GLM 5.3 利用 Firefox 修補程式發布時差，攻陷六個近期版本

概覽

GLM 5.3 是 Z.ai 於 8 月推出、廣泛可取得的開放權重模型。它能利用已公開但尚未推送給用戶的安全修補程式，識別並利用 Mozilla Firefox 瀏覽器近期版本中的漏洞。從修補程式公開到送達用戶之間的時間差，稱為修補程式空窗期。在我們的實驗中，GLM 5.3 利用這段空窗期建立了一個網頁。Firefox 用戶瀏覽該網頁時，網頁便會讀取訪客電腦中的檔案，並在無需用戶進一步操作的情況下將檔案傳送給攻擊者。具體而言，我們發現，任何於 9 月 17 日至 10 月 26 日期間推出的 Firefox 版本，都可以只利用各版本推出當時可取得的資訊，以這種方式入侵。

修補程式空窗期是軟件發佈慣例中一個已知的弱點，在各類軟件中都很常見，例如瀏覽器、手機作業系統和路由器韌體。過去要利用這個弱點，需要投入大量時間和專業知識，或特別取得具備先進網絡安全能力的前沿模型，因此只有少數攻擊者能在漏洞修補前加以利用。

我們的核心發現是，現在廣泛可取得的開放權重模型已能自行完成大部分，甚至全部這類工作。我們刻意設計實驗環境，模擬資源有限、技術能力相對有限的行動者，並且只使用各版本推出當時可取得的資訊。完成設定後，成功攻擊每個 Firefox 版本的成本僅約 1,000 美元。

在我們對所有近期 Firefox 版本的成功入侵中，GLM 5.3 亦發現並利用了一個未公開的漏洞，並同時利用透過修補程式空窗期發現的漏洞。我們聯絡了 Mozilla 團隊，披露研究結果並討論減輕這類攻擊的方法。 Mozilla 其後推出了新版 Firefox（159.0，於 2026 年 10 月 27 日推出），修補了先前未公開的漏洞，這應可增加 GLM 5.3 利用修補程式空窗期攻陷 Firefox 的難度。

開源項目特別容易受到這類攻擊，因為其程式碼公開可見；不過，我們懷疑，只要模型能在發佈前取得即將推出的安全性變更內容，任何軟件項目都可能受到攻擊，包括閉源項目。¹ 隨着開放權重模型的網絡安全能力持續提升，我們預期這類威脅會加劇。

我們對 Firefox 進行實驗的其他發現：

即使已有應對措施，GLM 5.3 仍能利用修補程式空窗期。為減慢潛在攻擊者的行動，已公開的安全修補程式會偽裝成一般改進，而且不會披露底層漏洞的詳情。GLM 5.3 能夠閲讀程式碼，並判斷哪些變更與安全修補程式有關。
我們展示的漏洞利用方式可能造成極嚴重後果。我們利用 GLM 5.3 建立了一個網站，Firefox 用戶只要瀏覽該網站，攻擊者便能在無需用戶進一步操作的情況下，將用戶電腦中的檔案外傳。Firefox 有超過 2 億名活躍用戶；攻擊者可利用這種漏洞讀取他們儲存在瀏覽器中的密碼、盜取驗證 Cookie，或查看用戶電腦中的其他私人資料。
以這種方式使用 GLM 5.3 時，我們沒有觸發任何供應商的安全防護或拒絕機制，包括 Z.ai。我們將任務設定為安全演練，但除此之外，我們的行為與真正攻擊者無異。
截至撰文時，針對 Google Chrome 的類似攻擊尚未成功。但我們不認為這足以有力證明，只要採用更進階的引導方式，或使用能力更強的開放權重模型（可能包括最近公佈的 Kimi K3.1 Pro），攻擊便不可能成功。

背景

2026 年 4 月，Anthropic 宣佈推出 Claude Mythos Preview，標誌着 AI 網絡安全能力的一大躍進。自此，前沿 AI 模型有能力偵測漏洞，並在實際使用的軟件中設計複雜攻擊，已是不爭的事實。 Anthropic 最近作了示範，舉例説明內部模型如何在廣泛使用的軟件中找出並利用嚴重漏洞。

前沿 AI 實驗室已透過 Glasswing 和 Daybreak 等項目，讓部分防禦方提早使用先進能力，同時嚴格限制更廣泛的存取。這項策略旨在讓防禦方能在攻擊者利用漏洞之前找出並修補漏洞。然而，漏洞修補措施公開後，往往要過一段時間才會部署到相關軟件的所有用戶。這種修補落差出現在兩個階段：修補措施公開後、尚未向用戶推出；以及更新推出後，用戶仍繼續使用舊版軟件。我們的研究聚焦於修補措施公開後、普遍推出前的這段落差。

開發人員會利用軟件測試版測試程式碼，並找出新引入的錯誤；這也是漏洞修補措施在普遍推出前變得公開的一種途徑。測試版的用戶通常比正式版本少，主要是願意測試較新、但可能不穩定功能的用戶。對開源項目而言，相關資訊的公開程度更高，因為整個程式碼庫都是公開的，而即將推出的變更通常可在測試版或「nightly」程式碼分支中查看。

