GLM 5.3以每次约1,000美元的成本攻破Firefox

Epoch AI的研究人员称，广泛可用的模型GLM 5.3利用已公开、但尚未推送给用户的安全修复，针对Mozilla Firefox最近发布的六个版本构造了有效攻击。研究人员表示，每次成功攻击的API费用约为1,000美元。研究人员提供目标Firefox版本、基本工具，并指示模型调查补丁空窗期后，模型便能在没有人工输入的情况下完成操作。

研究人员搭建了一个网页，可以从访客的电脑读取文件并发送给攻击者，访客无需点击或进行其他操作。这类访问可能导致私人文件、浏览器保存的密码或身份验证Cookie泄露。Firefox的活跃用户超过2亿，不过这项实验并未表明真实用户遭到了攻击。

受影响的Firefox版本于2026年9月17日至10月26日期间发布。在每次成功尝试中，GLM 5.3都将公开代码变更中的线索与它自行发现的一个未公开漏洞结合起来。该模型还识别出了哪些变更属于安全修复，尽管Firefox会将这类改动伪装成常规改进，以增加攻击者发现它们的难度。

Epoch AI称，研究人员只向模型提供各个Firefox版本发布时可获取的信息，并将测试限制在离线环境中，以免影响他人。最快的一次成功攻击耗时12小时；研究人员设定的最长测试时间为48小时。他们表示，尽管将任务描述为安全研究，Z.ai和其他API提供商都没有拦截或拒绝模型。

事件背景

补丁空窗期是指安全修复公开后、用户收到更新前的这段时间。如果修复先出现在测试版或公开代码中、之后才随正式版本发布，就可能出现这种情况；如果用户延迟安装更新，空窗期还会更长。开源项目尤其容易受到影响，因为其代码是公开的。但风险并不只限于开源软件：研究人员表示，模型也可能推断出闭源软件的修复内容。

AI系统在网络安全方面的能力已有所增强。Epoch AI提到Anthropic于2026年4月公布的Claude Mythos Preview，以及Glasswing和Daybreak等限制访问的项目——这些项目让部分防御人员提前使用先进工具。研究人员称，GLM 5.3表明，具备网络攻防能力的模型也正通过开放权重方式变得更易获取，人们可以下载并在更广泛的环境中运行这类模型。他们提醒说，这些研究结果并不能证明总体而言开放模型对攻击者的帮助大于对防御者的帮助。

后续进展

研究人员披露漏洞后，Mozilla于2026年10月27日发布Firefox 159.0，修复了这一此前未知的漏洞。Epoch AI表示，这项改动应该会让此类攻击更难实施，但团队尚未确认同样的方法是否适用于Firefox 159.0。

研究人员建议，在修复准备好发布之前，应对其内容保密，并缩短测试与正式发布之间的间隔。他们还警告称，将多项修复打包在一起，可能让攻击者更容易串联利用多个漏洞。Firefox和Google Chrome已开始每周更新，但研究人员表示，这并不能消除那些用户较少更新的软件所面临的根本风险，例如路由器固件和手机操作系统。

团队没有针对Google Chrome构造出同等的漏洞利用程序。The Decoder报道称，研究人员在Chrome相关尝试上花费了约100,000美元的API费用；Epoch AI强调，未能成功并不意味着Chrome不会受到攻击。研究人员也没有测试Kimi K3.1 Pro，他们认为该模型的网络攻击能力可能更强。