開放權重 AI 模型能利用補丁間隙攻擊主流瀏覽器

概覽

GLM 5.3 是 Z.ai 於八月發布的廣泛可用開放權重模型，能夠利用已釋出但尚未送達使用者的安全修補，識別並利用最新版本 Mozilla Firefox 瀏覽器中的漏洞。補丁釋出與送達使用者之間的時間視窗稱為 補丁差距。

在我們的實驗中，GLM 5.3 利用這個差距建構了一個網頁，當 Firefox 使用者瀏覽此網頁時，會在未經進一步互動的情況下讀取使用者電腦中的檔案並將其傳送給攻擊者。特別地，我們發現任何於 9 月 17 日至 10 月 26 日發布的 Firefox 版本，都可僅憑發布時可取得的資訊以此方式被攻陷。

補丁差距是軟體發布流程中的已知弱點，且在各類軟體中普遍存在，例如瀏覽器、手機作業系統與路由器韌體。以往利用此差距需要大量時間與專業知識，或需特殊存取擁有先進網路安全能力的前沿模型，因而很少有攻擊者能在漏洞修補前針對這些弱點。

我們的核心發現是，廣泛可用的開放權重模型現在能自行完成這些工作，甚至全部完成。我們特意設計實驗環境，模擬資源有限、技術相對不高的攻擊者能以發布時可取得的資訊達成的範圍。設定完成後，對每個 Firefox 版本成功攻擊的成本僅約 1,000 美元。

在我們對近期 Firefox 發布版本的所有攻陷中，GLM 5.3 亦發現並利用了一個未公開的漏洞，與透過補丁差距發現的漏洞並行。我們已聯絡 Mozilla 團隊披露此發現並討論緩解措施。 Mozilla 隨後發布了新版本 Firefox 159.0（於 2026 年 10 月 27 日釋出），修補了此前未公開的漏洞，這應該會使 GLM 5.3 透過補丁差距攻擊 Firefox 變得更困難。

開源專案因程式碼公開，尤其容易受到此類攻擊，但我們懷疑任何能讓模型在發布前發現即將變更的安全內容的軟體專案都可能脆弱，包括封閉原始碼專案。¹ 隨著開放權重網路安全能力持續提升，我們預期此威脅向量將惡化。

我們在 Firefox 實驗中的進一步發現：

GLM 5.3 在存在對策的情況下仍能利用補丁差距。為減緩潛在攻擊者，已釋出的安全修補被混淆為普通改進，且未透露底層漏洞細節。GLM 5.3 能閱讀程式碼並判斷哪些更動與安全修補相關。
我們展示的攻擊型別可能極為嚴重。我們使用 GLM 5.3 建立一個網站，當 Firefox 使用者瀏覽此網站且無需進一步互動時，即可讓攻擊者導出使用者電腦中的檔案。Firefox 擁有超過 2 億活躍使用者，該攻擊可用於讀取其瀏覽器中儲存的密碼、竊取驗證 Cookie 或檢視使用者電腦上的其他私人資訊。
我們在以此方式使用 GLM 5.3 時，並未觸發任何供應商（包括 Z.ai）的安全機制或拒絕。 我們將此任務框定為安全演練，但我們的行為在其他方面與真實攻擊者無法區分。
截至撰寫時，對 Google Chrome 的類似攻擊尚未成功。 我們不將此視為攻擊無法成功的有力證據，因更先進的誘導或使用更強大的開放權重模型（可能包括最近宣佈的 Kimi K3.1 Pro）可能會成功。

背景

2026 年 4 月，Anthropic 公佈 Claude Mythos Preview，標誌著 AI 網路安全能力的一大躍進。從那時起，已經清楚前沿 AI 模型能夠在真實生產軟體中偵測漏洞並製造複雜的利用。Anthropic 最近透過舉例說明內部模型如何發現並利用廣泛使用軟體中的關鍵漏洞，來證明這一點。透過舉例說明，內部模型能夠發現並利用廣泛使用軟體中的關鍵漏洞。

前沿 AI 實驗室已透過 Glasswing 與 Daybreak 等專案，為部分防禦者提供先行進階功能，並嚴格限制更廣泛的存取。此策略旨在讓防禦者能在攻擊者利用漏洞之前，先行偵測並修補漏洞。然而，漏洞修正公開後到被所有相關軟體使用者部署之間，往往會出現差距。此 patch gap 主要表現在兩個階段：修正先公開，尚未釋出給使用者；以及使用者在更新後仍繼續執行舊版軟體。研究中，我們聚焦於修正公開與普遍釋出之間的差距。

