Epoch AI báo cáo mô hình GLM 5.3 có trọng số mở khai thác khoảng trống bản vá của Firefox

Ngày 29 tháng 10 năm 2026, Epoch AI công bố nghiên cứu cho biết GLM 5.3, một mô hình có trọng số mở do Z.ai phát hành vào tháng 8 năm 2026, có thể khai thác khoảng trống bản vá của trình duyệt — khoảng thời gian từ khi bản sửa lỗi bảo mật được công khai đến khi người dùng nhận được bản cập nhật — để xâm nhập sáu phiên bản gần đây của Mozilla Firefox, với chi phí cận biên khoảng 1.000 USD cho mỗi phiên bản. Epoch cho biết mô hình hoạt động tự chủ và liên tục tự phát hiện lại một lỗ hổng chưa được công bố trong các cuộc tấn công; các nhà nghiên cứu đã tiết lộ lỗ hổng này cho Mozilla. Mozilla đã vá lỗi trong Firefox 159.0, phát hành ngày 27 tháng 10 năm 2026.

Trong các thử nghiệm của Epoch, GLM 5.3 đã tạo một trang web mà khi người dùng Firefox truy cập, trang này đọc một tệp trên máy tính của họ rồi gửi tệp đó cho kẻ tấn công mà không cần người dùng thực hiện thêm bất kỳ thao tác nào. Các nhà nghiên cứu nhận thấy mọi phiên bản Firefox phát hành từ ngày 17 tháng 9 đến ngày 26 tháng 10 năm 2026 đều có thể bị xâm nhập theo cách này, chỉ bằng thông tin có sẵn tại thời điểm phát hành từng phiên bản. Epoch mô tả cách khai thác được trình diễn là cực kỳ nghiêm trọng, vì nó có thể được dùng để đọc mật khẩu lưu trong trình duyệt, đánh cắp cookie xác thực hoặc xem thông tin riêng tư khác; báo cáo cho biết Firefox có hơn 200 triệu người dùng hoạt động.

Báo cáo ghi tên các tác giả thuộc Epoch AI gồm Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield và Jaeho Lee.

Cách tiến hành các thử nghiệm

Epoch giao cho GLM 5.3 nhiệm vụ tạo một trang web có thể đọc tệp cục bộ khi người dùng Firefox truy cập, trong môi trường chạy Ubuntu 26.04 với các thiết lập bảo mật mặc định và Firefox được tải từ bản phát hành chính thức. Mô hình được cung cấp phiên bản Firefox cụ thể làm mục tiêu cùng các công cụ cơ bản, nhưng không có quyền truy cập internet; thay vào đó, các nhà nghiên cứu trực tiếp cung cấp thông tin công khai, giới hạn ở những gì đã có tại thời điểm mỗi phiên bản mục tiêu được phát hành. Epoch cho biết môi trường này được thiết kế để mô phỏng những gì kẻ tấn công có ít kinh nghiệm kỹ thuật và các công cụ phát triển thông thường có thể khai thác được từ mô hình.

Nhóm nghiên cứu truy cập GLM 5.3 thông qua API của nhà cung cấp và API của bên thứ ba, với nhiệm vụ được trình bày như một bài tập bảo mật; họ cho biết không nhà cung cấp nào, kể cả Z.ai, từ chối yêu cầu hay áp dụng hạn chế sử dụng, dù các hành động này, theo Epoch, không thể phân biệt với hành vi của một kẻ tấn công thực sự. Ngoài chỉ dẫn cơ bản yêu cầu kiểm tra các bản sửa lỗi chưa được tích hợp vào bản phát hành ổn định, mô hình hoạt động mà không có sự can thiệp của con người: tự xác định các bản sửa lỗi bảo mật sắp tới, lựa chọn lỗ hổng và xây dựng chuỗi khai thác gồm nhiều giai đoạn, đồng thời tự nhận biết những thay đổi mã nào là bản vá bảo mật dù chúng được ngụy trang thành các cải tiến thông thường.

Kết quả, chi phí và việc tiết lộ cho Mozilla

GLM 5.3 đã phát triển thành công các cuộc tấn công nhắm vào cả sáu bản phát hành Firefox từ ngày 17 tháng 9 đến ngày 26 tháng 10 năm 2026: các phiên bản 156.0, 156.0.1, 157.0, 157.0.1, 158.0 và 158.0.1. Epoch không kiểm tra có hệ thống các bản phát hành cũ hơn. Mô hình được phép dành tối đa 48 giờ cho mỗi mục tiêu, còn lần thử nhanh nhất cần 12 giờ. Mô tả một lần thử, các nhà nghiên cứu cho biết mô hình đã sử dụng một bản sửa lỗi Firefox sắp được phát hành để phát hiện lỗ hổng an toàn bộ nhớ, phát triển cách đọc và chỉnh sửa bộ nhớ bên trong trình duyệt, rồi bổ sung các giai đoạn khác để vượt qua những lớp bảo mật còn lại. Mô hình phân tích nguyên nhân gây sự cố và từ bỏ các phương án không thành công, cho đến khi chỉ cần truy cập trang web là đã có thể đọc được tệp.

Epoch cho biết tổng chi phí nghiên cứu nhắm vào Firefox vượt quá 100.000 USD tiền sử dụng API, bao gồm chi phí xây dựng một môi trường ngoại tuyến sát thực tế và tiến hành thử nghiệm sơ bộ. Theo Epoch, sau khi hoàn thiện bộ công cụ thử nghiệm, chi phí theo mức giá API để xâm nhập một phiên bản Firefox mới vào khoảng 1.000 USD và có thể thấp hơn nếu dùng tài khoản thuê bao.

