Epoch AI rapporterer at GLM 5.3 med åpne modellvekter utnytter gapet mellom sikkerhetsoppdateringer i Firefox

Epoch AI publiserte forskning 29. oktober 2026. I rapporten heter det at GLM 5.3, en modell med åpne vekter som Z.ai lanserte i august 2026, kan utnytte gapet mellom sikkerhetsoppdateringer – tidsrommet fra en sikkerhetsrettelse blir offentlig kjent til den når brukerne – til å kompromittere seks nyere versjoner av Mozilla Firefox, til en marginalkostnad på rundt 1 000 dollar per versjon. Ifølge Epoch arbeidet modellen autonomt og gjenoppdaget gjentatte ganger en upublisert sårbarhet under angrepene. Forskerne varslet Mozilla om sårbarheten, og Mozilla rettet den i Firefox 159.0, som ble lansert 27. oktober 2026.

I Epochs eksperimenter laget GLM 5.3 en nettside som, når en Firefox-bruker besøkte den, leste en fil fra brukerens datamaskin og sendte den til angriperen uten at brukeren trengte å gjøre noe mer. Forskerne fant at alle Firefox-versjoner lansert mellom 17. september og 26. oktober 2026 kunne kompromitteres på denne måten, ved hjelp av informasjon som var tilgjengelig da hver versjon ble lansert. Epoch beskrev den demonstrerte utnyttelsen som svært alvorlig, ettersom den kunne brukes til å lese passord lagret i nettleseren, stjele autentiseringsinformasjonskapsler eller se annen privat informasjon. Epoch oppgir at Firefox har mer enn 200 millioner aktive brukere.

Rapporten er skrevet av Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield og Jaeho Lee fra Epoch AI.

Slik ble eksperimentene gjennomført

Epoch ba GLM 5.3 lage en nettside som leser en lokal fil når en Firefox-bruker besøker den. Eksperimentet foregikk i et miljø med Ubuntu 26.04, standard sikkerhetsinnstillinger og Firefox lastet ned fra den offisielle utgivelsen. Modellen fikk oppgitt den konkrete Firefox-versjonen som var målet, samt grunnleggende verktøy, men hadde ikke tilgang til internett. I stedet ga forskerne modellen offentlig tilgjengelig informasjon direkte, begrenset til det som var tilgjengelig da hver målversjon ble lansert. Epoch sa at oppsettet skulle etterligne hva en angriper med minimale tekniske ferdigheter og vanlige utviklingsverktøy kunne få modellen til å gjøre.

Teamet brukte GLM 5.3 gjennom både første- og tredjeparts-API-er, og presenterte oppgaven som en sikkerhetsøvelse. De rapporterte at ingen av leverandørene, heller ikke Z.ai, avslo forespørslene eller innførte bruksbegrensninger, selv om handlingene ifølge forskerne ellers ikke kunne skilles fra handlingene til en reell angriper. Modellen fikk bare grunnleggende instruksjoner om å undersøke feilrettinger som ennå ikke var tatt inn i den stabile utgaven, og arbeidet deretter uten menneskelig innblanding: Den identifiserte kommende sikkerhetsrettelser, valgte ut sårbarheter og satte på egen hånd sammen en flertrinns angrepskjede. Den fant også ut hvilke kodeendringer som var sikkerhetsrettelser, selv om tilslørende presentasjon fikk dem til å se ut som vanlige forbedringer.

Resultater, kostnader og varsling av Mozilla

GLM 5.3 utviklet angrep som fungerte mot alle de seks Firefox-utgivelsene mellom 17. september og 26. oktober 2026: versjonene 156.0, 156.0.1, 157.0, 157.0.1, 158.0 og 158.0.1. Epoch testet ikke eldre utgivelser systematisk. Modellen fikk opptil 48 timer per mål, og det raskeste forsøket tok 12 timer. Forskerne beskrev ett av forsøkene slik: Modellen brukte en kommende Firefox-rettelse til å identifisere en minnesikkerhetsfeil, utviklet en metode for å lese og endre minne inne i nettleseren og satte deretter sammen flere trinn for å omgå de gjenværende sikkerhetslagene. Den diagnostiserte krasj og forkastet mislykkede framgangsmåter, helt til det var nok å besøke nettsiden for å få tilgang til filen.

Epoch oppga at de samlede forskningskostnadene for arbeidet med å angripe Firefox oversteg 100 000 dollar i API-kostnader. Beløpet omfattet blant annet arbeidet med å bygge et realistisk frakoblet miljø og innledende testing. Ifølge Epoch kostet det rundt 1 000 dollar etter API-priser å kompromittere en ny Firefox-versjon da testoppsettet først var utviklet, og det kunne koste mindre med abonnementskontoer.

