Epoch AI：开放权重模型GLM 5.3零人工介入，48小时内为6个Firefox版本构建完整漏洞利用链
Epoch AI研究人员称，中国开放权重模型GLM 5.3利用安全补丁公开与用户更新之间的“补丁空窗期”，在无人工介入下攻击了9月17日至10月26日发布的6个Firefox版本，每次成功利用的API费用约1000美元。研究人员已向Mozilla披露，Mozilla在2026年10月27日发布的Firefox 159.0中修复了相关漏洞。
AI解读：这项测试针对的是“补丁空窗期”，即安全修复已出现在公开代码中、但尚未推送到用户设备的时间差。Epoch AI称，GLM 5.3能判断哪些伪装成常规改进的代码变更实际属于安全修复，并据此选择漏洞、构建多阶段利用链。
研究团队刻意把环境设计成资源有限、技能不高的攻击者也能复现的条件：提供目标Firefox版本、基础工具和公开信息，模型随后自主工作。最快一次成功攻击耗时12小时，研究上限为48小时，单次成功利用的API费用约1000美元。
在针对当前Firefox版本的成功攻击中，GLM 5.3每次都独立重新发现了一个此前未知的漏洞，借此绕过浏览器沙箱保护，直接读取电脑上的文件。研究人员称，测试页面可在用户加载后读取本地文件并发送至攻击者服务器。
研究团队称，在使用GLM 5.3开发漏洞利用时，Z.ai及其他API提供商均未触发安全护栏或拒绝请求。研究人员将自身操作描述为“与试图针对真实用户的人难以区分”。Mozilla已在Firefox 159.0中修复该漏洞，但研究人员尚未确认新版本是否仍可被类似攻击突破。
同样的设置用于Google Chrome时，团队花费约10万美元API费用仍未产出等效漏洞利用。研究人员提醒，这不能说明Chrome免疫，更好的诱导方法或更强模型仍可能成功；他们援引有限的基准数据称，新公布的Kimi K3.1 Pro在攻击性网络任务上可能强于GLM 5.3，但未亲自测试。
Epoch AI认为补丁空窗期不只存在于Firefox，浏览器、移动操作系统和路由器固件都面临同类风险，更新频率低的软件尤其突出。他们建议安全修复在准备好发布前保持不公开、加快从测试版到正式版的推进，并避免同时修补可被串联利用的多个漏洞。
Epoch AI研究人员称，开放权重模型GLM 5.3在零人工介入的情况下，为6个Firefox版本构建了完整漏洞利用链，攻击面来自安全补丁公开后、用户完成更新前的时间差。研究结果由The Decoder报道。
这些Firefox版本发布于9月17日至10月26日之间。研究人员称，每次成功攻击的API费用约为1000美元。Mozilla已在2026年10月27日发布的Firefox 159.0中修复相关漏洞。
研究人员将测试环境设计为近似资源有限、技能不高的攻击者所能达到的条件，向模型提供目标Firefox版本、基础工具和公开信息，随后由模型自主识别待发布的安全修复、选择漏洞并构建多阶段利用链。
模型如何利用补丁空窗期
报道称，Firefox的安全修复会被伪装成常规改进，以增加攻击者识别难度。GLM 5.3仍判断出哪些代码变更与安全相关。在一个案例中，模型通过一项待发布的修复发现内存安全漏洞，并开发出读取和修改浏览器内存的方法。
当Firefox的安全层阻止访问目标文件时，模型把初始利用与多个后续阶段串联，绕过剩余防御。最快一次成功攻击耗时12小时，研究人员给模型的上限为48小时。
针对当前Firefox版本的成功攻击都依赖同一个此前未知的漏洞，模型在每次尝试中均独立重新发现了它，从而绕过沙箱保护并直接从电脑读取文件。模型构建的网页可在Firefox用户加载页面时读取本地文件并发送至攻击者服务器。Firefox活跃用户超过2亿，可能受影响的数据包括保存的密码、身份验证Cookie和私人文档。
- 测试目标：9月17日至10月26日之间发布的6个Firefox版本
- 单次成功利用API费用：约1000美元
- 最快成功攻击：12小时；研究上限：48小时
- Mozilla修复版本：Firefox 159.0，2026年10月27日发布
安全护栏与Chrome对照测试
研究人员称，使用GLM 5.3开发漏洞利用时，Z.ai及其他API提供商均未触发安全护栏或拒绝请求。他们虽然将任务设定为安全演练，但称其操作“与试图针对真实用户的人难以区分”。
研究团队用同样设置和技术测试Google Chrome，花费约10万美元API费用，未产出等效漏洞利用。研究人员表示，这不能证明Chrome免疫，更好的诱导方法或能力更强的模型可能仍然成功。他们援引有限的基准数据称，新公布的Kimi K3.1 Pro在攻击性网络任务上可能优于GLM 5.3，但未亲自测试。Anthropic此前报告称，GLM 5.3编写漏洞利用的能力与Mythos大致相当。
- 研究人员称未触发Z.ai及其他API提供商的安全拒绝
- Chrome对照测试花费约10万美元，未产出等效利用
- 研究人员称Chrome结果不构成免疫结论
研究人员的风险判断与建议
Epoch AI研究人员认为，补丁空窗期存在于整个软件行业，包括浏览器、移动操作系统和路由器固件。开源项目因代码全部公开而尤其暴露，闭源软件同样受影响。他们提到，Anthropic已展示Mythos可在无法访问源代码的情况下利用Windows的补丁空窗期。
为降低风险，研究人员建议在安全修复准备好发布前保持其私密，并加快从测试版到正式版的发布。他们提到Firefox和Chrome已开始每周发布更新。他们还建议开发者避免同时修补可被串联利用的多个漏洞。
研究人员认为，仅让防御方使用更强的闭源模型不能解决结构性问题：修复一旦出现在公开代码中，就会指向底层漏洞。他们写道，这些结果“是先进网络能力扩散的证据”，其他许多软件可能已经易受类似补丁空窗期攻击，且随着更强开放权重模型发布，数量预计会增加。
- 研究人员称补丁空窗期影响浏览器、移动操作系统和路由器固件
- 建议安全修复在发布前保持不公开，并加快正式版推送
- 建议避免同时修补可串联利用的多个漏洞
- 研究人员称仅向防御方开放更强闭源模型不能解决结构性问题