Epoch AI 报告：开源权重模型 GLM 5.3 在 48 小时内零人工构建完整 Firefox 漏洞利用链

Epoch AI 的研究人员发现，一个可免费获取的 AI 模型能利用安全补丁从发布到推送之间的时间差攻击 Firefox 用户，每次攻击成本约 1000 美元。

所谓“补丁空窗期”，是指安全修复已在代码中可见、却尚未推送到用户手中的那段时间。Epoch AI 的研究人员发现，中国的开放权重模型 GLM 5.3 在 9 月 17 日至 10 月 26 日发布的 6 个 Firefox 版本上利用了这段空窗期，每次成功攻击的 API 费用约为 1000 美元。Anthropic 此前曾报告称，GLM 5.3 编写漏洞利用程序的能力与 Mythos 大致相当。

测试中，该模型构建了一个网页：只要 Firefox 用户加载该页面，它就能读取访客电脑上的本地文件，并发送到攻击者的服务器。Firefox 活跃用户超过 2 亿，攻击者本可借此获取已保存的密码、身份验证 Cookie 和私人文档。

研究人员用 GLM 5.3 开发漏洞利用程序时，Z.ai 及其他 API 提供商均未触发任何安全防护机制，也没有拒绝请求。尽管研究人员将这项任务设定为安全演练，但他们形容自己的行为“与试图攻击真实用户的人并无区别”。

模型在无人工干预的情况下构建了完整的漏洞利用链

研究人员表示，他们特意将环境设计成接近资源有限的低水平攻击者所能达到的条件，在离线环境中提供了目标 Firefox 版本、基础工具和公开信息。在收到调查补丁空窗期的基础指令后，模型便自主工作，识别即将发布的安全修复、挑选漏洞，并构建多阶段漏洞利用链。

报告称，Firefox 的安全修复会被伪装成日常改进，以拖慢攻击者的脚步。GLM 5.3 识破了这一策略，仍然判断出哪些代码改动与安全相关。

在其中一例中，模型通过一项即将发布的修复发现了一个内存安全漏洞，并开发出读取和篡改浏览器内存的方法。当 Firefox 的安全层阻止访问目标文件时，模型将初始漏洞利用与多个后续阶段串联起来，绕过剩余防御。最快的一次成功攻击耗时 12 小时，而研究人员给模型的上限是 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 都依赖一个此前未知的漏洞，且每次尝试都能独立重新发现该漏洞，从而绕过浏览器的沙箱保护，直接从电脑中读取文件。

团队已将发现告知 Mozilla，后者在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了该漏洞。研究人员尚未确认类似攻击对新版本是否有效，但他们推测该补丁使攻击“至少难度大幅提高”。

团队用同样的配置和技术手段对 Google Chrome 发起攻击，花了约 10 万美元的 API 费用，却没能做出同等效果的漏洞利用。研究人员提醒，这并不能说明 Chrome 免疫：更好的诱导方法或能力更强的模型仍可能成功。他们援引有限的基准数据指出，最近发布的 Kimi K3.1 Pro 在攻击性网络任务上可能强于 GLM 5.3，不过他们自己并未测试。

每个软件厂商都面临同样的风险

补丁差问题并非 Firefox 独有。据 Epoch AI 研究人员称，它存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目尤其容易暴露，因为其代码全部公开，但闭源软件同样脆弱。Anthropic 已经证明，其 Mythos 模型无需访问源代码就能利用 Windows 的补丁差；而 AI 模型在反编译已编译软件、自行识别安全修复方面的能力正稳步提升。

报告称，2026 年 9 月出现了针对 Chrome 的补丁差漏洞利用。同月，某厂商在两个严重漏洞的协调补丁发布前六个多小时就放出了修复后的 PHP 构建版本。研究人员援引外部报道指出，这次提前发布可能导致官方发布前出现数千次漏洞利用尝试，官方发布后这一数字随即升至数百万。

团队尤其担心用户更新不频繁的软件，例如路由器固件和移动操作系统，因为大多数用户暴露在风险中的时间要长得多。

加快更新有帮助，但无法弥合结构性差距

为降低风险，研究人员建议在安全修复准备好发布之前对其保密，并加快从测试版到正式版的推进速度。他们指出，Firefox 和 Google Chrome 已经开始每周发布更新。他们还建议开发者，当多个漏洞可以被串联利用时，避免同时修补这些漏洞。

研究人员认为，让防御方使用更强的闭源模型本身并不能解决结构性问题。一旦修复出现在公开代码中，就会把攻击者引向底层漏洞。Anthropic 的 Claude Mythos Preview 在 2026 年 4 月标志着 AI 网络能力的一次飞跃，前沿实验室随即以受限访问以及 Glasswing、Daybreak 等项目回应，让防御方提前获得访问权限。

随着可自由获取的开源权重模型能力越来越强，攻击能力正在扩散，超出任何单一守门人的控制。正如研究人员所写：“我们认为这些结果是高级网络能力扩散的证据；许多其他软件很可能已经容易受到类似的补丁差攻击，而且随着能力更强的开源权重模型发布，我们预计这一数量还会增加。”

没有炒作的 AI 新闻——由人工精选

订阅 THE DECODER，即可享受无广告阅读、每周 AI 新闻简报、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。