Модель с открытыми весами GLM 5.3 собрала полные цепочки эксплойтов для Firefox без участия человека менее чем за 48 часов

Как модель атаковала Firefox

«Окно между выпуском исправления и его установкой» — период, когда исправление уже видно в коде, но ещё не дошло до пользователей. Исследователи Epoch AI обнаружили, что китайская модель с открытыми весами GLM 5.3 смогла использовать это окно в шести версиях Firefox. Ранее Anthropic сообщала, что GLM 5.3 пишет эксплойты примерно на уровне Mythos.

Во время испытаний модель создала веб-страницу, которая при открытии в Firefox читала файлы на компьютере посетителя и отправляла их на сервер атакующего. У Firefox более 200 миллионов активных пользователей: при такой атаке злоумышленники могли бы получить сохранённые пароли, файлы cookie для аутентификации и личные документы.

Ни Z.ai, ни другие поставщики API не включили защитные ограничения и не отказались выполнять запросы, когда исследователи использовали GLM 5.3 для разработки эксплойтов. Исследователи описали свою работу как проверку безопасности, но признали, что их действия невозможно отличить от попытки атаковать реальных пользователей.

Цепочки эксплойтов без участия человека

Исследователи намеренно построили эксперимент так, чтобы он напоминал возможности малоопытного злоумышленника с ограниченными ресурсами. В изолированной среде они указали версию Firefox, предоставили базовые инструменты и открытые источники информации. Получив общие инструкции изучить окно между выпуском исправления и его установкой, модель действовала самостоятельно: находила готовящиеся исправления, выбирала уязвимости и соединяла их в многоэтапные цепочки эксплойтов.

По словам авторов отчёта, Firefox маскирует исправления безопасности под обычные улучшения, чтобы затруднить работу атакующих. GLM 5.3 всё равно определяла, какие изменения в коде связаны с безопасностью.

В одном случае модель заметила уязвимость в работе с памятью по готовившемуся исправлению и разработала способ читать и менять память браузера. Когда защитные механизмы Firefox закрыли доступ к целевому файлу, модель добавила к начальному эксплойту несколько этапов, чтобы обойти оставшиеся ограничения. Самая быстрая успешная атака заняла 12 часов; на выполнение каждой задачи исследователи отводили модели не более 48 часов.

Во всех успешных атаках на актуальные версии Firefox GLM 5.3 использовала ранее неизвестную уязвимость. Модель самостоятельно находила её заново при каждой попытке. Это позволяло обходить песочницу браузера и читать файлы непосредственно с компьютера.

Команда сообщила о находке Mozilla. Компания исправила уязвимость в Firefox 159.0, выпущенном 27 октября 2026 года. Исследователи пока не проверили, работают ли такие атаки на новой версии, но считают, что исправление как минимум существенно затруднит их.

Команда применила те же методы к Google Chrome и потратила около $100 000 на оплату API, но не получила сопоставимого эксплойта. Исследователи подчёркивают, что это не доказывает защищённость Chrome: помочь атакующим могут более эффективные способы постановки задач или более способные модели. Они также указывают на ограниченные данные бенчмарков, согласно которым недавно представленная Kimi K3.1 Pro может превосходить GLM 5.3 в наступательных киберзадачах. Сама команда Kimi K3.1 Pro не испытывала.

Риск касается всей индустрии

Окно между публикацией исправления и его установкой у пользователей — проблема не только Firefox. По словам исследователей Epoch AI, она затрагивает всю отрасль: браузеры, мобильные операционные системы и прошивки маршрутизаторов. Особенно уязвимы проекты с открытым исходным кодом, поскольку их код доступен всем, но закрытое ПО тоже подвержено риску. Anthropic уже показывала, что Mythos может использовать такие промежутки в Windows без доступа к исходному коду. Модели также всё лучше декомпилируют программы и самостоятельно находят исправления безопасности.

Согласно отчёту, в сентябре 2026 года эксплойты, использующие окно между выпуском исправления и его установкой, применялись против Chrome. В том же месяце поставщик выпустил исправленные сборки PHP более чем за шесть часов до согласованного выпуска обновлений для двух критических уязвимостей. Исследователи со ссылкой на сообщения СМИ отмечают, что ранняя публикация могла привести к тысячам попыток эксплуатации до официального выпуска исправлений; сразу после него число таких попыток выросло до миллионов.

Особенно тревожит команду программное обеспечение, которое пользователи обновляют редко, например прошивки маршрутизаторов и мобильные операционные системы. В таких случаях уязвимыми остаются многие пользователи, и это может продолжаться значительно дольше.

Ускорение обновлений не устранит проблему

Чтобы снизить риск, исследователи рекомендуют не публиковать исправления безопасности до их готовности к выпуску и быстрее переводить обновления из бета-версии в общедоступную. Firefox и Google Chrome уже начали выпускать обновления каждую неделю. Разработчикам также советуют не исправлять одновременно несколько уязвимостей, если их можно объединить в цепочку атаки.

Сам по себе доступ защитников к более мощным закрытым моделям не решает системную проблему, считают исследователи. Как только исправление появляется в открытом коде, оно указывает атакующим на связанную с ним уязвимость. В апреле 2026 года Claude Mythos Preview от Anthropic показала новый уровень возможностей ИИ в киберзадачах. В ответ передовые лаборатории ограничили доступ к таким моделям и запустили программы Glasswing и Daybreak, дающие защитникам ранний доступ.

По мере того как общедоступные модели с открытыми весами становятся способнее, наступательные возможности выходят из-под контроля отдельных организаций. Исследователи считают, что многие другие программы уже могут быть уязвимы для подобных атак, а с выпуском более мощных открытых моделей таких случаев станет больше.