GLM 5.3 可利用公開安全修補資訊，在用戶收到更新前製作可行漏洞利用程式

這是我們網站上一篇較長報告的摘要

假設你是 Firefox 兩億名用戶之一。你瀏覽一個網站，頁面載入後，你沒有點擊任何內容便離開。看來沒有甚麼值得擔心。

然而，單是載入頁面，就可能讓攻擊者有能力讀取你電腦上的任何檔案，以及竊取儲存在瀏覽器中的密碼或驗證 Cookie——毋須下載檔案、毋須彈出視窗，也毋須要求你授權。簡單來説，攻擊者可能取得足夠資訊，冒充你登入部分網上服務。

我們最新的實驗發現，Z.ai 於 8 月推出、廣泛提供的開放權重模型 GLM 5.3，只需價值 $1,000 的運算資源，便能自行完成這種攻擊。它透過逆向分析 Mozilla 已公佈但尚未推送給用戶的安全修正，找出漏洞。

修正程式推出前的空窗期為黑客提供可乘之機

修正程式公佈後、送達用戶前的這段時間稱為修補空窗期，是軟件發布流程中一個已知的弱點。隨着 AI 模型的黑客技術愈來愈強，這個問題也愈發重要。Anthropic 的 Glasswing 和 OpenAI 的 Daybreak 等計劃，讓防守者能提早使用前沿 AI 模型，以識別並修補漏洞；但已公佈的修正也可能暴露缺陷，讓攻擊者在修正推出前鎖定目標。過去，要利用修補空窗期中的漏洞，需要投入大量時間和專業知識，或特別使用具備進階網絡攻擊能力的前沿模型，因此只有少數攻擊者能利用這個空窗期。

然而，現在開放權重模型可以自行完成這些工作。GLM 5.3 利用即將推出的安全修正資訊，建構了一個網頁；Firefox 用戶瀏覽該網頁時，網頁便會讀取用戶電腦上的一個檔案，並在用戶沒有進一步操作的情況下將檔案傳送給攻擊者。這種方法可靠性足夠高，能利用發布當時可取得的資訊，成功攻陷 9 月 17 日至 10 月 26 日期間推出的全部六個 Firefox 版本。

GLM 5.3 串連多個漏洞，攻陷全部六個受測 Firefox 更新版本

我們設計的環境旨在模擬資源有限、技術水平一般的黑客，只使用各版本發布時可取得的資訊。我們針對 Firefox 的研究總開支中，API 費用超過 $100,000，當中包括為建立逼真的離線環境而進行的實驗，以及初步測試。不過，完成所有設定後，成功攻擊每個 Firefox 版本只需約 $1,000 的運算資源。我們讓 GLM 5.3 最多花 48 小時尋找漏洞利用方法，但最快的一次只用了 12 小時。

要達到這個結果仍然需要不少工夫。一次嘗試中，GLM 5.3 發現 Firefox 即將修正一個記憶體錯誤，接着便設計出讀取和修改瀏覽器記憶體的方法。但 Firefox 的安全防護機制仍然阻止模型讀取目標檔案，因此模型把最初的漏洞利用方法與多個額外階段結合起來。它診斷當機原因，放棄行不通的方法，並反覆嘗試調整，直至只要瀏覽該網站便足以讀取檔案。

針對最新 Firefox 版本的所有攻擊，均依靠串連利用一個修補空窗期漏洞和另一個尚未公開的獨立漏洞，以繞過一般防護措施。我們已將這個漏洞告知 Mozilla，該漏洞已在 10 月 27 日的 Firefox 159.0 版本中修補，這應會令未來利用修補空窗期的攻擊更難得逞。

我們的實驗未觸發安全防護措施

使用 GLM 5.3 進行這類操作時，我們沒有觸發任何供應商（包括 Z.ai）的安全防護措施或拒絕回應。我們將任務包裝成安全演練，但除此之外，我們的行為與真正攻擊者無異。

GLM 5.3 未能攻陷 Chrome

我們也花了約 $100,000 購買運算資源，但對 Google Chrome 發動的類似攻擊並未成功。然而，這不足以有力證明，使用更進階的提示詞或能力更強的開放權重模型發動攻擊也不會成功。例如，Kimi K3.1 Pro 的權重預計於 11 月初推出，而早期基準測試數據顯示，它在這類工作上的能力可能勝過 GLM 5.3。

加快發布，因為問題只會愈來愈嚴重

開源專案尤其容易受到修補空窗期攻擊，但 AI 越來越擅長將可執行程式反編譯成可用程式碼，因此即使修補程式碼尚未公開，也能讀取修正內容。Anthropic 曾展示 Mythos 能在 Windows 上做到這一點。雖然我們尚未以開放權重模型測試這一點，但預計隨着開放權重模型的網絡安全能力持續提升，這項威脅將會加劇。（不過，我們並未就開放權重模型會如何影響網絡安全中攻防雙方的整體平衡作出判斷。）

因此，我們需要縮短漏洞修正公開與全面部署之間的時間差。防守方可以在準備好部署前，先將安全修正保密；更快將修正由 beta 版推送至正式版；若多個漏洞可串連利用，則避免同時修補。

Firefox 和 Google Chrome 現在每週都會推出更新，但速度可能仍未足夠。我們在不到兩天內便製作出漏洞利用程式，真正的攻擊者可能更快。我們應假設，只要漏洞修正出現在公開的程式碼中，攻擊者就能並且會利用它攻擊目前版本。

感謝閲讀！免費訂閲即可接收新文章。