GLM 5.3 самостійно створила ланцюжки експлойтів для Firefox менш ніж за 48 годин

Дослідники Epoch AI показали, що вільно доступна модель штучного інтелекту може використати проміжок між публікацією виправлення безпеки та його доставленням користувачам, щоб атакувати Firefox. Вартість одного експлойта становила близько 1000 доларів.

Так зване «вікно між виправленням і його доставленням» виникає, коли зміни, що усувають вразливість, уже видимі в коді, але ще не встановлені в користувачів. Дослідники Epoch AI виявили, що китайська модель з відкритими вагами GLM 5.3 використала цей проміжок у шести версіях Firefox, випущених із 17 вересня до 26 жовтня. API-збори за кожну успішну атаку становили приблизно 1000 доларів. Раніше Anthropic повідомляла, що GLM 5.3 здатна писати експлойти приблизно на рівні Mythos.

Під час тестування модель створила вебсторінку, яка могла прочитати локальні файли з комп’ютера відвідувача й надіслати їх на сервер зловмисника одразу після завантаження сторінки у Firefox. За оцінкою матеріалу, браузером активно користуються понад 200 мільйонів людей. За такого сценарію зловмисники могли б отримати доступ до збережених паролів, файлів cookie автентифікації та особистих документів.

Коли дослідники використовували GLM 5.3 для розроблення експлойтів, ані Z.ai, ані інші постачальники API не застосували захисних обмежень і не відмовили в запитах. Хоча завдання подали як вправу з кібербезпеки, дослідники зазначають, що їхні дії «неможливо відрізнити від дій того, хто намагається атакувати реальних користувачів».

Модель створила повні ланцюжки експлойтів без участі людини

Дослідники кажуть, що навмисно побудували тест так, аби відтворити можливості малодосвідченого зловмисника з обмеженими ресурсами. В ізольованому середовищі вони надали моделі цільову версію Firefox, базові інструменти та загальнодоступну інформацію. Отримавши загальну інструкцію дослідити проміжок між виправленням і його доставленням, модель працювала автономно: виявляла майбутні виправлення безпеки, обирала вразливості й створювала багатоступеневі ланцюжки експлойтів.

За даними звіту, виправлення безпеки Firefox маскують під звичайні поліпшення, щоб ускладнити роботу зловмисників. Однак GLM 5.3 змогла розпізнати, які зміни в коді стосувалися безпеки.

В одному випадку модель помітила помилку безпеки пам’яті в майбутньому виправленні й розробила спосіб читати та змінювати пам’ять браузера. Коли захисні механізми Firefox заблокували доступ до цільового файла, модель поєднала початковий експлойт із кількома додатковими етапами, щоб обійти решту захисту. Найшвидша успішна атака тривала 12 годин, а максимальний час, відведений моделі дослідниками, становив 48 годин.

У всіх успішних атаках на актуальні версії Firefox GLM 5.3 використовувала раніше невідому вразливість, яку самостійно знаходила щоразу. Це дозволяло обійти ізоляцію браузера й читати файли безпосередньо з комп’ютера.

Команда повідомила про знахідку Mozilla. Компанія виправила вразливість у Firefox 159.0, випущеному 27 жовтня 2026 року. Дослідники не підтвердили, чи працюють подібні атаки проти нової версії, але припускають, що виправлення «принаймні істотно ускладнює» їх.

Застосувавши ті самі налаштування й методи до Google Chrome, команда витратила близько 100 000 доларів на API-збори, але не створила еквівалентного експлойта. Дослідники наголошують, що це не доводить захищеність Chrome: результату можуть досягти кращими способами формулювання запитів або потужнішими моделями. Вони також посилаються на обмежені дані тестів, за якими нещодавно анонсована Kimi K3.1 Pro може перевершувати GLM 5.3 у завданнях атакувальної кібербезпеки, хоча самі її не тестували.

Такий ризик стосується всіх виробників програмного забезпечення

Проміжок між виправленням і його доставленням — проблема не лише Firefox. За словами дослідників Epoch AI, вона стосується всієї індустрії програмного забезпечення: браузерів, мобільних операційних систем і прошивок маршрутизаторів. Особливо вразливі проєкти з відкритим кодом, оскільки він доступний усім, але ризик існує і для закритого програмного забезпечення. Anthropic уже показала, що її модель Mythos може використати цей проміжок у Windows без доступу до вихідного коду. Моделі штучного інтелекту також дедалі краще декомпілюють програми, щоб самостійно знаходити виправлення безпеки.

Згідно зі звітом, у вересні 2026 року експлойти, що використовують проміжок між виправленням і його доставленням, були спрямовані на Chrome. Того самого місяця постачальник випустив оновлені збірки PHP більш ніж за шість годин до узгодженого випуску виправлень для двох критичних вразливостей. Дослідники, посилаючись на зовнішні повідомлення, зазначають, що ранній випуск міг сприяти тисячам спроб експлуатації до офіційного релізу, а одразу після нього їхня кількість зросла до мільйонів.

Особливе занепокоєння команди викликає програмне забезпечення, яке користувачі оновлюють нечасто, зокрема прошивки маршрутизаторів і мобільні операційні системи. Через це багато людей залишаються вразливими значно довше.

Швидші оновлення допоможуть, але не усунуть системну проблему

Щоб знизити ризик, дослідники радять не оприлюднювати виправлення безпеки, доки вони не будуть готові до випуску, і швидше переводити їх із бета-версій у загальнодоступні. Firefox і Google Chrome уже почали випускати оновлення щотижня. Розробникам також радять не виправляти одночасно кілька вразливостей, якщо їх можна поєднати в ланцюжок атаки.

На думку дослідників, сам по собі доступ захисників до потужніших закритих моделей не розв’язує системної проблеми. Щойно виправлення з’являється у відкритому коді, воно вказує зловмисникам на вразливість, яку усунули. У квітні 2026 року Claude Mythos Preview від Anthropic продемонструвала значний стрибок можливостей штучного інтелекту в кібербезпеці. У відповідь провідні лабораторії обмежили доступ до моделей і запустили програми на кшталт Glasswing і Daybreak, які надають захисникам ранній доступ.

Що потужнішими стають загальнодоступні моделі з відкритими вагами, то більше можливості для атак виходять з-під контролю будь-якої окремої організації.

«Ми розглядаємо ці результати як свідчення поширення передових кіберможливостей. Імовірно, багато інших програм уже вразливі до подібних атак із використанням проміжку між виправленням і його доставленням. Очікуємо, що таких програм ставатиме більше, коли з’являтимуться потужніші моделі з відкритими вагами», — пишуть дослідники.

Дослідники Rezillion застерігали, що неповне розкриття інформації про вразливості нульового дня може залишити залежні від libwebp додатки вразливими. Вони закликали Apple, Google і Citizen Lab координувати повідомлення про такі проблеми.