开源权重模型 GLM 5.3 在 48 小时内零人类输入构建完整 Firefox 利用链

2026-10-30

Epoch AI 的研究人员展示，广泛可用的 AI 模型 GLM 5.3 能在公开可见的安全修复到达用户之前自主利用 Firefox。该模型识别出被伪装的安全修复，并将漏洞与一个此前未公开的缺陷串联起来，在用户仅仅访问网页时绕过浏览器保护并读取本地文件。一旦测试环境搭建完成，每攻破一个 Firefox 版本的花费约为 1000 美元 API 费用。研究人员警告，类似的“补丁空窗期”风险遍及整个软件行业。

Epoch AI 的研究人员展示，一个可自由获取的 AI 模型可以利用安全补丁发布与交付之间的时间差来攻击 Firefox 用户。每次利用的成本约为 1000 美元。“补丁空窗期”是安全修复在代码中可见但尚未到达用户的窗口。Epoch AI 的研究人员发现，中国开源权重模型 GLM 5.3 在 9 月 17 日至 10 月 26 日期间发布的 6 个 Firefox 版本上利用了这一空窗期，每次成功攻击的 API 费用约为 1000 美元。Anthropic 此前报告称，GLM 5.3 编写漏洞利用的水平与 Mythos 大致相当。

在测试中，该模型构建了一个网页，可在 Firefox 用户加载页面时读取访客电脑上的本地文件并将其发送到攻击者的服务器。Firefox 拥有超过 2 亿活跃用户，攻击者可能借此获取保存的密码、身份验证 cookie 和私人文件。

当研究人员使用 GLM 5.3 开发漏洞利用时，Z.ai 或其他 API 提供商均未触发任何安全护栏或拒绝。尽管研究人员将任务描述为安全演练，但他们称其行为“与试图针对真实用户的人的行为无法区分”。

研究人员表示，他们特意设计环境以近似资源有限、技能较低的攻击者所能做到的事情。他们在离线环境中提供了目标 Firefox 版本、基本工具和公开信息。在收到调查补丁空窗期的基本指令后，该模型自主工作，识别即将到来的安全修复、选择漏洞并构建多阶段利用链。

根据报告，Firefox 安全修复被伪装成常规改进以拖慢攻击者。GLM 5.3 看穿了这一策略，并仍然识别出哪些代码更改与安全相关。

在一个案例中，该模型通过一个即将到来的修复发现了一个内存安全漏洞，并开发出一种读取和修改浏览器内存的方法。当 Firefox 的安全层阻止访问目标文件时，该模型将初始利用与多个额外阶段串联起来，以绕过剩余防御。最快的成功攻击耗时 12 小时，而研究人员给该模型最多 48 小时。

在对当前 Firefox 版本的所有成功攻击中，GLM 5.3 依赖一个此前未知的漏洞，该模型在每次尝试中都独立重新发现了它，从而绕过浏览器的沙箱保护并直接从电脑读取文件。

该团队向 Mozilla 披露了发现，Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中修补了该漏洞。研究人员尚未确认类似攻击是否对新版本有效，但他们怀疑该补丁使攻击“至少困难得多”。

Epoch AI 研究显示，GLM 5.3 可利用补丁空窗期自主识别被伪装的安全修复、串联漏洞并绕过 Firefox 防护读取本地文件；每次成功攻击约 1000 美元 API 费用，且未触发安全护栏。

这是什么信号：这条信号的关键不是“模型会写漏洞利用”，而是模型把补丁发布到用户更新之间的空窗期，变成了可自主执行、可计价的端到端攻击工作流。研究设定中，GLM 5.3 在离线环境里获得目标版本、基本工具和公开信息后，自主识别被伪装的安全修复、选择漏洞、构建多阶段利用链，最快 12 小时、上限 48 小时完成对 Firefox 的攻击，并能读取本地文件。这说明开源权重模型的安全能力已经开始接近“低技能、有限资源攻击者”的自动化替代品。

为什么重要：传统补丁管理假设攻击者需要时间逆向修复、拼装利用，而“补丁空窗期”给了防御方一个相对可控的缓冲。该研究显示，模型可以把这个缓冲压缩到小时级，并且每次成功攻击的 API 费用约为 1000 美元，覆盖 6 个 Firefox 版本。更值得警惕的是，研究称 Z.ai 或其他 API 提供商未触发安全护栏或拒绝，这意味着模型滥用治理与安全能力提升之间已经出现明显落差。对拥有超过 2 亿活跃用户的 Firefox 生态而言，保存的密码、身份验证 cookie 和私人文件都处在潜在暴露面内。

对谁有价值：浏览器和软件厂商应关注“修复可见性”本身是否成为攻击信号；企业 CISO 和安全团队应重新评估从补丁发布到终端更新的实际暴露窗口；AI 平台与模型提供商需要把漏洞利用开发、补丁空窗期调查等高风险用途纳入滥用检测；红队和安全研究机构可以用类似隔离环境评估开源权重模型的攻击上限；投资者和产品负责人则应看到，AI 安全能力正从演示性漏洞报告转向可规模化、可计费的安全运营问题。

可以怎么行动：第一，把“补丁空窗期”做成可度量指标，跟踪安全修复公开、补丁发布、用户实际更新之间的时间差，而不是只看补丁是否发布。第二，缩短终端和浏览器的自动更新周期，对无法立即更新的资产准备临时缓解和隔离策略。第三，软件厂商应减少安全修复在代码中的可推断信号，并加快向用户交付的链路。第四，模型提供商应对漏洞利用开发、绕过安全保护、读取本地文件等用途建立检测与拒绝机制，不能只依赖研究者的自我声明。第五，安全团队可在隔离环境中复现类似测试，验证自身检测、沙箱和补丁交付能力。

风险或限制：这是一项研究环境中的结果，攻击者被提供了目标 Firefox 版本、基本工具和公开信息，成本口径是 API 费用，不等于完整攻击的基础设施和人力成本。成功攻击依赖一个此前未知的漏洞，且研究人员尚未确认类似攻击是否对新版本 Firefox 有效；Mozilla 已在 Firefox 159.0 中修补该漏洞，并怀疑攻击会“至少困难得多”。因此不能据此推断所有开源模型都具备同等能力，也不能把 1000 美元简单等同于真实攻击总成本。但同样不能因为存在限制而低估信号：补丁空窗期自动化利用已经从概念验证走向可复现的工作流。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 the-decoder.com 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《开源权重模型 GLM 5.3 在 48 小时内零人类输入构建完整 Firefox 利用链》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。