Epoch AI relata que GLM 5.3, de pesos abertos, explora a lacuna na aplicação de correções do Firefox

A Epoch AI publicou uma pesquisa em 29 de outubro de 2026, relatando que GLM 5.3, um modelo de pesos abertos lançado pela Z.ai em agosto de 2026, pode explorar a lacuna na aplicação de correções do navegador — o intervalo entre a divulgação pública de uma correção de segurança e sua chegada aos usuários — para comprometer seis versões recentes do Mozilla Firefox, a um custo marginal de cerca de US$ 1.000 por versão. Segundo a Epoch, o modelo operou de forma autônoma e redescobriu repetidamente, durante os ataques, uma vulnerabilidade ainda não divulgada, que os pesquisadores comunicaram à Mozilla; a empresa corrigiu a falha no Firefox 159.0, lançado em 27 de outubro de 2026.

Nos experimentos da Epoch, GLM 5.3 criou uma página da web que, quando acessada por um usuário do Firefox, lia um arquivo do computador do visitante e o enviava ao invasor sem exigir qualquer outra interação do usuário. Os pesquisadores concluíram que qualquer versão do Firefox lançada entre 17 de setembro e 26 de outubro de 2026 poderia ser comprometida dessa forma, usando apenas informações disponíveis na época de cada lançamento. A Epoch classificou a exploração demonstrada como extremamente grave, pois poderia ser usada para ler senhas armazenadas no navegador, roubar cookies de autenticação ou visualizar outras informações privadas; o relatório também afirma que o Firefox tem mais de 200 milhões de usuários ativos.

O relatório é assinado por Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield e Jaeho Lee, da Epoch AI.

Como os experimentos foram conduzidos

A Epoch encarregou GLM 5.3 de criar uma página da web que lesse um arquivo local quando acessada por um usuário do Firefox, em um ambiente com Ubuntu 26.04, configurações de segurança padrão e o Firefox obtido da versão oficial. O modelo recebeu a versão específica do Firefox que seria o alvo e ferramentas básicas, mas não teve acesso à internet; em vez disso, os pesquisadores forneceram diretamente informações disponíveis publicamente, limitadas ao que estava disponível quando cada versão-alvo foi lançada. Segundo a Epoch, a configuração foi projetada para simular o que um invasor com experiência técnica mínima e ferramentas de desenvolvimento padrão poderia obter do modelo.

A equipe acessou GLM 5.3 por meio de APIs próprias e de terceiros, apresentando a tarefa como um exercício de segurança, e relatou que nenhum provedor, incluindo a Z.ai, recusou a solicitação ou impôs restrições de uso, embora as ações fossem, segundo a Epoch, indistinguíveis das de um invasor real. Além de instruções básicas para examinar correções de bugs ainda não incorporadas à versão estável, o modelo operou sem intervenção humana: identificou correções de segurança futuras, selecionou vulnerabilidades e montou por conta própria uma cadeia de exploração em várias etapas, inclusive determinando quais alterações no código eram correções de segurança, apesar de terem sido disfarçadas como melhorias comuns.

Resultados, custos e divulgação à Mozilla

GLM 5.3 desenvolveu ataques com sucesso contra as seis versões do Firefox lançadas entre 17 de setembro e 26 de outubro de 2026: 156.0, 156.0.1, 157.0, 157.0.1, 158.0 e 158.0.1. A Epoch não testou sistematicamente versões anteriores. O modelo teve até 48 horas para cada alvo, e sua tentativa mais rápida levou 12 horas. Ao descrever uma das tentativas, os pesquisadores disseram que o modelo usou uma correção futura do Firefox para identificar uma falha de segurança de memória, desenvolveu uma maneira de ler e modificar a memória dentro do navegador e, em seguida, criou etapas adicionais para contornar as camadas de segurança restantes. O modelo diagnosticou falhas e abandonou abordagens malsucedidas até que bastasse acessar a página da web para obter acesso ao arquivo.

A Epoch estima que gastou mais de US$ 100.000 em custos de API na pesquisa direcionada ao Firefox, incluindo o trabalho para criar um ambiente offline realista e realizar testes preliminares. A organização afirmou que, depois de desenvolver sua estrutura de testes, comprometer uma nova versão do Firefox custava cerca de US$ 1.000 pelos preços de API, e potencialmente menos com contas por assinatura.

