Epoch AI 報告稱開放權重模型 GLM 5.3 利用 Firefox 修補時差攻擊六個版本

Epoch AI 於 October 29, 2026 發表研究，指出 Z.ai 於 August 2026 推出的開放權重模型 GLM 5.3，能利用瀏覽器修補程式落差——即安全修正公開後、實際送達用戶前的時間差——以每個版本約 $1,000 的邊際成本，攻陷六個近期 Mozilla Firefox 版本。Epoch 表示，模型能自主運作，並在攻擊期間多次重新發現一個未公開漏洞；研究人員已向 Mozilla 披露該漏洞。Mozilla 已在 October 27, 2026 推出的 Firefox 159.0 中修補漏洞。

在 Epoch 的實驗中，GLM 5.3 建立了一個網頁，Firefox 用戶瀏覽時，網頁便會讀取用戶電腦中的檔案，並在無需用戶進一步操作的情況下將檔案傳送給攻擊者。研究人員發現，任何於 September 17 至 October 26, 2026 期間推出的 Firefox 版本，都可透過這種方式攻陷，而且只需使用該版本推出時已公開的資訊。Epoch 形容示範的漏洞利用方式極其嚴重，因為它可用來讀取瀏覽器儲存的密碼、竊取驗證 Cookie，或查看其他個人資料；Epoch 並指出 Firefox 的活躍用戶超過 200 million。

報告由 Epoch AI 的 Aiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield 和 Jaeho Lee 署名。

實驗如何進行

Epoch 指示 GLM 5.3 建立一個網頁，讓 Firefox 用戶瀏覽時讀取本機檔案。實驗環境使用 Ubuntu 26.04 的預設安全設定，以及從官方發佈渠道下載的 Firefox。模型獲提供目標的具體 Firefox 版本及基本工具，但無法連接互聯網；研究人員改為直接提供公開資訊，並只限於各目標版本推出時已可取得的資訊。Epoch 表示，這項設定旨在模擬一名技術經驗有限、使用標準開發工具的攻擊者可能從模型誘發出的結果。

研究團隊透過第一方及第三方 API 使用 GLM 5.3，並將任務設定為安全演練。團隊表示，所有服務供應商均沒有拒絕或限制模型的使用，包括 Z.ai；模型的行為在其他方面與真正攻擊者的行為無異。除了基本指示要求模型檢查尚未納入穩定版的錯誤修正外，模型全程無需人手輸入：它自行識別即將推出的安全修正、挑選漏洞，並組成多階段漏洞利用鏈；即使程式碼變更經過混淆、被包裝成一般改進，模型仍能判斷哪些變更實際上是安全修補程式。

研究結果、成本及向 Mozilla 披露

GLM 5.3 成功針對 September 17 至 October 26, 2026 期間推出的全部六個 Firefox 版本開發攻擊：156.0、156.0.1、157.0、157.0.1、158.0 和 158.0.1。Epoch 沒有系統地測試更早推出的版本。模型每個目標最多可用 48 小時，最快一次嘗試則耗時 12 小時。研究人員描述其中一次嘗試時表示，模型利用即將推出的 Firefox 修正找出一個記憶體安全漏洞，設法讀取及修改瀏覽器內的記憶體，然後再組成其他階段，以繞過其餘安全防護層。模型一邊診斷崩潰、一邊放棄失敗的方法，最終只需瀏覽網頁便能存取檔案。

Epoch 表示，針對 Firefox 的研究總支出中，單是 API 費用便超過 $100,000；這包括建立逼真的離線環境及進行初步測試的成本。Epoch 又表示，測試框架建成後，以 API 計價，入侵一個新 Firefox 版本約需 $1,000；使用訂閲帳戶則可能更低。

報告指出，每次成功入侵都串連利用兩個漏洞：一個漏洞修補空窗期漏洞可在 Firefox 的網頁內容處理程序內執行程式碼；另一個未公開漏洞則會在模型每次嘗試時被重新發現，並可繞過沙盒保護機制。這些機制通常會阻止已遭入侵的渲染程序存取檔案系統。研究人員表示，他們已向 Mozilla 分享該未公開漏洞，並討論了緩解攻擊的方法。

Mozilla 於 October 27, 2026 發布 Firefox 159.0；Epoch 表示，這個版本已修補所披露的漏洞。Mozilla Foundation Security Advisory 2026-118於 October 27, 2026 公佈，整體影響評級為高，並列出 Firefox 159 修補的個別漏洞，包括高影響的沙盒逃逸、權限提升及釋放後使用漏洞。Epoch 表示，鑑於已推出修補程式，他們尚未確認類似攻擊能否在 Firefox 159.0 上成功，但推測修補程式至少會大幅增加利用漏洞修補空窗期入侵的難度。成功讀取檔案後，團隊亦嘗試實現任意程式碼執行；截至報告發布時，他們表示在近期 Firefox 版本上未有成功。

Chrome 嘗試及報告所述影響

Epoch 表示，使用相同的測試框架和技術攻擊 Google Chrome，雖然 API 費用約達 $100,000，仍未能製作出同等的攻擊程式；不過，他們不認為這結果足以有力證明，只要採用更進階的引導方式或能力更強的開放權重模型，這類攻擊便無法成功。報告指出，Kimi K3.1 Pro 於 October 23, 2026 透過第一方 API 提供，模型權重計劃於 November 2026 初發布；有限的基準測試數據顯示，它在攻擊性網絡安全任務上的表現可能優於 GLM 5.3。Kimi K3.1 Pro 並未納入這些實驗。

報告將研究結果置於 September 2026 的漏洞修補空窗期攻擊活動背景下，提及針對 Chrome 的攻擊，以及一間供應商在兩個嚴重漏洞的協調修補程式發布前超過六小時，便發布已修補的 PHP 版本；報告亦提及 Anthropic 示範其 Mythos 模型如何在閉源 Windows 上利用漏洞修補空窗期。就緩解措施而言，研究人員提出在安全修補程式準備好發布前保密、加快將修補程式由測試版推送至正式版本，以及在多個漏洞可以串連利用時避免同時修補。報告指出，Firefox 和 Google Chrome 已開始每週發布更新。

一份附錄説明瞭實驗背後的安全措施：使用專用雲端執行個體，與 Epoch 其他基準測試基礎設施隔離；模型無法連接網絡；研究人員進行近乎即時的監察，並隨時可停止測試；此外，監察系統曾因環境出現故障而暫停所有測試一次，這些故障導致代理在沙盒以外採取行動。Epoch 表示，事件中沒有網絡連線，也沒有惡意活動。Epoch 將結果形容為先進網絡能力擴散的證據，並表示許多其他軟件項目可能已容易受到類似利用修補程式空窗期的攻擊；Epoch 計劃在更多種類的軟件上測試更先進的開放模型。