Epoch AI 报告：开源模型 GLM 5.3 利用 Firefox 补丁空窗期发起攻击

Epoch AI于2026年10月29日发布研究，报告称Z.ai于2026年8月发布的开源权重模型GLM 5.3能够利用浏览器补丁空窗期——即安全修复从公开到送达用户之间的窗口——以每个版本约1000美元的边际成本攻破Mozilla Firefox的六个近期版本。Epoch表示，该模型在攻击过程中自主运行，并反复重新发现了一个未公开的漏洞，研究人员已将该漏洞披露给Mozilla；Mozilla在2026年10月27日发布的Firefox 159.0中修复了该漏洞。

在Epoch的实验中，GLM 5.3构建了一个网页，当Firefox用户访问该网页时，它会读取访问者计算机上的文件，并在无需用户进一步交互的情况下将其发送给攻击者。研究人员发现，2026年9月17日至10月26日期间发布的任何Firefox版本，仅利用各版本发布时可获得的信息，就能以这种方式被攻破。Epoch称所演示的漏洞利用极其严重，因为它可用于读取浏览器中存储的密码、窃取身份验证Cookie或查看其他私密信息，并援引Firefox拥有超过2亿活跃用户的数据。

该报告署名作者为Epoch AI的Aiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield和Jaeho Lee。

实验是如何进行的

Epoch向GLM 5.3布置的任务是创建一个网页，当Firefox用户访问时读取本地文件，实验环境运行Ubuntu 26.04，采用默认安全设置，Firefox从官方发布渠道下载。模型获得了目标的具体Firefox版本和基本工具，但没有互联网访问权限；研究人员改为直接提供公开可用的信息，且仅限于每个目标版本发布时可获得的内容。Epoch表示，该设置旨在近似模拟一名技术经验极少、仅使用标准开发工具的攻击者能够从模型中获取什么。

团队通过第一方和第三方API访问GLM 5.3，并将任务设定为安全演练，并报告称，尽管其描述的行为在其他方面与真实攻击者无异，但包括Z.ai在内的任何提供商均未拒绝或施加使用限制。除了指示其检查尚未纳入稳定版的基本错误修复之外，模型在无人输入的情况下运行：它自行识别即将发布的安全修复、选择漏洞并组装多阶段利用链，包括在代码更改被混淆伪装成普通改进的情况下，判断哪些代码更改是安全补丁。

结果、成本与Mozilla披露

GLM 5.3成功针对2026年9月17日至10月26日期间的全部六个Firefox版本开发了攻击：版本156.0、156.0.1、157.0、157.0.1、158.0和158.0.1。Epoch未系统测试更早的版本。模型每个目标最多有48小时，其最快的一次尝试耗时12小时。研究人员在描述其中一次尝试时表示，模型利用一个即将发布的Firefox修复识别出一处内存安全缺陷，开发出一种读取和修改浏览器内存的方法，然后组合额外阶段以绕过其余安全层，诊断崩溃并放弃不成功的方案，直到仅仅访问该网页就足以访问文件。

Epoch表示，其针对Firefox的总研究支出在API成本上超过10万美元，包括构建逼真离线环境和初步测试的工作，并称一旦开发出其测试框架，攻破一个新Firefox版本的API定价成本约为1000美元，使用订阅账户可能更低。

根据报告，每次成功攻破都串联了两个漏洞：一个补丁空窗期漏洞在Firefox的Web内容进程中实现代码执行，另一个单独的未公开漏洞——模型在每次尝试中都会重新发现——绕过了通常即使渲染进程被攻破也能阻止其访问文件系统的沙箱保护。研究人员表示，他们已将该未公开漏洞告知Mozilla，并讨论了缓解这些攻击的方法。

Mozilla于2026年10月27日发布了Firefox 159.0，Epoch称该版本修复了所披露的漏洞。Mozilla基金会安全公告2026-118于2026年10月27日发布，总体影响评级为高，并列出了Firefox 159中修复的各个漏洞，包括高影响的沙箱逃逸、权限提升和释放后使用缺陷。Epoch表示，鉴于该补丁，尚未确认类似攻击能否在Firefox 159.0上成功，但怀疑它至少应使补丁空窗期攻破变得 substantially 更加困难。在成功实现文件读取后，团队还尝试实现任意代码执行，并报告称截至报告发布时，在近期Firefox版本上未取得此类成功。

Chrome尝试与所述影响

Epoch表示，使用相同的测试框架和技术针对Google Chrome，尽管花费了约10万美元的API成本，仍未能创建等效的漏洞利用，不过它并不将该结果视为有力证据，证明在更高级的诱导或能力更强的开源权重模型下此类攻击不可能成功。报告指出，Kimi K3.1 Pro于2026年10月23日通过第一方API访问发布，权重计划于2026年11月初发布，有限的基准数据表明它在进攻性网络任务上可能优于GLM 5.3；Kimi K3.1 Pro未参与这些实验。

报告将这些发现置于2026年9月的补丁空窗期活动背景下，援引了针对Chrome的漏洞利用，以及一家供应商在两个关键漏洞的协调补丁发布前六个多小时就发布了修补后的PHP构建版本，还援引了Anthropic的演示——其Mythos模型利用了闭源Windows上的补丁空窗期。在缓解措施方面，研究人员描述了在安全修复准备就绪前对其保密、加快修复从测试版到正式版的发布速度，以及在多个漏洞可被串联利用时避免同时修补它们；报告指出，Firefox和Google Chrome已开始每周发布更新。

附录描述了实验背后的安全措施：一个与Epoch其他基准测试基础设施隔离的专用云实例、模型无网络访问、近乎实时的监控并配有研究人员可随时停止运行，以及在监控发现损坏的环境导致智能体采取沙箱外操作后暂停所有运行一次，Epoch称该情况不涉及网络访问或恶意活动。Epoch将这些结果定性为先进网络能力扩散的证据，表示许多其他软件项目很可能已经容易受到类似的补丁空窗期攻击，并称计划在更广泛的软件上测试更先进的开源模型。