Segundo o relatório, cada comprometimento bem-sucedido encadeou duas vulnerabilidades: uma vulnerabilidade explorável durante a lacuna na aplicação de correções permitiu executar código dentro do processo de conteúdo web do Firefox; já uma vulnerabilidade distinta, ainda não divulgada e redescoberta pelo modelo em cada tentativa, contornou as proteções da área restrita que normalmente impediriam até mesmo um processo de renderização comprometido de acessar o sistema de arquivos. Os pesquisadores disseram que compartilharam a vulnerabilidade ainda não divulgada com a Mozilla e discutiram maneiras de atenuar os ataques.

A Mozilla lançou o Firefox 159.0 em 27 de outubro de 2026; segundo a Epoch, essa versão corrige a vulnerabilidade divulgada. O Comunicado de segurança 2026-118 da Mozilla Foundation, anunciado em 27 de outubro de 2026, classifica o impacto geral como alto e lista as vulnerabilidades específicas corrigidas no Firefox 159, incluindo falhas de alto impacto de escape da área restrita, elevação de privilégios e uso após liberação. A Epoch afirmou que ainda não confirmou se ataques semelhantes podem ser bem-sucedidos contra o Firefox 159.0, considerando a correção, mas suspeita que ela deva tornar substancialmente mais difícil, no mínimo, comprometer o navegador durante a lacuna na aplicação de correções. Depois de conseguir ler arquivos, a equipe também tentou obter execução arbitrária de código e informou que, até a publicação do relatório, não havia conseguido isso em versões recentes do Firefox.

Tentativas contra o Chrome e implicações apontadas

Usando a mesma estrutura de testes e as mesmas técnicas contra o Google Chrome, a Epoch afirmou não ter conseguido criar um exploit equivalente, apesar de ter incorrido em cerca de US$ 100.000 em custos de API. No entanto, a empresa não considera esse resultado uma evidência sólida de que ataques desse tipo não poderiam ter êxito com técnicas de elicitação mais avançadas ou modelos de pesos abertos mais capazes. O relatório observa que o Kimi K3.1 Pro foi disponibilizado por meio de acesso à API própria em 23 de outubro de 2026, com os pesos previstos para o início de novembro de 2026, e que dados limitados de benchmark sugerem que ele pode superar o GLM 5.3 em tarefas cibernéticas ofensivas; o Kimi K3.1 Pro não fez parte dos experimentos.

O relatório contextualiza as descobertas com atividades de exploração de lacunas entre a divulgação e a aplicação de correções ocorridas em setembro de 2026. Cita exploits direcionados ao Chrome e um fornecedor que publicou compilações do PHP com correções mais de seis horas antes do lançamento coordenado de correções para duas vulnerabilidades críticas, além da demonstração da Anthropic de que seu modelo Mythos explorou essa lacuna no Windows de código fechado. Como medidas de mitigação, os pesquisadores descreveram manter as correções de segurança em sigilo até estarem prontas para lançamento, promover mais rapidamente as correções da versão beta para a versão estável e evitar corrigir várias vulnerabilidades ao mesmo tempo quando elas podem ser encadeadas. O relatório observa que o Firefox e o Google Chrome começaram a distribuir atualizações semanalmente.

Um apêndice descreve as medidas de segurança adotadas nos experimentos: uma instância dedicada na nuvem, isolada da restante infraestrutura de benchmarking da Epoch; nenhum acesso do modelo à rede; monitoramento quase em tempo real, com pesquisadores disponíveis para interromper as execuções; e uma pausa em todas as execuções depois que o monitoramento sinalizou ambientes com falhas que levaram os agentes a realizar ações fora da sandbox. Segundo a Epoch, isso não envolveu acesso à rede nem atividade maliciosa. A Epoch caracterizou os resultados como evidência da disseminação de capacidades cibernéticas avançadas, afirmou que muitos outros projetos de software provavelmente já são vulneráveis a ataques semelhantes que exploram lacunas entre a divulgação e a aplicação de correções e disse que planeja testar modelos abertos mais avançados em uma variedade maior de softwares.