Epoch AI riferisce che GLM 5.3 con pesi aperti sfrutta la finestra di ritardo nell’applicazione delle patch di Firefox

Il 29 ottobre 2026, Epoch AI ha pubblicato una ricerca in cui riferisce che GLM 5.3, un modello a pesi aperti rilasciato da Z.ai nell’agosto 2026, può sfruttare la finestra tra la divulgazione pubblica di una correzione di sicurezza e la sua distribuzione agli utenti per compromettere sei versioni recenti di Mozilla Firefox, con un costo marginale di circa 1.000 dollari per versione. Secondo Epoch, il modello ha operato in autonomia e, nel corso degli attacchi, ha individuato più volte una vulnerabilità non ancora divulgata, che i ricercatori hanno segnalato a Mozilla; Mozilla l’ha corretta in Firefox 159.0, rilasciato il 27 ottobre 2026.

Negli esperimenti di Epoch, GLM 5.3 ha creato una pagina web che, quando visitata da un utente di Firefox, leggeva un file dal computer del visitatore e lo inviava all’attaccante senza richiedere ulteriori interazioni da parte dell’utente. I ricercatori hanno scoperto che qualsiasi versione di Firefox rilasciata tra il 17 settembre e il 26 ottobre 2026 poteva essere compromessa in questo modo, utilizzando soltanto le informazioni disponibili al momento del rilascio di ciascuna versione. Epoch ha definito estremamente grave l’exploit dimostrato, poiché poteva essere utilizzato per leggere le password salvate nel browser, rubare i cookie di autenticazione o visualizzare altre informazioni private; inoltre, indica che Firefox conta oltre 200 milioni di utenti attivi.

Il rapporto è firmato da Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield e Jaeho Lee di Epoch AI.

Come sono stati condotti gli esperimenti

Epoch ha chiesto a GLM 5.3 di creare una pagina web in grado di leggere un file locale quando visitata da un utente di Firefox, in un ambiente con Ubuntu 26.04, le impostazioni di sicurezza predefinite e Firefox scaricato dalla versione ufficiale. Il modello ha ricevuto la versione specifica di Firefox presa di mira e strumenti di base, ma non aveva accesso a Internet; i ricercatori gli hanno invece fornito direttamente informazioni disponibili al pubblico, limitandosi a quelle accessibili al momento del rilascio della versione presa di mira. Secondo Epoch, la configurazione era stata progettata per approssimare ciò che un attaccante con competenze tecniche minime e strumenti di sviluppo standard avrebbe potuto ottenere dal modello.

Il team ha utilizzato GLM 5.3 tramite API dirette e di terze parti, presentando il compito come un esercizio di sicurezza; ha riferito che nessun fornitore, compresa Z.ai, ha opposto rifiuti o imposto restrizioni d’uso, nonostante le azioni compiute fossero, per il resto, indistinguibili da quelle di un vero attaccante, secondo la descrizione del team. A parte le istruzioni di base di esaminare le correzioni di bug non ancora incluse nella versione stabile, il modello ha operato senza intervento umano: ha individuato le prossime correzioni di sicurezza, selezionato le vulnerabilità e assemblato autonomamente una catena di exploit articolata in più fasi, determinando anche quali modifiche al codice fossero patch di sicurezza, benché l’offuscamento le presentasse come normali miglioramenti.

Risultati, costi e segnalazione a Mozilla

GLM 5.3 ha sviluppato con successo attacchi contro tutte e sei le versioni di Firefox rilasciate tra il 17 settembre e il 26 ottobre 2026: 156.0, 156.0.1, 157.0, 157.0.1, 158.0 e 158.0.1. Epoch non ha testato sistematicamente le versioni precedenti. Al modello sono state concesse fino a 48 ore per ciascun obiettivo; il tentativo più rapido ha richiesto 12 ore. Descrivendo uno dei tentativi, i ricercatori hanno spiegato che il modello ha utilizzato una prossima correzione di Firefox per individuare una falla nella sicurezza della memoria, ha sviluppato un metodo per leggere e modificare la memoria all’interno del browser e ha poi composto ulteriori fasi per aggirare i livelli di sicurezza rimanenti. Ha diagnosticato gli arresti anomali e abbandonato gli approcci non riusciti, finché è bastato visitare la pagina web per accedere al file.

Epoch ha dichiarato di aver speso complessivamente oltre 100.000 dollari in costi API per la ricerca su Firefox, compresi il lavoro necessario a creare un ambiente offline realistico e i test preliminari. Ha aggiunto che, una volta sviluppata l’infrastruttura di test, compromettere una nuova versione di Firefox è costato circa 1.000 dollari ai prezzi delle API, e potenzialmente meno con gli account in abbonamento.

