Epoch AI實驗顯示GLM 5.3能利用補丁視窗期自主攻擊Firefox

Epoch AI：Gradient Updates· Aiden Ament·2026-10-30 20:07· 21 小時前精選AI 評分77

AI can turn public security fixes into working exploits before users receive an update

AI 導讀

Epoch AI 實驗發現，Z.ai 八月釋出的開源權重模型 GLM 5.3 能利用 Mozilla 已釋出但未推送給使用者的安全補丁（patch gap），自主構建網頁攻擊，僅訪問頁面即可讀取訪客電腦檔案，攻破 9 月 17 日至 10 月 26 日釋出的全部六個 Firefox 版本。

推薦理由

Epoch AI 用自建實驗給出量化資料，展示開源權重模型如何在補丁視窗期內低成本復現漏洞利用，並給出縮短髮布週期的防禦建議。

本文是我們網站上一篇更長報告的摘要

設想你是 Firefox 兩億使用者中的一員。你開啟一個網站，頁面載入完成，你什麼都沒點就離開了。看起來沒什麼可擔心的。

只不過，光是載入這個頁面，就可能讓攻擊者獲得讀取你電腦上任意檔案的能力，還能竊取瀏覽器裡儲存的密碼或身份驗證 cookie——不需要下載、不彈窗、不請求任何許可權。簡而言之，攻擊者能拿到足夠的資訊，冒充你登入某些線上服務。

我們的新實驗發現，Z.ai 於 8 月釋出、可公開獲取的開放權重模型 GLM 5.3，僅用價值 1000 美元的計算資源就能自主完成這種攻擊。它的做法是：從 Mozilla 已釋出但尚未推送給使用者的安全修復中逆向推匯出漏洞。

分享

補丁空窗期給駭客留下了可乘之機

從修復釋出到送達使用者之間的這段時間被稱為補丁空窗期，這是軟體釋出流程中一個已知的薄弱環節。隨著 AI 模型的入侵能力不斷增強，這個問題愈發重要。Anthropic 的 Glasswing 和 OpenAI 的 Daybreak 等專案讓防禦方提前接觸前沿 AI 模型，以發現並修補漏洞；但已釋出的修復也可能向攻擊者暴露缺陷，讓他們趕在修復推送前下手。過去，利用補丁空窗期漏洞需要大量時間和專業知識，或者需要能接觸到具備高階網路攻擊能力的前沿模型的特殊許可權，因此能利用這一空窗期的攻擊者寥寥無幾。

但現在，開放權重模型自己就能完成這項工作。GLM 5.3 利用即將釋出的安全修復中的資訊，構建了一個網頁：Firefox 使用者一旦訪問，該網頁就會讀取訪客電腦上的檔案併發送給攻擊者，全程無需使用者再做任何操作。這種方法足夠可靠，僅憑各版本釋出時已有的資訊，就攻破了 9 月 17 日至 10 月 26 日期間釋出的全部六個 Firefox 版本。

GLM 5.3 串聯多個漏洞，攻破了全部六個受測的 Firefox 更新版本

我們的實驗環境刻意模擬資源有限、水平不高的駭客，只使用每個版本釋出時已有的資訊。針對 Firefox 的研究，我們總共在 API 上花費超過 10 萬美元，其中包括搭建逼真離線環境的實驗和前期測試。但環境搭好之後，成功攻擊每個 Firefox 版本只需約 1000 美元的計算成本。我們給 GLM 5.3 最多 48 小時尋找漏洞利用方法，而它最快的一次只用了 12 小時。

即便如此，過程也並不輕鬆。在一次嘗試中，GLM 5.3 發現 Firefox 即將修復一個記憶體缺陷，隨後開發出讀取和修改瀏覽器記憶體的方法。但 Firefox 的安全防護仍然阻止模型讀取目標檔案，於是模型把最初的漏洞利用與多個後續階段串聯起來。它會診斷崩潰原因，放棄行不通的思路，反覆迭代，直到僅僅訪問網頁就足以讀取檔案。

針對最新版 Firefox 的所有攻擊，都依賴於把補丁空窗期漏洞與另一個未公開漏洞串聯起來，從而繞過常規防護。我們把這個漏洞分享給了 Mozilla，它已在 10 月 27 日的 Firefox 159.0 版本中修復，這應該會讓今後的補丁空窗期攻擊更難得手。

我們的實驗沒有觸發任何防護機制

以這種方式使用 GLM 5.3 時，我們沒有觸發任何提供方的防護機制或拒絕響應，包括 Z.ai 在內。我們把任務包裝成了一次安全演練，但除此之外，我們的行為與真實攻擊者並無區別。

GLM 5.3 沒能攻破 Chrome

對 Google Chrome 的類似攻擊沒有成功，儘管我們同樣投入了約 10 萬美元的算力。但這並不能有力證明，換用更高階的提示詞或能力更強的開放權重模型，攻擊就不會成功。例如，Kimi K3.1 Pro 的權重預計 11 月初發布，早期基準資料顯示，它在這類工作上可能比 GLM 5.3 更強。

加快釋出，因為問題只會越來越嚴重

開源專案尤其容易受到補丁空窗期攻擊，但 AI 越來越擅長把可執行的程式反編譯回可用的程式碼，這意味著即使程式碼沒有公開，它也能讀懂程式碼修復。Anthropic 演示了Mythos 能在 Windows 上做到這一點。雖然我們尚未用開放權重模型測試過，但我們預計，隨著開放權重模型的網路能力持續提升，這一威脅會愈發嚴重。（話雖如此，我們並不對開放權重模型將如何影響網路安全領域攻防整體平衡作出斷言。）

這意味著我們需要縮短漏洞修復從公開到全面鋪開之間的視窗。防禦方可以在準備就緒前對安全修復保密，加快把修復從測試版推進到正式版，並在多個漏洞可能被串聯利用時避免一次性全部修補。

Firefox 和 Google Chrome 現在都每週釋出更新，但這可能還不夠快。我們在不到兩天內就做出了漏洞利用程式，而真實攻擊者可能更快。我們應當假定：一旦漏洞修復進入已釋出的程式碼，攻擊者就能夠、也一定會利用它來攻擊當前版本。

感謝閱讀！免費訂閱以接收新文章。

來源：Epoch AI：Gradient Updates · epochai.substack.com