Ifølge rapporten besto hvert vellykkede angrep av to sårbarheter i kjede: En sårbarhet knyttet til oppdateringsgapet ga mulighet til å kjøre kode i Firefox-prosessen som håndterer nettinnhold, mens den separate, upubliserte sårbarheten – som modellen gjenoppdaget ved hvert forsøk – omgåtte sandkassebeskyttelsen, som normalt hindrer selv en kompromittert gjengivelsesprosess i å få tilgang til filsystemet. Forskerne sa at de delte den upubliserte sårbarheten med Mozilla og diskuterte mulige tiltak for å begrense angrepene.

Mozilla lanserte Firefox 159.0 27. oktober 2026. Ifølge Epoch retter denne versjonen den offentliggjorte sårbarheten. Sikkerhetsvarsel 2026-118 fra Mozilla Foundation, som ble kunngjort 27. oktober 2026, angir den samlede konsekvensgraden som høy og lister opp de enkelte sårbarhetene som ble rettet i Firefox 159, blant annet sandkasseomgåelser, rettighetseskalering og bruk-etter-frigivelse-feil med høy konsekvensgrad. Epoch sa at de ikke har bekreftet om lignende angrep kan lykkes mot Firefox 159.0 etter rettelsen, men tror at den i det minste bør gjøre det betydelig vanskeligere å kompromittere nettleseren gjennom et oppdateringsgap. Etter at de lyktes med å lese filer, forsøkte teamet også å oppnå vilkårlig kodekjøring, men rapporterte at de ikke hadde lykkes med dette mot nyere Firefox-utgivelser da rapporten ble publisert.

Forsøk mot Chrome og oppgitte konsekvenser

Ved å bruke det samme testoppsettet og de samme teknikkene mot Google Chrome sa Epoch at de ikke hadde klart å lage en tilsvarende utnyttelse, til tross for API-kostnader på rundt 100 000 dollar. Epoch ser imidlertid ikke dette utfallet som sterke bevis for at slike angrep ikke ville lykkes med mer avanserte metoder for å få fram modellens evner eller med mer kapable modeller med åpne vekter. Rapporten påpeker at Kimi K3.1 Pro ble lansert med tilgang via et førsteparts-API 23. oktober 2026, og at vektene etter planen skulle bli tilgjengelige tidlig i november 2026. Begrensede benchmarkdata tyder på at modellen kan prestere bedre enn GLM 5.3 innen offensive cyberoppgaver. Kimi K3.1 Pro var ikke med i eksperimentene.

Rapporten setter funnene i sammenheng med aktivitet knyttet til sikkerhetsoppdateringsgapet i september 2026. Den viser til utnyttelsesangrep mot Chrome og til en leverandør som publiserte PHP-bygg med sikkerhetsoppdateringer mer enn seks timer før den koordinerte utgivelsen av oppdateringer for to kritiske sårbarheter. Den viser også til Anthropics demonstrasjon av at Mythos-modellen deres utnyttet sikkerhetsoppdateringsgapet i Windows, som har lukket kildekode. Som tiltak for å redusere risikoen beskrev forskerne å holde sikkerhetsrettelser private til de er klare til å publiseres, å få rettelser raskere fra betaversjon til endelig versjon og å unngå å rette flere sårbarheter samtidig når de kan kjedes sammen. Rapporten påpeker at Firefox og Google Chrome har begynt å sende ut oppdateringer hver uke.

Et vedlegg beskriver sikkerhetstiltakene bak eksperimentene: en egen skyinstans som var isolert fra Epochs øvrige infrastruktur for benchmarking, ingen nettverkstilgang for modellen, overvåking nesten i sanntid og forskere som kunne stanse kjøringene. Alle kjøringene ble satt på pause én gang etter at overvåkingen varslet om defekte miljøer som førte til at agentene utførte handlinger utenfor sandkassen. Epoch opplyste at dette verken innebar nettverkstilgang eller ondsinnet aktivitet. Epoch beskrev resultatene som tegn på at avanserte cyberkapasiteter sprer seg, sa at mange andre programvareprosjekter sannsynligvis allerede er sårbare for lignende angrep som utnytter sikkerhetsoppdateringsgapet, og opplyste at de planlegger å teste mer avanserte modeller med åpne vekter på et bredere utvalg programvare.