Модель із відкритими вагами GLM 5.3 створила повні ланцюжки експлойтів для Firefox без участі людини менш ніж за 48 годин

Дослідники Epoch AI показали, що вільно доступна модель ШІ може використовувати проміжок часу між публікацією та доставкою виправлень безпеки, щоб атакувати користувачів Firefox. Вартість одного експлойту становить близько 1 000 доларів.

«Проміжок до патчу» — це період, протягом якого виправлення безпеки вже видно в коді, але воно ще не дійшло до користувачів. Дослідники Epoch AI виявили, що китайська модель із відкритими вагами GLM 5.3 використала цей проміжок у 6 версіях Firefox, випущених у період із 17 вересня до 26 жовтня, витративши приблизно 1 000 доларів на API-платежі за кожну успішну атаку. Раніше Anthropic повідомляла, що GLM 5.3 може писати експлойти приблизно на тому ж рівні, що й Mythos.

Під час тестування модель створила вебсторінку, яка могла читати локальні файли з комп’ютера відвідувача й одразу надсилати їх на сервер зловмисника, щойно користувач Firefox відкривав сторінку. Маючи понад 200 мільйонів активних користувачів, Firefox міг стати джерелом збережених паролів, файлів cookie автентифікації та приватних документів для зловмисників.

Ані Z.ai, ані інші постачальники API не активували жодних захисних обмежень чи відмов, коли дослідники використовували GLM 5.3 для розробки експлойтів. Хоча дослідники описали завдання як вправу з безпеки, вони характеризують свої дії як «невідмінні від дій людини, яка намагається атакувати реальних користувачів».

Модель створила повні ланцюжки експлойтів без участі людини

Дослідники кажуть, що навмисно спроєктували своє середовище так, щоб наблизити його до того, чого міг би досягти малокваліфікований зловмисник з обмеженими ресурсами. Вони надали цільову версію Firefox, базові інструменти та загальнодоступну інформацію в офлайн-середовищі. Отримавши базові інструкції з дослідження проміжку до патчу, модель працювала автономно: виявляла майбутні виправлення безпеки, обирала вразливості та створювала багатоетапні ланцюжки експлойтів.

Згідно зі звітом, виправлення безпеки Firefox маскують під звичайні покращення, щоб уповільнити зловмисників. GLM 5.3 розпізнала цей прийом і все одно визначила, які зміни в коді були пов’язані з безпекою.

В одному випадку модель виявила помилку безпеки пам’яті через майбутнє виправлення та розробила спосіб читати й змінювати пам’ять браузера. Коли рівні безпеки Firefox заблокували доступ до цільового файлу, модель об’єднала початковий експлойт із кількома додатковими етапами, щоб обійти решту захисних механізмів. Найшвидша успішна атака тривала 12 годин, тоді як дослідники надали моделі максимум 48 годин.

У всіх успішних атаках на актуальні версії Firefox GLM 5.3 покладалася на раніше невідому вразливість, яку модель самостійно повторно знаходила під час кожної спроби, що дозволяло їй обходити захист пісочниці браузера та безпосередньо читати файли з комп’ютера.

Команда повідомила про свої результати Mozilla, яка виправила цю вразливість у Firefox 159.0, випущеному 27 жовтня 2026 року. Дослідники не підтвердили, чи працюють подібні атаки проти нової версії, але припускають, що патч «принаймні суттєво їх ускладнює».

Використовуючи те саме середовище та методи проти Google Chrome, команда витратила близько 100 000 доларів на API-платежі, але не створила еквівалентного експлойту. Дослідники застерігають, що це не доводить невразливість Chrome: кращі методи формулювання запитів або потужніші моделі все ще можуть досягти успіху. Вони посилаються на обмежені дані тестів, які свідчать, що нещодавно анонсована Kimi K3.1 Pro може перевершувати GLM 5.3 у наступальних кіберзавданнях, хоча самі її не тестували.

Кожен постачальник програмного забезпечення стикається з однаковим ризиком

Проміжок до патчу — це не проблема лише Firefox. За словами дослідників Epoch AI, він існує в усій індустрії програмного забезпечення: у браузерах, мобільних операційних системах і прошивках маршрутизаторів. Проєкти з відкритим кодом особливо вразливі, оскільки весь їхній код є публічним, але закрите програмне забезпечення також перебуває під загрозою. Anthropic уже показала, що її модель Mythos може використовувати проміжок до патчу у Windows без доступу до вихідного коду, а моделі ШІ стабільно вдосконалюють декомпіляцію скомпільованого програмного забезпечення, щоб самостійно виявляти виправлення безпеки.

Згідно зі звітом, у вересні 2026 року експлойти, що використовували проміжок до патчу, були спрямовані на Chrome. Того ж місяця один постачальник випустив виправлені збірки PHP більш ніж за шість годин до скоординованого випуску патчів для двох критичних вразливостей. Посилаючись на зовнішні повідомлення, дослідники зазначають, що цей передчасний випуск міг сприяти тисячам спроб експлуатації до офіційного релізу, а одразу після нього кількість таких спроб зросла до мільйонів.

Команду особливо непокоїть програмне забезпечення, яке користувачі оновлюють нечасто, як-от прошивки маршрутизаторів і мобільні операційні системи, оскільки більшість користувачів залишається вразливою значно довше.

Швидші оновлення допомагають, але не можуть усунути структурний розрив

Щоб зменшити ризик, дослідники рекомендують зберігати виправлення безпеки приватними, доки вони не будуть готові до випуску, а також швидше переводити їх із бета-версії до загального релізу. Вони зазначають, що Firefox і Google Chrome вже почали випускати щотижневі оновлення. Також розробникам радять уникати одночасного виправлення кількох вразливостей, якщо їх можна об’єднати в ланцюжок.

Сам по собі надання захисникам доступу до потужніших закритих моделей не вирішує структурну проблему, стверджують дослідники. Щойно виправлення з’являється в публічному коді, воно вказує зловмисникам на основну вразливість. У квітні 2026 року Claude Mythos Preview від Anthropic ознаменувала стрибок у можливостях ШІ в кібербезпеці, і провідні лабораторії відповіли обмеженням доступу та такими програмами, як Glasswing і Daybreak, які надають захисникам ранній доступ.

У міру того як вільно доступні моделі з відкритими вагами стають потужнішими, наступальні можливості виходять за межі контролю будь-якого окремого регулятора доступу. Як пишуть дослідники, «ми розглядаємо ці результати як свідчення поширення передових кіберможливостей; імовірно, багато інших програмних продуктів уже вразливі до подібних атак через проміжок до патчу, і ми очікуємо, що їхня кількість зростатиме в міру випуску потужніших моделей із відкритими вагами».

Новини ШІ без хайпу — відібрані людьми

Підпишіться на THE DECODER, щоб читати матеріали без реклами, отримувати щотижневу розсилку про ШІ, наш ексклюзивний передовий звіт «AI Radar» шість разів на рік, повний доступ до архіву та доступ до розділу коментарів.