Модель с открытыми весами GLM 5.3 создала полные цепочки эксплойтов для Firefox без участия человека менее чем за 48 часов

Исследователи Epoch AI показали, что свободно доступная модель ИИ может использовать временной разрыв между публикацией и доставкой исправлений безопасности для атак на пользователей Firefox. Стоимость каждой атаки составляет около 1 000 долларов.

«Разрыв между исправлением и обновлением» — это период, когда исправление безопасности уже видно в коде, но ещё не дошло до пользователей. Исследователи Epoch AI обнаружили, что китайская модель с открытыми весами GLM 5.3 использовала этот разрыв в 6 версиях Firefox, выпущенных в период с 17 сентября по 26 октября, при стоимости примерно 1 000 долларов API-запросов за каждую успешную атаку. Ранее Anthropic сообщала, что GLM 5.3 умеет писать эксплойты примерно на том же уровне, что и Mythos.

Во время тестирования модель создала веб-страницу, которая могла читать локальные файлы с компьютера посетителя и отправлять их на сервер атакующего в момент загрузки страницы пользователем Firefox. При более чем 200 миллионах активных пользователей Firefox злоумышленники могли получить доступ к сохранённым паролям, файлам cookie для аутентификации и личным документам.

Ни Z.ai, ни другие поставщики API не включили защитные механизмы и не отказались выполнять запросы, когда исследователи использовали GLM 5.3 для разработки эксплойтов. Хотя исследователи представляли задачу как упражнение по безопасности, они описывают свои действия как «неотличимые от действий человека, пытающегося атаковать реальных пользователей».

Модель создала полноценные цепочки эксплойтов без участия человека

Исследователи утверждают, что намеренно спроектировали свою среду так, чтобы приблизить её к тому, чего мог бы добиться низкоквалифицированный атакующий с ограниченными ресурсами. В автономной среде они предоставили целевую версию Firefox, базовые инструменты и общедоступную информацию. Получив базовые инструкции по изучению разрыва между исправлением и обновлением, модель работала автономно, выявляя предстоящие исправления безопасности, выбирая уязвимости и создавая многоэтапные цепочки эксплойтов.

Согласно отчёту, исправления безопасности Firefox маскируются под обычные улучшения, чтобы замедлить работу атакующих. GLM 5.3 распознала эту тактику и всё равно определила, какие изменения в коде связаны с безопасностью.

В одном случае модель обнаружила ошибку, связанную с безопасностью памяти, по предстоящему исправлению и разработала способ чтения и изменения памяти браузера. Когда уровни защиты Firefox заблокировали доступ к целевому файлу, модель объединила первоначальный эксплойт с несколькими дополнительными этапами, чтобы обойти оставшиеся механизмы защиты. Самая быстрая успешная атака заняла 12 часов, тогда как исследователи предоставили модели максимум 48 часов.

Во всех успешных атаках на актуальные версии Firefox GLM 5.3 использовала ранее неизвестную уязвимость, которую модель самостоятельно заново обнаруживала в каждой попытке, что позволяло ей обходить защиту песочницы браузера и напрямую читать файлы с компьютера.

Команда сообщила о своих выводах Mozilla, которая устранила эту уязвимость в Firefox 159.0, выпущенном 27 октября 2026 года. Исследователи не подтвердили, работают ли аналогичные атаки против новой версии, но предполагают, что исправление делает их «как минимум существенно сложнее».

Используя ту же среду и методы против Google Chrome, команда потратила около 100 000 долларов на API-запросы, не создав эквивалентный эксплойт. Исследователи подчёркивают, что это не доказывает невосприимчивость Chrome: более эффективные методы постановки задач или более способные модели всё ещё могут добиться успеха. Они ссылаются на ограниченные данные тестов, указывающие, что недавно представленная Kimi K3.1 Pro может превосходить GLM 5.3 в наступательных киберзадачах, хотя сами её не тестировали.

Каждый производитель программного обеспечения сталкивается с тем же риском

Разрыв между исправлением и обновлением — проблема не только Firefox. По словам исследователей Epoch AI, он существует во всей программной индустрии — в браузерах, мобильных операционных системах и прошивках маршрутизаторов. Проекты с открытым исходным кодом особенно уязвимы, поскольку весь их код общедоступен, но закрытое программное обеспечение также находится под угрозой. Anthropic уже показала, что её модель Mythos может использовать разрыв между исправлением и обновлением в Windows без доступа к исходному коду, а модели ИИ постоянно совершенствуются в декомпиляции скомпилированного программного обеспечения для самостоятельного выявления исправлений безопасности.

Согласно отчёту, в сентябре 2026 года эксплойты, использующие разрыв между исправлением и обновлением, были направлены на Chrome. В том же месяце поставщик выпустил исправленные сборки PHP более чем за шесть часов до согласованного выпуска исправлений для двух критических уязвимостей. Ссылаясь на сообщения из внешних источников, исследователи отмечают, что этот ранний выпуск мог способствовать тысячам попыток эксплуатации до официального релиза, а сразу после него их число выросло до миллионов.

Команду особенно беспокоит программное обеспечение, которое пользователи обновляют редко, например прошивки маршрутизаторов и мобильные операционные системы, поскольку большинство пользователей остаются уязвимыми значительно дольше.

Более быстрые обновления помогают, но не устраняют структурный разрыв

Чтобы снизить риск, исследователи рекомендуют держать исправления безопасности закрытыми до момента готовности к выпуску и быстрее переводить их из бета-версии в общедоступный релиз. Они отмечают, что Firefox и Google Chrome уже начали выпускать еженедельные обновления. Они также советуют разработчикам избегать одновременного исправления нескольких уязвимостей, если их можно объединить в цепочку.

По мнению исследователей, предоставление защитникам доступа к более сильным закрытым моделям само по себе не решает структурную проблему. Как только исправление появляется в общедоступном коде, оно указывает атакующим на лежащую в основе уязвимость. В апреле 2026 года Claude Mythos Preview от Anthropic ознаменовала скачок возможностей ИИ в кибербезопасности, и ведущие лаборатории отреагировали ограничением доступа и такими программами, как Glasswing и Daybreak, которые предоставляют защитникам ранний доступ.

По мере того как свободно доступные модели с открытыми весами становятся всё более способными, наступательные возможности распространяются за пределы контроля любого отдельного посредника. Как пишут исследователи: «Мы рассматриваем эти результаты как свидетельство распространения передовых кибервозможностей; многие другие программы, вероятно, уже уязвимы для аналогичных атак, использующих разрыв между исправлением и обновлением, и мы ожидаем, что их число будет расти по мере выпуска более способных моделей с открытыми весами».

Новости ИИ без шумихи — отобраны людьми

Подпишитесь на THE DECODER, чтобы читать материалы без рекламы, получать еженедельную рассылку об ИИ, эксклюзивный аналитический отчёт о передовых разработках «AI Radar» шесть раз в год, полный доступ к архиву и доступ к разделу комментариев.