Epoch AIの報告：オープンウェイトモデルGLM 5.3がFirefoxのパッチ適用の空白期間を悪用

Epoch AIは2026年10月29日、調査結果を発表し、Z.aiが2026年8月に公開したオープンウェイトモデルGLM 5.3が、セキュリティ修正の公開からユーザーへの適用までの空白期間を悪用し、比較的新しいMozilla Firefoxの6つのリリースを、バージョンあたり約1,000ドルのわずかな費用で侵害できると報告した。Epochによると、モデルは自律的に動作し、攻撃の過程で未公開の脆弱性を繰り返し独力で発見した。研究者らはこの脆弱性をMozillaに開示し、Mozillaは2026年10月27日公開のFirefox 159.0で修正した。

Epochの実験では、GLM 5.3は、Firefoxユーザーがアクセスすると、ユーザーのコンピューター上のファイルを読み取り、ユーザーがそれ以上何もしなくても攻撃者に送信するウェブページを作成した。研究者らは、2026年9月17日から10月26日までに公開されたFirefoxの各バージョンについて、それぞれのリリース時点で入手可能だった情報だけを使い、この方法で侵害できることを確認した。Epochは、実証された攻撃を極めて深刻だと評した。ブラウザーに保存されたパスワードの読み取り、認証Cookieの窃取、その他の個人情報の閲覧に悪用される可能性があるためだ。また、Firefoxのアクティブユーザーは2億人を超えるとしている。

この報告書の著者として、Epoch AIのAiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield、Jaeho Leeの名が記されている。

実験の実施方法

EpochはGLM 5.3に、Firefoxユーザーがアクセスした際にローカルファイルを読み取るウェブページの作成を依頼した。実験環境では、既定のセキュリティ設定を適用したUbuntu 26.04を使用し、Firefoxは公式リリースからダウンロードした。モデルには標的となるFirefoxの具体的なバージョンと基本的なツールを与えたが、インターネットへのアクセスは許可しなかった。代わりに研究者らが公開情報を直接提供し、その内容は標的バージョンの公開時点で入手可能だったものに限定した。Epochによると、この環境は、技術経験が最低限しかない攻撃者が一般的な開発ツールを使ってモデルから引き出せる成果を再現することを意図して設計された。

チームは、セキュリティ演習という設定で、GLM 5.3にファーストパーティおよびサードパーティのAPIを通じてアクセスした。Epochによると、実際の攻撃者の行動と見分けがつかないとされる行動をモデルが取ったにもかかわらず、Z.aiを含むいずれのプロバイダーからも拒否や利用制限はなかった。安定版にまだ取り込まれていないバグ修正を調べるよう指示する基本的な指示を除けば、モデルは人間の介入なしに動作した。今後予定されているセキュリティ修正を特定し、脆弱性を選び出し、複数段階から成る攻撃チェーンを独力で組み立てたほか、変更が通常の改善に見えるよう偽装されていても、どのコード変更がセキュリティパッチなのかを判別した。

結果、費用、Mozillaへの開示

GLM 5.3は、2026年9月17日から10月26日までに公開されたFirefoxの全6リリース、すなわちバージョン156.0、156.0.1、157.0、157.0.1、158.0、158.0.1に対する攻撃の開発に成功した。Epochは、それ以前のリリースを体系的には検証していない。モデルには標的ごとに最大48時間が与えられ、最も速い試行でも12時間を要した。ある試行について研究者らは、モデルが今後適用されるFirefoxの修正を利用してメモリー安全性の欠陥を特定し、ブラウザー内部のメモリーを読み書きする方法を開発した後、残るセキュリティ層を回避するための追加段階を組み立てたと説明した。モデルはクラッシュの原因を特定し、うまくいかなかった手法を断念しながら試行を続け、最終的にウェブページを閲覧するだけでファイルにアクセスできるようにした。

Epochは、Firefoxを標的とした研究に、現実的なオフライン環境の構築や予備テストを含め、API利用料だけで総額10万ドルを超える費用を投じた。ハーネスの開発後は、新しいFirefoxのバージョンを侵害する費用はAPI料金で約1,000ドルとなり、サブスクリプション契約ならさらに安くなる可能性があると述べた。