軟體的 Beta 版本，開發者用於測試程式碼並發現新引入的錯誤，是漏洞修正先行公開而非一般釋出的機制之一。\nBeta 版本的使用者基數通常低於正式釋出，主要由願意測試更新且可能不穩定功能的使用者組成。\n對於開源專案，資訊更為廣泛，因為整個程式碼庫公開，且即將變更通常可在 beta 或「nightly」程式碼分支中檢視。

修補差距是已知的安全問題，但歷史上所需的時間與專業知識限制了能夠利用此差距的行為者數量（且此類利用方式開發的漏洞天然壽命有限，攻擊者可能選擇將注意力放在其他地方）。\nAI 資安能力的提升改變了這一計算。

儘管對於最先進前沿模型的無限制存取（無網路安全防護）受到嚴格管控，開放權重模型卻普遍向任何人開放，無任何限制。² 此開放存取能夠協助網路安全防禦者進行前瞻性漏洞偵測與事件回應，尤其對於無法取得受限前沿模型的防禦者而言更具價值。雖然本文聚焦於進攻能力，但並未對開放權重模型如何影響攻防平衡作出任何宣告。

開放權重模型歷史上無法可靠利用補丁差距，但其能力正穩定提升。為了確認此限制是否仍然存在，我們測試 GLM 5.3（於 2026 年 8 月發布的廣泛可用開放權重模型）是否能利用補丁差距攻破最近的 Firefox 發布版本，這是一款擁有超過 2 億活躍使用者的網頁瀏覽器。

方法論

我們指派 GLM 5.3 建立一個網頁，當 Firefox 使用者瀏覽該網頁時，能讀取其系統上的本地檔案。³ 這可用於閱讀使用者的私密檔案、複製 Firefox 儲存的密碼，以及盜取認證 Cookie，讓攻擊者能以該使用者身分登入某些線上服務。我們選擇此目標，因為它體現了足以對使用者造成實際損害的嚴重攻擊。

我們提供模型使用者電腦上特定的 Firefox 版本及一些基礎工具，然後讓它持續運作直到開發出成功的利用程式。為避免影響第三方，我們未授予模型網路存取權；相反地，我們直接提供了我們認為其可能需要的公開資訊。我們僅提供目標版本發布時可取得的資訊，故模型無法使用後續發現的漏洞資訊。

我們設計環境以大致模擬一位技術經驗最小、使用標準開發工具的攻擊者在允許其線上執行時，能從模型得到的輸出。我們透過 GLM 5.3 的第一方 API 及第三方 API 進行存取，並將任務框架為安全演練。儘管我們的行為與企圖針對真實使用者的行為無法區分，模型使用始終未受限制，我們亦未遇到任何拒絕。

除了基本指示以針對補丁差距（即檢查尚未納入穩定版的錯誤修正），我們允許模型自行執行，且不提供任何使用者輸入。模型自行辨識即將發布的安全修正、選擇漏洞，並構建複雜的利用鏈。

結果

GLM 5.3 成功為 2026 年 9 月 17 日至 10 月 26 日之間的六個 Firefox 發布版本開發攻擊，僅使用每個版本發布時可取得的資訊。⁴ 瀏覽模型構建的網頁會使瀏覽器讀取本地檔案並將其內容傳送至攻擊者的伺服器，且不需使用者進一步操作。⁵

這些攻擊對模型而言需要相當多的努力。在一次嘗試中，GLM 5.3 利用即將發布的 Firefox 修正來識別一個記憶體安全缺陷，隨後開發了讀取及修改瀏覽器內部記憶體的方法，但 Firefox 的安全防護仍阻止模型讀取目標檔案。模型的最終攻擊將最初的利用程式與多個額外階段組合，以繞過剩餘的安全層。模型診斷崩潰、棄用失敗方案，並反覆調整其策略，直到僅透過訪問網站即可取得檔案。我們給予 GLM 5.3 最多 48 小時尋找利用程式，但其最快嘗試僅需 12 小時。

除了透過補丁缺口發現的漏洞，我們對最新 Firefox 版本的攻擊還倚賴一個未公開的漏洞，模型在每次嘗試時都會重新發現。這使它能將對瀏覽器的有限控制擴充套件到能從電腦讀取檔案的能力。⁶ 我們已將此漏洞與 Mozilla 分享，並於 10 月 27 日的 Firefox 159.0 發布後修補。我們尚未確認類似攻擊在 159.0 上是否仍能成功，但懷疑此補丁至少會使情況變得大幅更困難。

針對 Firefox 的總研究支出已超過 100,000 美元的 API 成本，包括構建真實離線環境的實驗與初步測試。然而，一旦我們開發出測試平臺並將 GLM 5.3 正確引導，利用瀏覽器便變得廉價且可靠。以 API 價格計算，入侵新版 Firefox 的邊際成本約為 1,000 美元，若使用訂閱帳號，成本可能更低。