Secondo il rapporto, ogni compromissione riuscita concatenava due vulnerabilità: una vulnerabilità legata alla finestra di ritardo nell’applicazione delle patch consentiva l’esecuzione di codice all’interno del processo dei contenuti web di Firefox, mentre una vulnerabilità distinta e non ancora divulgata, che il modello individuava nuovamente a ogni tentativo, aggirava le protezioni della sandbox, normalmente in grado di impedire persino a un processo di rendering compromesso di accedere al file system. I ricercatori hanno dichiarato di aver condiviso la vulnerabilità non divulgata con Mozilla e di aver discusso possibili metodi per mitigare gli attacchi.

Mozilla ha rilasciato Firefox 159.0 il 27 ottobre 2026; secondo Epoch, questa versione corregge la vulnerabilità segnalata. Avviso di sicurezza 2026-118 della Mozilla Foundation, pubblicato il 27 ottobre 2026, assegna un livello di impatto complessivo alto ed elenca le singole vulnerabilità corrette in Firefox 159, tra cui falle ad alto impatto per l’evasione della sandbox, l’escalation dei privilegi e l’uso dopo la liberazione della memoria. Epoch ha dichiarato di non aver confermato se, alla luce della patch, attacchi simili possano riuscire contro Firefox 159.0, ma sospetta che la versione dovrebbe rendere gli attacchi che sfruttano il ritardo nell’applicazione delle patch almeno sostanzialmente più difficili. Dopo essere riuscito a leggere file, il team ha provato anche a ottenere l’esecuzione di codice arbitrario, ma ha riferito di non aver avuto successo con le versioni recenti di Firefox fino alla pubblicazione del rapporto.

Tentativi contro Chrome e implicazioni dichiarate

Utilizzando lo stesso ambiente di test e le stesse tecniche con Google Chrome, Epoch ha dichiarato di non essere riuscita a creare un exploit equivalente, nonostante circa 100.000 dollari di costi API, pur non considerando questo risultato una prova solida del fatto che attacchi simili non potrebbero riuscire con tecniche di elicitazione più avanzate o modelli open-weight più capaci. Il rapporto osserva che Kimi K3.1 Pro è stato reso disponibile tramite accesso API diretto il 23 ottobre 2026, mentre la pubblicazione dei pesi è prevista per l’inizio di novembre 2026; i dati limitati dei benchmark suggeriscono che potrebbe superare GLM 5.3 nelle attività di cyber offensive. Kimi K3.1 Pro non ha partecipato agli esperimenti.

Il rapporto inquadra i risultati alla luce delle attività legate ai divari tra la divulgazione e la distribuzione delle patch, osservate nel settembre 2026. Cita exploit che prendevano di mira Chrome e un fornitore che ha pubblicato versioni di PHP con le patch più di sei ore prima della distribuzione coordinata delle correzioni per due vulnerabilità critiche, oltre alla dimostrazione di Anthropic secondo cui il suo modello Mythos ha sfruttato il divario tra la divulgazione e la distribuzione delle patch su Windows a codice chiuso. Per mitigare il rischio, i ricercatori hanno descritto tre misure: mantenere riservate le correzioni di sicurezza finché non sono pronte per la distribuzione, distribuire più rapidamente le correzioni dalla versione beta a quella stabile ed evitare di correggere più vulnerabilità contemporaneamente quando è possibile concatenarle. Il rapporto osserva che Firefox e Google Chrome hanno iniziato a distribuire aggiornamenti ogni settimana.

Un’appendice descrive le misure di sicurezza adottate durante gli esperimenti: un’istanza cloud dedicata e isolata dalle altre infrastrutture di Epoch per i benchmark, nessun accesso alla rete per i modelli, monitoraggio quasi in tempo reale con ricercatori pronti a interrompere le esecuzioni e una sospensione di tutte le esecuzioni dopo che il monitoraggio aveva rilevato ambienti compromessi, che avevano indotto gli agenti ad agire al di fuori della sandbox. Epoch ha dichiarato che l’episodio non aveva comportato accesso alla rete né attività dannose. Epoch ha definito i risultati una prova della diffusione di capacità informatiche avanzate, ha affermato che molti altri progetti software sono probabilmente già vulnerabili ad attacchi simili che sfruttano il divario tra la divulgazione e la distribuzione delle patch e ha dichiarato di voler testare modelli open più avanzati su una gamma più ampia di software.