報告書によると、侵害に成功したケースでは、いずれも2つの脆弱性を連鎖的に悪用した。パッチ適用の空白期間に存在する脆弱性により、Firefoxのウェブコンテンツプロセス内でコードを実行し、さらに別の未公開脆弱性を使ってサンドボックスの保護を回避した。この未公開脆弱性はモデルが各試行で再発見したもので、通常なら侵害されたレンダラープロセスであってもファイルシステムにアクセスできないようにする保護を突破した。研究者らは未公開脆弱性をMozillaに共有し、攻撃を緩和する方法について協議したと述べた。

Mozillaは2026年10月27日にFirefox 159.0を公開した。Epochによると、このバージョンでは開示された脆弱性が修正されている。Mozilla Foundation Security Advisory 2026-118は2026年10月27日に発表され、全体的な影響度を「高」と評価している。また、Firefox 159で修正された個々の脆弱性として、影響度の高いサンドボックス脱出、権限昇格、解放後使用の脆弱性を挙げている。Epochは、パッチを踏まえ、Firefox 159.0に対して同様の攻撃が成功するかどうかは確認していないものの、パッチ適用の空白期間を突く侵害は少なくとも大幅に困難になるはずだと考えている。ファイルの読み取りに成功した後、チームは任意コード実行も試みたが、報告書の公開時点で、最近のFirefoxリリースに対するその試みは成功していないと報告した。

Chromeでの試行と示された影響

同じハーネスと手法をGoogle Chromeに対して用いたところ、EpochはAPI費用が約100,000ドルに上ったにもかかわらず、同等のエクスプロイトを作成できなかったと述べた。ただし、この結果を、より高度な誘導手法やより高性能なオープンウェイトモデルを用いても同様の攻撃が成功しないことを示す強い証拠とはみなしていない。報告書によると、Kimi K3.1 Proは2026年10月23日に公式API経由でリリースされ、モデルの重みは2026年11月初旬に公開される予定だった。限られたベンチマークデータからは、攻撃的なサイバータスクでKimi K3.1 ProがGLM 5.3を上回る可能性が示唆されているが、Kimi K3.1 Proは実験には含まれていなかった。

報告書は、2026年9月に見られたパッチ公開までの空白期間を突く動きと今回の調査結果を関連づけ、Chromeを標的とするエクスプロイトや、2件の重大な脆弱性に対するパッチの一斉公開に先立つこと6時間超の時点で、修正済みPHPビルドを公開したベンダーの事例を挙げている。また、Anthropicが、同社のMythosモデルがクローズドソースのWindowsでパッチ公開までの空白期間を突くエクスプロイトを実行したと実証した事例にも言及している。対策として研究者らは、セキュリティ修正をリリース準備が整うまで非公開にしておくこと、ベータ版から正式版への修正の提供を迅速化すること、複数の脆弱性を連鎖的に悪用できる場合は同時にパッチを適用しないことを挙げた。報告書によると、FirefoxとGoogle Chromeは毎週のアップデート提供をすでに開始している。

付録では、実験で講じた安全対策について説明している。Epochの他のベンチマーク用インフラから隔離された専用のクラウドインスタンスを使用し、モデルにネットワークアクセスを与えず、研究者が実行を停止できる体制を整えたうえで、ほぼリアルタイムの監視を行った。また、監視によって環境の破損が検知され、エージェントがサンドボックスの外で行動する事態につながったため、すべての実行を一度停止した。Epochによると、この事態でネットワークアクセスや悪意のある活動はなかった。Epochは、この結果を高度なサイバー能力の拡散を示す証拠と位置づけ、他の多くのソフトウェアプロジェクトも、同様にパッチ公開までの空白期間を突く攻撃にすでに脆弱である可能性が高いと述べた。また、今後はより高度なオープンモデルを、さらに幅広い種類のソフトウェアでテストする計画だという。