Моделът с отворени тегла GLM 5.3 изгради пълни вериги от експлойти за Firefox без човешка намеса за под 48 часа

Изследователи от Epoch AI показват, че свободно достъпен модел с изкуствен интелект може да използва времевия интервал между публикуването и разпространяването на корекциите по сигурността, за да атакува потребители на Firefox. Цената на един експлойт е около 1000 долара.

„Пропускът между корекциите“ е периодът, през който корекцията по сигурността е видима в кода, но все още не е достигнала до потребителите. Изследователи от Epoch AI установиха, че китайският модел с отворени тегла GLM 5.3 е използвал този пропуск в 6 версии на Firefox, пуснати между 17 септември и 26 октомври, на цена от приблизително 1000 долара API такси за всяка успешна атака. Anthropic по-рано съобщи, че GLM 5.3 може да пише експлойти на приблизително същото ниво като Mythos.

По време на тестовете моделът е създал уебстраница, която може да прочете локални файлове от компютъра на посетителя и да ги изпрати към сървър на нападателя в момента, в който потребител на Firefox зареди страницата. При над 200 милиона активни потребители на Firefox нападателите биха могли да получат достъп до запазени пароли, удостоверителни бисквитки и лични документи.

Нито Z.ai, нито други доставчици на API са задействали защитни механизми или откази, когато изследователите са използвали GLM 5.3 за разработване на експлойти. Макар че изследователите са представили задачата като упражнение по сигурност, те описват действията си като „неразличими от действията на човек, опитващ се да атакува реални потребители“.

Моделът изгради пълни експлойт вериги без човешка намеса

Изследователите казват, че умишлено са проектирали средата си така, че да се доближава до това, което нападател с ниска квалификация и ограничени ресурси би могъл да постигне. Те са предоставили целевата версия на Firefox, базови инструменти и публично достъпна информация в офлайн среда. След получаването на базови инструкции да проучи пропуска между корекциите, моделът е работил автономно, идентифицирайки предстоящи корекции по сигурността, избирайки уязвимости и изграждайки многоетапни експлойт вериги.

Според доклада корекциите по сигурността на Firefox са прикривани като рутинни подобрения, за да се забавят нападателите. GLM 5.3 е прозрял тактиката и въпреки това е идентифицирал кои промени в кода са свързани със сигурността.

В един случай моделът е открил грешка в безопасността на паметта чрез предстояща корекция и е разработил метод за четене и промяна на паметта на браузъра. Когато защитните слоеве на Firefox са блокирали достъпа до целевия файл, моделът е свързал първоначалния експлойт с няколко допълнителни етапа, за да заобиколи останалите защити. Най-бързата успешна атака е отнела 12 часа, докато изследователите са дали на модела максимум 48 часа.

При всички успешни атаки срещу актуалните версии на Firefox GLM 5.3 е разчитал на неизвестна досега уязвимост, която моделът е преоткрил самостоятелно при всеки опит, което му е позволило да заобиколи защитите на пясъчника на браузъра и да прочете файлове директно от компютъра.

Екипът е разкрил констатациите си пред Mozilla, която е отстранила уязвимостта във Firefox 159.0, пуснат на 27 октомври 2026 г. Изследователите не са потвърдили дали подобни атаки работят срещу новата версия, но подозират, че корекцията ги прави „поне значително по-трудни“.

Използвайки същата среда и техники срещу Google Chrome, екипът е похарчил около 100 000 долара API такси, без да създаде еквивалентен експлойт. Изследователите предупреждават, че това не доказва, че Chrome е защитен от подобни атаки: по-добри методи за задаване на инструкции или по-способни модели все пак биха могли да успеят. Те посочват ограничени данни от бенчмаркове, които предполагат, че наскоро обявеният Kimi K3.1 Pro може да превъзхожда GLM 5.3 при офанзивни киберзадачи, макар че самите те не са го тествали.

Всеки производител на софтуер е изправен пред същия риск

Пропускът между корекциите не е проблем само на Firefox. Според изследователите от Epoch AI той съществува в цялата софтуерна индустрия — в браузъри, мобилни операционни системи и фърмуер на рутери. Проектите с отворен код са особено изложени, тъй като целият им код е публичен, но уязвим е и софтуерът със затворен код. Anthropic вече показа, че моделът ѝ Mythos може да използва пропуска между корекциите в Windows без достъп до изходния код, а моделите с изкуствен интелект непрекъснато подобряват способностите си да декомпилират компилиран софтуер и самостоятелно да идентифицират корекции по сигурността.

Според доклада експлойти, използващи пропуска между корекциите, са били насочени към Chrome през септември 2026 г. През същия месец доставчик е пуснал коригирани версии на PHP повече от шест часа преди координираното публикуване на корекции за две критични уязвимости. Позовавайки се на външни публикации, изследователите отбелязват, че това ранно пускане може да е допринесло за хиляди опити за експлоатация преди официалното публикуване, като броят им веднага след това е нараснал до милиони.

Екипът е особено загрижен за софтуер, който потребителите актуализират рядко, като фърмуер на рутери и мобилни операционни системи, тъй като повечето потребители остават изложени на риск за много по-дълго време.

По-бързите актуализации помагат, но не могат да затворят структурния пропуск

За да се намали рискът, изследователите препоръчват корекциите по сигурността да остават частни, докато не бъдат готови за пускане, и да се преместват по-бързо от бета към общодостъпна версия. Те отбелязват, че Firefox и Google Chrome вече са започнали да пускат ежеседмични актуализации. Освен това съветват разработчиците да избягват едновременното коригиране на множество уязвимости, когато тези уязвимости могат да бъдат свързани във верига.

Според изследователите предоставянето на защитниците на достъп до по-мощни затворени модели само по себе си не решава структурния проблем. След като дадена корекция се появи в публичния код, тя насочва нападателите към основната уязвимост. Claude Mythos Preview на Anthropic отбеляза скок в киберспособностите на изкуствения интелект през април 2026 г., а водещите лаборатории реагираха с ограничен достъп и програми като Glasswing и Daybreak, които предоставят на защитниците ранен достъп.

С нарастването на способностите на свободно достъпните модели с отворени тегла офанзивните възможности се разпространяват извън контрола на всеки един пазач. Както пишат изследователите: „Виждаме тези резултати като доказателство за разпространението на напредналите кибервъзможности; вероятно много други софтуерни продукти вече са уязвими към подобни атаки, използващи пропуски между корекциите, и очакваме броят им да нараства с пускането на по-способни модели с отворени тегла.“

Новини за изкуствения интелект без сензация – подбрани от хора

Абонирайте се за THE DECODER за четене без реклами, седмичен бюлетин за изкуствения интелект, ексклузивния ни доклад „AI Radar“ за водещите разработки шест пъти годишно, достъп до пълния архив и достъп до секцията за коментари.