Epoch AI повідомляє: модель GLM 5.3 із відкритими вагами скористалася затримкою між випуском виправлення для Firefox і його встановленням користувачами

29 жовтня 2026 року Epoch AI опублікувала дослідження, у якому повідомила, що GLM 5.3 — модель із відкритими вагами, випущена компанією Z.ai у серпні 2026 року, — може скористатися затримкою між оприлюдненням виправлення безпеки та його встановленням користувачами, щоб зламати шість нещодавніх версій Mozilla Firefox. Граничні витрати становлять близько $1,000 на версію. За словами Epoch, модель діяла автономно й під час атак неодноразово самостійно виявляла раніше не оприлюднену вразливість. Дослідники повідомили про неї Mozilla, а компанія усунула її у Firefox 159.0, випущеному 27 жовтня 2026 року.

Під час експериментів Epoch GLM 5.3 створила вебсторінку, яка після відкриття користувачем Firefox читала файл із комп’ютера відвідувача й надсилала його зловмиснику без будь-яких подальших дій користувача. Дослідники з’ясували, що таким способом можна було зламати будь-яку версію Firefox, випущену в період із 17 вересня до 26 жовтня 2026 року, використовуючи лише інформацію, доступну на момент випуску кожної версії. Epoch назвала продемонстровану атаку надзвичайно серйозною, оскільки її можна було використати для читання паролів, збережених у браузері, викрадення файлів cookie автентифікації або перегляду іншої приватної інформації. У звіті зазначено, що Firefox має понад 200 мільйонів активних користувачів.

Авторами звіту зазначені Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield і Jaeho Lee з Epoch AI.

Як проводили експерименти

Epoch доручила GLM 5.3 створити вебсторінку, яка читає локальний файл, коли її відкриває користувач Firefox. Експеримент проводили в середовищі Ubuntu 26.04 зі стандартними налаштуваннями безпеки, використовуючи Firefox, завантажений з офіційного джерела. Модель отримала точний номер версії Firefox, на яку мала націлитися, і базові інструменти, але не мала доступу до інтернету. Натомість дослідники безпосередньо надали їй загальнодоступну інформацію, обмеживши її тією, що була доступна на момент виходу кожної цільової версії. За словами Epoch, таке налаштування мало відтворити те, чого може домогтися від моделі зловмисник із мінімальними технічними навичками та стандартними інструментами розробки.

Команда отримувала доступ до GLM 5.3 через офіційні й сторонні API, подавши завдання як вправу з безпеки, і повідомила, що жоден постачальник, зокрема Z.ai, не відмовив у виконанні запиту й не запровадив обмежень на використання, хоча, як зазначили дослідники, дії моделі нічим не відрізнялися від дій реального зловмисника. Окрім базової вказівки перевіряти виправлення помилок, ще не включені до стабільного випуску, модель працювала без участі людини: самостійно виявляла майбутні виправлення безпеки, обирала вразливості та будувала багатоетапний ланцюжок експлойтів, зокрема визначала, які зміни в коді є виправленнями безпеки, навіть коли через маскування вони виглядали як звичайні вдосконалення.

Результати, витрати та повідомлення Mozilla

GLM 5.3 успішно розробила атаки для всіх шести версій Firefox, випущених у період із 17 вересня до 26 жовтня 2026 року: 156.0, 156.0.1, 157.0, 157.0.1, 158.0 і 158.0.1. Epoch не проводила систематичного тестування попередніх версій. На кожну цільову версію моделі відводили до 48 годин, а найшвидша спроба тривала 12 годин. Описуючи одну зі спроб, дослідники зазначили, що модель використала майбутнє виправлення Firefox, щоб виявити вразливість безпеки пам’яті, розробила спосіб читати й змінювати пам’ять усередині браузера, а потім додала наступні етапи, щоб обійти решту рівнів захисту. Вона аналізувала збої та відмовлялася від невдалих підходів, доки для доступу до файла не стало достатньо просто відвідати вебсторінку.