修補落差是已知的安全問題，但過往利用這種落差所需的時間和專業知識，限制了能夠利用它的行動者數量（而且以這種方式開發的漏洞利用程式可用期限自然有限，攻擊者可能因此選擇把注意力放在其他地方）。AI 網絡攻擊能力日益提升，改變了這種盤算。

儘管能力最強的前沿模型受到嚴格管制，無法不受限制地存取（即沒有網絡安全防護措施），開放權重模型卻廣泛開放，任何人都可不受限制地使用。² 這種開放存取有助網絡安全防禦方預先偵測漏洞及應對事故，尤其是無法使用受限制前沿模型的防禦方。本文聚焦於一項攻擊能力，但我們不對開放權重模型會如何影響攻防平衡作出判斷。

開放權重模型過去一直無法可靠地利用修補空窗期，但其能力正穩步提升。為了了解這項限制是否仍然存在，我們測試了 GLM 5.3 能否利用修補空窗期，入侵 Firefox 的最新版本。GLM 5.3 是一款於 2026 年 8 月推出、廣泛開放使用的開放權重模型；Firefox 則是一款擁有超過 2 億名活躍用戶的網頁瀏覽器。

方法

我們要求 GLM 5.3 建立一個網頁，讓 Firefox 用戶瀏覽時，網頁便會讀取用戶系統上的本機檔案。³ 這可用於讀取用戶的私人文件、複製儲存在 Firefox 的密碼，以及竊取驗證 Cookie，讓攻擊者能以用戶身分登入部分網上服務。我們選擇這個目標，是因為這反映的攻擊嚴重得足以對用戶造成實際損害。

我們向模型提供用戶電腦上 Firefox 的具體版本和一些基本工具，然後讓它持續運作，直至開發出成功的漏洞利用方式。為免影響第三方，我們沒有讓模型連接互聯網；相反，我們直接提供了認為模型可能需要的公開資訊。我們只提供目標版本推出時已可取得的資訊，因此模型無法使用其後才發現的漏洞資訊。

我們設計的環境大致模擬一名技術經驗有限、使用標準開發工具的攻擊者讓模型在線上運行時，可能從模型取得的能力。我們透過 GLM 5.3 的官方 API 和第三方 API 存取模型，並將任務設定為資安演習。儘管我們的行為與試圖攻擊真實用戶的人無異，但我們使用模型的過程從未受到限制，也沒有遇到任何拒絕回應。

除了給予模型利用修補空窗期的基本指示（即檢查尚未納入穩定版本的錯誤修正）外，我們讓模型在沒有用戶輸入的情況下自主運作。模型自行找出即將推出的安全修正、選擇漏洞，並建立複雜的漏洞利用鏈。

結果

GLM 5.3 成功針對 9 月 17 日至 10 月 26 日期間推出的全部六個 Firefox 版本發動攻擊，⁴而且只使用各版本推出時已可取得的資訊。瀏覽模型建立的網頁會令瀏覽器讀取本機檔案，並在無需用戶進一步操作的情況下，將檔案內容傳送至攻擊者的伺服器。⁵

模型開發這些攻擊需要投入大量時間和精力。在其中一次嘗試中，GLM 5.3 利用 Firefox 即將推出的修正找出一個記憶體安全漏洞，接着開發出在瀏覽器內讀取和修改記憶體的方法，但 Firefox 的安全防護仍然阻止模型讀取目標檔案。模型最終的攻擊將初始漏洞利用與多個額外階段串連起來，以繞過其餘安全防護。模型診斷當機問題、放棄無效的方法，並反覆調整做法，直至單純瀏覽網站便足以存取檔案。我們最多給予 GLM 5.3 48 小時尋找漏洞利用方式，但最快的一次只用了 12 小時。

除了透過修補程式落差發現的漏洞外，我們針對最新 Firefox 版本發動的攻擊，亦利用了一個未公開漏洞；模型在每次嘗試中都重新發現了這個漏洞。這讓模型能把對瀏覽器的有限控制權，擴展至讀取電腦檔案的能力。⁶ 我們已向 Mozilla 通報這個漏洞，並已在 10 月 27 日發布的 Firefox 159.0 版本中修補。我們尚未確認在這項修補下，類似攻擊能否在 159.0 上成功，但懷疑這至少會大幅增加攻擊難度。

我們針對 Firefox 進行研究的總開支中，API 費用超過 $100,000，當中包括建構逼真的離線環境及初步測試所需的實驗成本。不過，一旦我們建立測試框架，並引導 GLM 5.3 朝正確方向行動，攻破瀏覽器便變得成本低廉而且可靠。按 API 定價計算，攻破一個新 Firefox 版本的邊際成本約為 $1,000；若使用訂閲帳戶，成本或會更低。

