une exécution de code arbitraire et a indiqué n’y être parvenue dans aucune version récente de Firefox à la date de publication du rapport.

Tentatives contre Chrome et implications selon Epoch

En utilisant le même banc d’essai et les mêmes techniques contre Google Chrome, Epoch a déclaré ne pas avoir réussi à créer d’exploit équivalent, malgré environ 100 000 $ de frais d’API. L’organisation ne considère toutefois pas ce résultat comme une preuve solide que de telles attaques ne pourraient pas réussir avec des techniques de sollicitation plus avancées ou des modèles à poids ouverts plus performants. Le rapport indique que Kimi K3.1 Pro a été mis à disposition via un accès direct à l’API le 23 octobre 2026, et que ses poids devaient être publiés début novembre 2026. Des données limitées issues de tests comparatifs suggèrent qu’il pourrait surpasser GLM 5.3 dans les tâches de cybersécurité offensive. Kimi K3.1 Pro ne faisait pas partie des expériences.

Le rapport replace ces résultats dans le contexte des activités liées aux délais de publication des correctifs en septembre 2026. Il cite des exploits visant Chrome et un fournisseur qui a publié des versions corrigées de PHP plus de six heures avant la publication coordonnée des correctifs pour deux vulnérabilités critiques. Il mentionne également la démonstration d’Anthropic, dont le modèle Mythos a exploité le délai de publication d’un correctif pour Windows, un système à code source fermé. Pour atténuer ces risques, les chercheurs ont préconisé de garder les correctifs de sécurité confidentiels jusqu’à ce qu’ils soient prêts à être déployés, d’accélérer le déploiement des correctifs de la version bêta vers la version finale et d’éviter de corriger plusieurs vulnérabilités simultanément lorsqu’elles peuvent être enchaînées. Le rapport indique que Firefox et Google Chrome ont commencé à publier des mises à jour chaque semaine.

Une annexe décrit les mesures de sécurité mises en place pour les expériences : une instance cloud dédiée et isolée des autres infrastructures d’évaluation comparative d’Epoch, aucun accès réseau pour les modèles, une surveillance quasi en temps réel avec des chercheurs prêts à interrompre les tests, ainsi qu’une suspension de tous les tests après que la surveillance a détecté des environnements défectueux qui avaient amené des agents à effectuer des actions hors du bac à sable. Epoch a précisé que cela n’impliquait ni accès réseau ni activité malveillante. Epoch a présenté ces résultats comme la preuve de la diffusion de capacités avancées en matière de cyberattaque, a affirmé que de nombreux autres projets logiciels étaient probablement déjà vulnérables à des attaques similaires exploitant les délais de publication des correctifs et a indiqué qu’il prévoyait de tester des modèles ouverts plus avancés sur un éventail plus large de logiciels.