За оцінкою Epoch, загальні витрати на дослідження атак на Firefox перевищили $100,000 у вигляді оплати API. До цієї суми увійшли витрати на створення реалістичного автономного середовища та попереднє тестування. Epoch повідомила, що після розроблення тестового стенда злам нової версії Firefox коштував близько $1,000 за тарифами API, а з обліковими записами з підпискою міг коштувати ще дешевше.

Згідно зі звітом, кожна успішна атака поєднувала дві вразливості: одна, пов’язана із затримкою встановлення виправлення, забезпечувала виконання коду в процесі Firefox, що обробляє вебвміст, а окрема раніше не оприлюднена вразливість, яку модель повторно виявляла під час кожної спроби, обходила захист пісочниці, що зазвичай не дає навіть скомпрометованому процесу оброблення вмісту отримати доступ до файлової системи. Дослідники повідомили про невідому раніше вразливість Mozilla й обговорили способи зменшити ризик таких атак.

27 жовтня 2026 року Mozilla випустила Firefox 159.0 — версію, у якій, за словами Epoch, усунула розкриту вразливість. Рекомендація з безпеки Mozilla Foundation 2026-118, оприлюднена 27 жовтня 2026 року, містить загальну оцінку впливу «високий» і перелік окремих вразливостей, виправлених у Firefox 159, зокрема вразливостей із високим рівнем впливу, пов’язаних з обходом ізоляції пісочниці, підвищенням привілеїв і використанням пам’яті після її звільнення. Epoch повідомила, що через наявність виправлення поки не підтвердила, чи можуть подібні атаки бути успішними проти Firefox 159.0, але припускає, що воно має принаймні істотно ускладнити злам через затримку встановлення виправлення. Після успішних спроб прочитати файли команда також намагалася досягти довільного виконання коду, однак, за її повідомленням, станом на дату публікації звіту таких спроб проти нещодавніх версій Firefox не було успішних.

Спроби атакувати Chrome та їхні заявлені наслідки

Застосовуючи той самий випробувальний стенд і ті самі методики до Google Chrome, Epoch повідомила, що їй не вдалося створити аналогічний експлойт, попри витрати близько 100 000 доларів США на API. Водночас компанія не вважає цей результат вагомим доказом того, що подібні атаки не вдадуться за умови більш просунутих методів спонукання моделей або використання потужніших моделей із відкритими вагами. У звіті зазначено, що Kimi K3.1 Pro випустили з доступом через офіційний API 23 жовтня 2026 року, а відкриття ваг запланували на початок листопада 2026 року. Обмежені дані тестування свідчать, що ця модель може перевершити GLM 5.3 у завданнях із кібероперацій наступального характеру; Kimi K3.1 Pro не брала участі в експериментах.

У звіті ці результати розглядаються на тлі активності, пов’язаної з періодом до випуску виправлень, у вересні 2026 року. У ньому згадано експлойти, спрямовані проти Chrome, а також постачальника, який опублікував виправлені збірки PHP більш ніж за шість годин до скоординованого випуску виправлень для двох критичних уразливостей. Також наведено демонстрацію Anthropic, у якій модель Mythos скористалася періодом до випуску виправлення у Windows із закритим вихідним кодом. Як заходи протидії дослідники назвали збереження конфіденційності виправлень безпеки до моменту готовності до випуску, швидше перенесення виправлень із бета-версії до релізу та відмову від одночасного виправлення кількох уразливостей, якщо їх можна поєднати в ланцюжок. У звіті зазначено, що Firefox і Google Chrome почали випускати оновлення щотижня.

У додатку описано заходи безпеки, яких ужили під час експериментів: окремий хмарний екземпляр, ізольований від решти інфраструктури Epoch для тестування, відсутність у моделей доступу до мережі, моніторинг майже в реальному часі з можливістю для дослідників зупиняти запуски, а також одноразове призупинення всіх запусків після того, як моніторинг виявив несправні середовища, через які агенти почали діяти за межами пісочниці. За словами Epoch, це не передбачало доступу до мережі чи зловмисної діяльності. Epoch охарактеризувала результати як свідчення поширення передових кіберможливостей, зазначила, що багато інших програмних проєктів, імовірно, вже вразливі до подібних атак у період до випуску виправлень, і повідомила про плани тестувати потужніші відкриті моделі на ширшому спектрі програмного забезпечення.