Epoch AI meldt dat GLM 5.3 met open gewichten misbruik maakt van de patchvertraging in Firefox

Epoch AI publiceerde onderzoek op 29 oktober 2026. Daarin meldde het dat GLM 5.3, een model met open gewichten dat Z.ai in augustus 2026 uitbracht, misbruik kan maken van de patchvertraging in browsers — de periode tussen het openbaar worden van een beveiligingsupdate en de uitrol ervan naar gebruikers — om zes recente versies van Mozilla Firefox binnen te dringen, tegen marginale kosten van ongeveer $1.000 per versie. Volgens Epoch werkte het model autonoom en ontdekte het tijdens de aanvallen herhaaldelijk opnieuw een niet eerder bekendgemaakte kwetsbaarheid. De onderzoekers meldden die aan Mozilla, dat de kwetsbaarheid verholp in Firefox 159.0, uitgebracht op 27 oktober 2026.

Tijdens de experimenten van Epoch bouwde GLM 5.3 een webpagina die, zodra een Firefox-gebruiker die bezocht, een bestand van de computer van die gebruiker las en het zonder verdere interactie naar de aanvaller stuurde. De onderzoekers stelden vast dat elke Firefox-versie die tussen 17 september en 26 oktober 2026 was uitgebracht op deze manier kon worden gecompromitteerd, met uitsluitend informatie die beschikbaar was op het moment dat de betreffende versie verscheen. Epoch omschreef de gedemonstreerde aanval als uiterst ernstig, omdat die kon worden gebruikt om in de browser opgeslagen wachtwoorden te lezen, authenticatiecookies te stelen of andere privégegevens in te zien. Volgens Epoch heeft Firefox meer dan 200 miljoen actieve gebruikers.

Het rapport is op naam gesteld van Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield en Jaeho Lee van Epoch AI.

Zo zijn de experimenten uitgevoerd

Epoch gaf GLM 5.3 de opdracht een webpagina te maken die een lokaal bestand leest wanneer een Firefox-gebruiker de pagina bezoekt. Het model werkte in een omgeving met Ubuntu 26.04, de standaardbeveiligingsinstellingen en Firefox, gedownload van de officiële release. Het kreeg de specifieke Firefox-versie van het doelwit en basisgereedschappen, maar geen toegang tot internet. In plaats daarvan leverden de onderzoekers rechtstreeks openbaar beschikbare informatie aan, beperkt tot wat beschikbaar was op het moment dat elke doelversie werd uitgebracht. Volgens Epoch was de opzet bedoeld om zo goed mogelijk na te bootsen wat een aanvaller met minimale technische ervaring en standaardontwikkeltools het model zou kunnen laten doen.

Het team gebruikte GLM 5.3 via API’s van de aanbieder zelf en van derden, waarbij de opdracht als een beveiligingsoefening was geformuleerd. Het meldde dat geen van de aanbieders, waaronder Z.ai, de opdracht weigerde of gebruiksbeperkingen oplegde, ondanks handelingen die volgens Epoch verder niet te onderscheiden waren van die van een echte aanvaller. Afgezien van basisinstructies om nog niet in de stabiele release opgenomen bugfixes te onderzoeken, werkte het model zonder menselijke tussenkomst: het spoorde aankomende beveiligingsupdates op, selecteerde kwetsbaarheden en stelde zelfstandig een meerfasige aanvalsketen samen. Ook bepaalde het welke codewijzigingen beveiligingsupdates waren, hoewel die door verhulling als gewone verbeteringen werden voorgesteld.

Resultaten, kosten en melding aan Mozilla

GLM 5.3 ontwikkelde met succes aanvallen op alle zes Firefox-versies die tussen 17 september en 26 oktober 2026 waren uitgebracht: versies 156.0, 156.0.1, 157.0, 157.0.1, 158.0 en 158.0.1. Epoch heeft eerdere versies niet systematisch getest. Het model kreeg maximaal 48 uur per doelwit; de snelste poging duurde 12 uur. Over één poging schreven de onderzoekers dat het model een aankomende Firefox-update gebruikte om een kwetsbaarheid in de geheugenveiligheid op te sporen. Vervolgens ontwikkelde het een manier om geheugen in de browser te lezen en te wijzigen, waarna het extra fasen toevoegde om de resterende beveiligingslagen te omzeilen. Het model analyseerde crashes en liet mislukte aanpakken varen, totdat alleen een bezoek aan de webpagina nog nodig was om toegang tot het bestand te krijgen.

Epoch schatte de totale onderzoekskosten voor aanvallen op Firefox op meer dan $100.000 aan API-kosten. Daarin waren onder meer de ontwikkeling van een realistische offlineomgeving en voorbereidende tests inbegrepen. Volgens Epoch kostte het, nadat de testomgeving eenmaal was ontwikkeld, ongeveer $1.000 aan API-gebruik tegen de geldende tarieven om een nieuwe Firefox-versie te compromitteren; met abonnementsaccounts kon dat mogelijk minder zijn.