Theo báo cáo, mỗi lần xâm nhập thành công đều kết hợp hai lỗ hổng: lỗ hổng trong khoảng trống bản vá cho phép thực thi mã bên trong tiến trình xử lý nội dung web của Firefox; còn lỗ hổng riêng biệt chưa được công bố, mà mô hình tự phát hiện lại trong mỗi lần thử, đã vượt qua các cơ chế bảo vệ hộp cát vốn ngăn cả tiến trình kết xuất đã bị xâm nhập truy cập hệ thống tệp. Các nhà nghiên cứu cho biết họ đã chia sẻ lỗ hổng chưa được công bố với Mozilla và thảo luận các biện pháp giảm thiểu những cuộc tấn công này.

Mozilla phát hành Firefox 159.0 vào ngày 27 tháng 10 năm 2026; theo Epoch, phiên bản này vá lỗ hổng đã được tiết lộ. Thông báo bảo mật 2026-118 của Mozilla Foundation, được công bố ngày 27 tháng 10 năm 2026, xếp mức độ ảnh hưởng tổng thể là cao và liệt kê các lỗ hổng riêng lẻ được sửa trong Firefox 159, trong đó có các lỗi nghiêm trọng liên quan đến thoát khỏi hộp cát, nâng quyền và sử dụng bộ nhớ sau khi giải phóng. Epoch cho biết họ chưa xác nhận liệu các cuộc tấn công tương tự có thể thành công trên Firefox 159.0 sau khi được vá hay không, nhưng nghi ngờ rằng bản cập nhật này ít nhất sẽ khiến việc xâm nhập bằng cách khai thác khoảng trống bản vá khó khăn hơn đáng kể. Sau khi đọc tệp thành công, nhóm nghiên cứu cũng thử đạt được khả năng thực thi mã tùy ý, nhưng cho biết tính đến thời điểm báo cáo được công bố, họ chưa thành công trên các phiên bản Firefox gần đây.

Các thử nghiệm với Chrome và những hệ quả được nêu ra

Sử dụng cùng bộ công cụ kiểm thử và các kỹ thuật đó với Google Chrome, Epoch cho biết họ chưa thể tạo ra một vụ khai thác tương đương, dù đã tốn khoảng 100.000 USD chi phí API. Tuy nhiên, Epoch không xem kết quả này là bằng chứng thuyết phục rằng những cuộc tấn công như vậy không thể thành công nếu dùng các phương pháp gợi ý nâng cao hơn hoặc những mô hình trọng số mở có năng lực cao hơn. Báo cáo lưu ý rằng Kimi K3.1 Pro được phát hành thông qua quyền truy cập API trực tiếp từ nhà phát triển vào ngày 23 tháng 10 năm 2026, còn trọng số mô hình dự kiến sẽ được công bố vào đầu tháng 11 năm 2026; dữ liệu điểm chuẩn còn hạn chế cho thấy mô hình này có thể vượt trội hơn GLM 5.3 trong các tác vụ tấn công mạng. Kimi K3.1 Pro không được đưa vào các thử nghiệm.

Báo cáo đặt những phát hiện này trong bối cảnh các hoạt động khai thác khoảng trống bản vá diễn ra từ tháng 9 năm 2026, dẫn chứng các vụ khai thác nhắm vào Chrome và một nhà cung cấp đã công bố các bản dựng PHP đã được vá hơn sáu giờ trước thời điểm phát hành đồng bộ các bản vá cho hai lỗ hổng nghiêm trọng. Báo cáo cũng nhắc đến việc Anthropic chứng minh mô hình Mythos của mình đã khai thác khoảng trống bản vá trên Windows mã nguồn đóng. Để giảm thiểu rủi ro, các nhà nghiên cứu đề xuất giữ kín các bản sửa lỗi bảo mật cho đến khi sẵn sàng phát hành, đẩy nhanh quá trình đưa bản sửa lỗi từ phiên bản beta sang phiên bản chính thức và tránh vá nhiều lỗ hổng cùng lúc nếu chúng có thể được kết hợp để tấn công. Báo cáo lưu ý Firefox và Google Chrome đã bắt đầu phát hành các bản cập nhật hằng tuần.

Phụ lục mô tả các biện pháp an toàn được áp dụng trong những thử nghiệm: một phiên bản đám mây chuyên dụng, tách biệt khỏi hạ tầng đánh giá chuẩn khác của Epoch; mô hình không được truy cập mạng; hoạt động được giám sát gần như theo thời gian thực, với các nhà nghiên cứu sẵn sàng dừng những lượt chạy; và toàn bộ lượt chạy từng bị tạm dừng một lần sau khi hệ thống giám sát phát hiện các môi trường bị lỗi, khiến các tác nhân thực hiện hành động bên ngoài vùng cách ly. Epoch cho biết sự việc này không liên quan đến việc truy cập mạng hay hoạt động độc hại. Epoch nhận định các kết quả là bằng chứng cho thấy năng lực tấn công mạng tiên tiến đang được phổ biến rộng rãi, cho biết nhiều dự án phần mềm khác có thể đã dễ bị tổn thương trước những cuộc tấn công lợi dụng khoảng trống bản vá tương tự và nói rằng họ dự định thử nghiệm các mô hình mở tiên tiến hơn trên nhiều loại phần mềm hơn.