Epoch AI 报告：开放权重 GLM 5.3 利用 Firefox 补丁窗口漏洞

Epoch AI 于 2026 年 10 月 29 日发表了研究，报告称，Z.ai 于 2026 年 8 月发布的开放权重模型 GLM 5.3 能够利用浏览器补丁窗口——即安全修复公开后、实际推送给用户前的这段时间——攻破 Mozilla Firefox 近期发布的六个版本，每个版本的边际成本约为 1,000 美元。Epoch 表示，该模型能够自主行动，并在攻击过程中反复重新发现一个尚未公开披露的漏洞；研究人员已将该漏洞报告给 Mozilla。Mozilla 随后在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。

在 Epoch 的实验中，GLM 5.3 构建了一个网页：Firefox 用户访问该网页后，网页会读取用户计算机上的文件，并将其发送给攻击者，之后无需用户进行任何操作。研究人员发现，2026 年 9 月 17 日至 10 月 26 日期间发布的任何 Firefox 版本，都可以利用当时各版本发布时已有的信息，以这种方式攻破。Epoch 称，演示的漏洞利用极其严重，因为它可用于读取浏览器中存储的密码、窃取身份验证 Cookie，或查看其他私人信息；报告还指出，Firefox 的活跃用户超过 2 亿。

这份报告的署名作者为 Epoch AI 的 Aiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield 和 Jaeho Lee。

实验如何开展

Epoch 要求 GLM 5.3 创建一个网页，使 Firefox 用户访问该网页时，网页能够读取本地文件。实验环境运行 Ubuntu 26.04，采用默认安全设置，并使用从官方渠道下载的 Firefox。模型获得了目标 Firefox 的具体版本信息和基础工具，但无法访问互联网；研究人员则直接提供公开可用的信息，并将其限制在目标版本发布时已经可获取的内容范围内。Epoch 表示，这一设置旨在模拟一名技术经验有限、使用标准开发工具的攻击者能够从模型那里获得什么。

研究团队通过官方和第三方 API 使用 GLM 5.3，并将任务设定为安全演练。他们报告称，包括 Z.ai 在内的所有服务提供商都没有拒绝请求或施加使用限制，尽管 Epoch 认为模型采取的行动与真实攻击者的行为没有区别。除了收到检查尚未纳入稳定版的漏洞修复内容这一基本指令外，模型全程无需人工输入：它自行识别即将推出的安全修复、选择漏洞，并串联起多阶段攻击链；即使代码变更经过混淆、看起来只是普通改进，它也能判断哪些属于安全补丁。

结果、成本与向 Mozilla 披露漏洞

GLM 5.3 成功针对 2026 年 9 月 17 日至 10 月 26 日期间发布的全部六个 Firefox 版本开发了攻击：156.0、156.0.1、157.0、157.0.1、158.0 和 158.0.1。Epoch 没有对更早发布的版本进行系统性测试。模型针对每个目标最多可运行 48 小时，耗时最短的一次也用了 12 小时。研究人员在描述一次尝试时表示，模型利用 Firefox 即将推出的修复识别出一个内存安全漏洞，接着设计出读取和修改浏览器内部内存的方法，然后构建额外的攻击阶段，绕过剩余的安全防护层。模型通过分析崩溃原因并放弃无效方案，最终实现了仅需访问网页就能读取文件。

Epoch 表示，针对 Firefox 的研究总支出超过 100,000 美元的 API 费用，其中包括搭建逼真的离线环境和开展初步测试的成本。Epoch 还称，测试框架搭建完成后，攻破一个新的 Firefox 版本按 API 价格计算约需 1,000 美元；使用订阅账户时，成本可能更低。

报告称，每次成功攻破都串联利用了两个漏洞：一个补丁窗口漏洞使攻击者能够在 Firefox 的网页内容进程中执行代码；另一个独立且尚未公开披露的漏洞则绕过了沙箱保护。通常，即便渲染器进程已遭攻破，沙箱也会阻止其访问文件系统；而模型在每次尝试中都会重新发现这个未公开漏洞。研究人员表示，他们已将该漏洞告知 Mozilla，并讨论了缓解攻击的方法。

Mozilla 于 2026 年 10 月 27 日发布 Firefox 159.0，Epoch 表示该版本修复了已披露的漏洞。Mozilla Foundation Security Advisory 2026-118于 2026 年 10 月 27 日发布，整体影响评级为高，并列出了 Firefox 159 修复的各项漏洞，包括影响严重的沙箱逃逸、权限提升和释放后使用漏洞。Epoch 表示，尚未确认在应用该补丁后，针对 Firefox 159.0 的类似攻击能否成功，但他们怀疑这应会显著增加利用补丁窗口攻破浏览器的难度。通过读取文件的攻击取得成功后，研究团队还尝试实现任意代码执行；据报告发布时的情况，他们未能在近期 Firefox 版本上成功做到这一点。

针对 Chrome 的尝试及其影响

Epoch 表示，使用相同的测试框架和技术针对 Google Chrome 进行测试后，尽管 API 成本约为 100,000 美元，仍未能制造出同等的漏洞利用。不过，Epoch 并不认为这一结果有力证明了此类攻击无法成功；如果采用更先进的引导方法或能力更强的开放权重模型，攻击仍可能得逞。报告指出，Kimi K3.1 Pro 于 2026 年 10 月 23 日通过官方 API 开放使用，模型权重计划于 2026 年 11 月初发布。有限的基准测试数据表明，它在网络攻击任务上的表现可能优于 GLM 5.3；Kimi K3.1 Pro 并未参与这些实验。

报告将这些发现置于 2026 年 9 月的补丁空窗期攻击背景下，提及了针对 Chrome 的漏洞利用，以及一家供应商在针对两项严重漏洞的补丁协调发布前六个多小时就发布了修复版 PHP 构建版本。报告还提到，Anthropic 曾展示其 Mythos 模型如何利用补丁空窗期攻击闭源 Windows 系统。作为缓解措施，研究人员提出，在安全修复准备好发布前对其保密；加快将修复从测试版推送至正式版的速度；如果多个漏洞可以串联利用，就避免同时修补这些漏洞。报告指出，Firefox 和 Google Chrome 已开始每周发布更新。

附录介绍了实验采取的安全措施：使用专用云实例，并将其与 Epoch 的其他基准测试基础设施隔离；不向模型提供网络访问权限；以近乎实时的方式进行监控，并安排研究人员随时中止运行。监控发现环境损坏，导致智能体在沙箱之外采取行动后，所有运行曾暂停一次。Epoch 表示，这一事件不涉及网络访问或恶意活动。Epoch 将这些结果视为先进网络攻击能力正在扩散的证据，并表示许多其他软件项目可能已经容易受到类似补丁空窗期攻击；Epoch 还计划在更多种类的软件上测试更先进的开放模型。