如果攻擊者不在意讓自主代理在可存取互聯網的情況下開發漏洞利用程式所帶來的風險，便可讓模型不受限制地存取互聯網，無須費力在沙盒中離線運行模型，從而以更低成本、更輕易地複製我們的設定。

發現 GLM 5.3 能夠攻破 Firefox 後，我們決定評估類似設定能否攻破 Google Chrome。儘管我們為此花費約 $100,000 的 API 費用進行嘗試，截至撰文時，我們仍未能利用相同的測試框架和技術製作出同等的漏洞利用程式。

Kimi K3.1 Pro 於 10 月 23 日透過官方 API 推出，模型權重則計劃於 11 月初發布。我們尚未將 Kimi K3.1 Pro 納入實驗，但有限的基準測試數據顯示，它在進攻性網絡安全任務上的表現可能勝過 GLM 5.3。我們計劃日後在更多種類的軟件上測試更先進的開放模型。

對其他軟件的影響

The conditions needed for patch-gap attacks are common throughout the software industry. Whenever a security fix becomes visible before it reaches users, an attacker has the opportunity to reverse engineer it into an exploit. In September 2026, we saw patch-gap exploits targeting Chrome. In the same month, a vendor published patched builds of PHP more than six hours ahead of the coordinated release of patches for two critical vulnerabilities. These early patches could have contributed to thousands of exploit attempts before the public release (which then climbed to millions immediately afterward).

雖然 Firefox 和 Chromium 都是開源軟件，修補程式落差亦會對閉源軟件構成風險。Anthropic 展示了 Mythos 即使在專案程式碼完全未公開的情況下，仍能利用 Windows 的修補程式落差發動攻擊。我們沒有明確測試 GLM 5.3 利用閉源專案修補程式落差的能力，但隨着開放權重模型的網絡安全能力持續提升，這種情況很可能很快便會出現，即使目前尚未如此。我們尤其關注用戶更新頻率較低的軟件，例如路由器韌體或手機作業系統，因為大規模遭入侵可能造成嚴重後果，而大多數用戶暴露於漏洞風險的時間也長得多。

應對這項威脅，可能需要縮短漏洞修補程式公開後、納入正式版本前的時間。我們在兩天內便製作出漏洞利用程式，但其他攻擊者可能更快。單靠讓防禦者使用更強大的封閉模型，並不能解決根本的結構性問題；無論修補程式是如何找到的，一旦公開，本身就會標示漏洞所在位置。防禦者可採取幾項措施減輕這類攻擊，例如在安全修補程式準備好推出前先予以保密，或加快將修補程式由測試版推送至正式版。 Firefox 和 Google Chrome 都已開始每週推出更新。無論採用哪種做法，都應假設漏洞修補程式一旦出現在已發布的程式碼中，攻擊者便能並且會利用它來攻擊目前的版本。如果多個漏洞可以串連利用，防禦者應避免同時修補這些漏洞。

結論

GLM 5.3 利用修補落差，攻破了 Firefox 最近推出的六個版本。我們刻意採用非常基本的配置；即使如此，模型仍能在沒有人工介入的情況下，穩定地構造出成功的漏洞利用程式，每攻破一個 Firefox 版本的邊際成本約為一千美元。這些攻擊利用了一項關鍵的未公開漏洞，該漏洞現已修補；我們未能在 Chrome 上取得類似成果（但我們不認為這足以排除透過更有效的引導方式或更強大的開放權重模型成功發動類似攻擊）。

我們認為，這些結果反映了先進網絡能力的擴散；其他許多軟件可能已容易受到類似的修補落差攻擊，而隨着更多能力更強的開放權重模型推出，我們預期這類攻擊會增加。

附錄：我們實驗採取的安全措施

註釋

AI 模型越來越擅長反編譯軟件，也就是把可執行程式還原成原始碼。攻擊者只要反編譯即將推出的測試版，仍可在安全修補程式套用前查看它們，即使程式碼尚未公開，修補落差攻擊依然可能發生。Anthropic 已展示 Mythos 能在 Windows 上做到這一點，但我們尚未測試開放權重模型。
即使模型開發者嘗試加入安全限制，或訓練模型拒絕某些要求，只要公開發布模型權重，其他人便可建立「abliterated」版本，使模型遵從任何要求，並在沒有任何安全限制的情況下執行。
在採用預設安全設定的 Ubuntu 26.04 上執行，Firefox 則從官方發行版下載。
156.0, 156.0.1, 157.0, 157.0.1, 158.0, 158.0.1。更早版本可能也有漏洞，但我們沒有對這些版本進行系統性測試。
成功讀取檔案後，我們嘗試實現任意程式碼執行。截至撰寫本文時，我們尚未在近期 Firefox 版本上成功實現程式碼執行。
成功攻擊需要串連利用兩個主要漏洞。其中一個修補落差漏洞用於在網頁內容程序內執行程式碼；另一項未公開漏洞則讓攻擊得以繞過沙盒保護，而這些保護通常會阻止即使已遭入侵的渲染程序存取檔案系統。