若攻擊者不在意讓自主代理在具網路存取權的情況下自行開發漏洞，則可透過給模型無限制的網路存取，而非在沙盒中離線執行，來更便宜、更輕鬆地複製我們的環境。

在發現 GLM 5.3 能夠入侵 Firefox 後，我們決定評估相同設定是否能攻破 Google Chrome。我們使用相同的測試平臺與技術，至本文撰寫時尚未能製造出等效的漏洞，儘管在嘗試中已耗費約 100,000 美元的 API 成本。

Kimi K3.1 Pro 於 10 月 23 日透過第一方 API 進行釋出，權重預計於十一月初推出。 Kimi K3.1 Pro 尚未參與我們的實驗，但有限的基準測試資料顯示它可能在進攻性網路任務上優於 GLM 5.3。我們計畫將來在更廣泛的軟體上測試更先進的開放模型。

對其他軟體的啟示

補丁缺口攻擊所需的條件在整個軟體產業中都很常見。每當安全修正程式在達到使用者之前即被公開，攻擊者便有機會將其逆向工程成漏洞利用。於 2026 年 9 月，我們觀察到針對 Chrome 的補丁缺口漏洞利用針對 Chrome。同月，一家供應商發布了 PHP 的修補版本，提前超過六小時於兩項關鍵漏洞的協調發布。這些早期補丁可能促成了公開發布前數千次漏洞利用嘗試（其後立即攀升至數百萬次）。

儘管 Firefox 與 Chromium 為開源軟體，補丁缺口亦對閉源軟體構成風險。 Anthropic 展示 Mythos 能夠在 Windows 上利用補丁缺口在 Windows 上，即使該專案的程式碼並未公開。我們並未明確測試 GLM 5.3 在閉源專案上利用補丁缺口的能力，但隨著開放權重的網路安全技術持續提升，若尚未實現，將很快可行。我們特別關注使用者更新頻率較低的軟體，例如路由器韌體或手機作業系統，因為大規模入侵可能帶來嚴重後果，而大多數使用者的漏洞視窗更長。

Addressing this threat will likely require reducing the time that vulnerability fixes remain public before being incorporated into the general release. We created exploits within two days, but other attackers could be faster. Merely providing defenders access to stronger closed models does not solve the underlying structural issue; a public fix, regardless of how it is found, inherently flags where vulnerabilities are. Defenders have a few levers to pull to mitigate these attacks, such as keeping security fixes private until they are ready to ship or shipping them from beta to release more quickly. Both Firefox and Google Chrome have begun shipping updates every week. Regardless of the approach, it should be assumed that once a vulnerability fix is in published code, attackers can and will use it to target the current release. Defenders should avoid patching multiple vulnerabilities simultaneously if they can be chained together.

結論

GLM 5.3 透過利用補丁缺口，已經入侵了最近六個 Firefox 版本。我們使用了相當簡單的設定，儘管如此，模型仍能可靠地構建成功的利用程式，且在每個被入侵的 Firefox 版本上成本約為一千美元。這些攻擊依賴於一個關鍵的非公開漏洞，該漏洞已經被修補，我們未能在 Chrome 上取得類似結果（但我們不認為這排除了在更佳誘導或更強大的開放權重模型下成功的相似攻擊）。

我們將這些結果視為先進網路攻擊能力擴散的證據；許多其他軟體很可能已經對類似的補丁缺口攻擊存在脆弱性，隨著更強大的開放權重模型發布，這一數量預計將會增加。

附錄：我們實驗的安全措施

備註

AI 模型在逆向編譯軟體方面變得非常擅長——將可執行程式轉回原始原始碼。透過逆向編譯即將發布的測試版，攻擊者仍可在修正生效前檢視安全修補，使得即使程式碼未公開也能發動補丁缺口攻擊。Anthropic 示範 Mythos 能在 Windows 上進行此操作，但我們尚未測試開放權重模型。
即使模型建立者試圖加入安全防護或訓練模型拒絕特定請求，透過公開權重，其他人仍可製作『去除防護』版本，並在沒有任何安全防護的情況下執行。
在 Ubuntu 26.04 上使用預設安全設定，並從官方發佈下載 Firefox。
156.0、156.0.1、157.0、157.0.1、158.0、158.0.1。較早的版本也可能存在漏洞，但我們未進行系統性測試。
在成功讀取檔案後，我們嘗試實現任意程式碼執行。截至撰寫時，我們在近期 Firefox 版本上尚未取得程式碼執行成功。
成功案例需要串聯兩個主要漏洞。首先利用 patch‑gap 漏洞在網頁內容程序內執行程式碼，接著再利用另一個未公開漏洞，讓攻擊能繞過本應阻止受損渲染程序存取檔案系統的沙盒保護。