GLM 5.3、Firefoxへの攻撃を1件約1,000ドルで作成

Epoch AIの研究者によると、広く利用可能なモデルGLM 5.3は、公開済みのセキュリティ修正がユーザーに届く前の隙を突き、Mozilla Firefoxの直近6バージョンに対する実用可能な攻撃を作成した。攻撃に成功するたびに、API利用料が約1,000ドルかかったという。研究者が対象のFirefoxのバージョンと基本的なツール、修正が届いていない問題を調べるための指示を与えた後、モデルは人の入力なしで動作した。

研究者は、訪問者がクリックなどの操作をしなくても、コンピューター内のファイルを読み取り、攻撃者に送信できるウェブページを作成した。こうしたアクセスによって、個人文書やブラウザーに保存されたパスワード、認証Cookieが漏れるおそれがある。Firefoxのアクティブユーザーは2億人を超えるが、この実験は実際のユーザーが攻撃されたことを示すものではない。

対象となったFirefoxのバージョンは、2026年9月17日から10月26日にかけて公開された。攻撃に成功したケースではいずれも、GLM 5.3が公開コードの変更に含まれる手がかりと、自ら発見した未公表の脆弱性を組み合わせた。また、Firefoxの変更は攻撃者に見つかりにくいよう、通常の改善に見せかけてあるが、モデルはどの変更がセキュリティ修正なのかも特定した。

Epoch AIによると、モデルに与えたのは各Firefoxのバージョンが公開された時点で入手可能な情報だけで、他者に影響を与えないようテストはオフラインで実施した。最短で成功した攻撃にかかった時間は12時間で、研究者は最大48時間を認めていた。研究者が課題をセキュリティ演習として説明したにもかかわらず、Z.aiや他のAPIプロバイダーによってモデルの利用を阻止されたり、拒否されたりすることはなかったという。

ここに至るまで

パッチの空白期間とは、セキュリティ修正が公開されてから、ユーザーにアップデートが届くまでの時間を指す。修正がベータ版や一般公開されているコードに先行して現れると、この期間が生じることがある。ユーザーがアップデートの適用を遅らせれば、さらに長引く可能性もある。コードが公開されているオープンソースのプロジェクトは特にリスクが高いが、危険はそこに限られない。研究者によると、モデルはクローズドソースのソフトウェアの修正も推測できる可能性がある。

AIシステムのサイバー攻撃能力は、すでに高まっている。Epoch AIは、2026年4月に発表されたAnthropicのClaude Mythos Previewや、一部の防御側に先進的なツールへの早期アクセスを提供するGlasswing、Daybreakなど、利用を制限した取り組みを挙げている。研究者は、GLM 5.3によって、高度なサイバー能力が、より広くダウンロードして実行できるオープンウェイトモデルでも利用可能になりつつあることが示されたと述べる。一方、オープンモデル全般が攻撃者と防御者のどちらにより有利に働くかは、今回の調査結果からは判断できないと注意を促している。

今後の展開

研究者からの報告を受け、Mozillaは2026年10月27日にFirefox 159.0を公開し、未公表だった脆弱性を修正した。Epoch AIによると、この修正によって同様の攻撃は難しくなるはずだが、Firefox 159.0にも同じ手法が通用するかどうかは、チームで確認していない。

研究者は、修正を公開する準備が整うまで非公開にしておくことと、テストから一般公開までの期間を短縮することを推奨している。また、複数の修正をまとめると、攻撃者が脆弱性を連鎖させやすくなる可能性があるとも警告する。FirefoxとGoogle Chromeは週次アップデートを始めたが、ルーターのファームウェアやスマートフォンのOSなど、ユーザーが更新する頻度の低いソフトウェアに残る根本的なリスクは解消されないと研究者は指摘している。

チームはGoogle Chromeに対して同等の攻撃を作成できなかった。The Decoderは、Chromeへの攻撃を試みるためにAPI利用料を約100,000ドル費やしたと報じている。Epoch AIは、失敗したからといってChromeに脆弱性がないことを示すわけではないと強調する。また研究者は、攻撃能力がさらに高い可能性があるというKimi K3.1 Proについても、テストを行っていない。