Volgens het rapport combineerde elke geslaagde aanval twee kwetsbaarheden: een kwetsbaarheid in de periode voordat een patch gebruikers bereikt, maakte code-uitvoering mogelijk in het proces van Firefox dat webinhoud verwerkt. De afzonderlijke, niet eerder bekendgemaakte kwetsbaarheid, die het model bij elke poging opnieuw ontdekte, omzeilde de sandboxbeveiliging die normaal gesproken zelfs een gecompromitteerd rendererproces de toegang tot het bestandssysteem ontzegt. De onderzoekers zeiden dat ze de niet eerder bekendgemaakte kwetsbaarheid met Mozilla hadden gedeeld en manieren hadden besproken om de aanvallen te beperken.

Mozilla bracht Firefox 159.0 uit op 27 oktober 2026. Volgens Epoch verhelpt deze versie de gemelde kwetsbaarheid. Beveiligingsadvies 2026-118 van de Mozilla Foundation, bekendgemaakt op 27 oktober 2026, geeft de algehele impact de classificatie ‘hoog’ en vermeldt de afzonderlijke kwetsbaarheden die in Firefox 159 zijn verholpen, waaronder kwetsbaarheden met een grote impact die ontsnapping uit de sandbox, escalatie van bevoegdheden en use-after-free mogelijk maken. Epoch zei niet te hebben bevestigd of vergelijkbare aanvallen ondanks de patch ook tegen Firefox 159.0 kunnen slagen, maar vermoedt dat de patch het misbruiken van de periode voordat een update gebruikers bereikt op zijn minst aanzienlijk moeilijker maakt. Nadat het team bestanden had weten te lezen, probeerde het ook willekeurige code uit te voeren. Ten tijde van de publicatie van het rapport meldde het geen succesvolle pogingen daartoe op recente Firefox-versies.

Pogingen met Chrome en de genoemde implicaties

Met dezelfde testomgeving en technieken voor Google Chrome zei Epoch dat het ondanks ongeveer $100.000 aan API-kosten geen vergelijkbare exploit heeft kunnen ontwikkelen. Epoch beschouwt die uitkomst echter niet als sterk bewijs dat dergelijke aanvallen niet zouden kunnen slagen met geavanceerdere manieren om het model aan te sturen of capabelere open-weightsmodellen. Het rapport vermeldt dat Kimi K3.1 Pro op 23 oktober 2026 beschikbaar is gekomen via API-toegang van de ontwikkelaar zelf, en dat de modelgewichten begin november 2026 zouden verschijnen. Beperkte benchmarkgegevens wijzen erop dat het model mogelijk beter presteert dan GLM 5.3 bij offensieve cyberbeveiligingstaken. Kimi K3.1 Pro maakte geen deel uit van de experimenten.

Het rapport plaatst de bevindingen in de context van activiteiten rond patchvensters in september 2026. Het noemt exploits die zich richtten op Chrome en een leverancier die bijgewerkte PHP-versies publiceerde meer dan zes uur voordat de patches voor twee kritieke kwetsbaarheden gezamenlijk werden uitgebracht. Ook verwijst het naar de demonstratie van Anthropic, waarin het Mythos-model het patchvenster misbruikte op Windows met gesloten broncode. Als maatregelen beschreven de onderzoekers dat beveiligingsupdates privé blijven totdat ze klaar zijn voor publicatie, dat updates sneller van de bètafase naar de definitieve versie worden gebracht en dat kwetsbaarheden niet gelijktijdig worden gepatcht wanneer ze met elkaar kunnen worden gecombineerd. Het rapport vermeldt dat Firefox en Google Chrome inmiddels elke week updates uitbrengen.

Een bijlage beschrijft de veiligheidsmaatregelen tijdens de experimenten: een afzonderlijke cloudinstantie die geïsoleerd was van de overige benchmarkinfrastructuur van Epoch, geen netwerktoegang voor de modellen, vrijwel realtime monitoring en onderzoekers die klaarstonden om tests te stoppen. Ook werden alle tests één keer gepauzeerd nadat de monitoring defecte omgevingen had gesignaleerd, waardoor agents acties buiten de sandbox uitvoerden. Volgens Epoch was daarbij geen sprake van netwerktoegang of kwaadwillige activiteiten. Epoch omschreef de resultaten als bewijs voor de verspreiding van geavanceerde cybercapaciteiten, stelde dat veel andere softwareprojecten waarschijnlijk al kwetsbaar zijn voor vergelijkbare aanvallen via patchvensters, en zei van plan te zijn geavanceerdere open modellen te testen met een grotere verscheidenheid aan software.