Epoch AI 实验显示 GLM 5.3 可利用补丁窗口期自主攻击 Firefox

本文是我们网站上一篇更长报告的摘要

设想你是 Firefox 两亿用户中的一员。你打开一个网站，页面加载完成，你什么都没点就离开了。看起来没什么可担心的。

只不过，光是加载这个页面，就可能让攻击者获得读取你电脑上任意文件的能力，还能窃取浏览器里保存的密码或身份验证 cookie——不需要下载、不弹窗、不请求任何权限。简而言之，攻击者能拿到足够的信息，冒充你登录某些在线服务。

我们的新实验发现，Z.ai 于 8 月发布、可公开获取的开放权重模型 GLM 5.3，仅用价值 1000 美元的计算资源就能自主完成这种攻击。它的做法是：从 Mozilla 已发布但尚未推送给用户的安全修复中逆向推导出漏洞。

补丁空窗期给黑客留下了可乘之机

从修复发布到送达用户之间的这段时间被称为补丁空窗期，这是软件发布流程中一个已知的薄弱环节。随着 AI 模型的入侵能力不断增强，这个问题愈发重要。Anthropic 的 Glasswing 和 OpenAI 的 Daybreak 等项目让防御方提前接触前沿 AI 模型，以发现并修补漏洞；但已发布的修复也可能向攻击者暴露缺陷，让他们赶在修复推送前下手。过去，利用补丁空窗期漏洞需要大量时间和专业知识，或者需要能接触到具备高级网络攻击能力的前沿模型的特殊权限，因此能利用这一空窗期的攻击者寥寥无几。

但现在，开放权重模型自己就能完成这项工作。GLM 5.3 利用即将发布的安全修复中的信息，构建了一个网页：Firefox 用户一旦访问，该网页就会读取访客电脑上的文件并发送给攻击者，全程无需用户再做任何操作。这种方法足够可靠，仅凭各版本发布时已有的信息，就攻破了 9 月 17 日至 10 月 26 日期间发布的全部六个 Firefox 版本。

GLM 5.3 串联多个漏洞，攻破了全部六个受测的 Firefox 更新版本

我们的实验环境刻意模拟资源有限、水平不高的黑客，只使用每个版本发布时已有的信息。针对 Firefox 的研究，我们总共在 API 上花费超过 10 万美元，其中包括搭建逼真离线环境的实验和前期测试。但环境搭好之后，成功攻击每个 Firefox 版本只需约 1000 美元的计算成本。我们给 GLM 5.3 最多 48 小时寻找漏洞利用方法，而它最快的一次只用了 12 小时。

即便如此，过程也并不轻松。在一次尝试中，GLM 5.3 发现 Firefox 即将修复一个内存缺陷，随后开发出读取和修改浏览器内存的方法。但 Firefox 的安全防护仍然阻止模型读取目标文件，于是模型把最初的漏洞利用与多个后续阶段串联起来。它会诊断崩溃原因，放弃行不通的思路，反复迭代，直到仅仅访问网页就足以读取文件。

针对最新版 Firefox 的所有攻击，都依赖于把补丁空窗期漏洞与另一个未公开漏洞串联起来，从而绕过常规防护。我们把这个漏洞分享给了 Mozilla，它已在 10 月 27 日的 Firefox 159.0 版本中修复，这应该会让今后的补丁空窗期攻击更难得手。

我们的实验没有触发任何防护机制

以这种方式使用 GLM 5.3 时，我们没有触发任何提供方的防护机制或拒绝响应，包括 Z.ai 在内。我们把任务包装成了一次安全演练，但除此之外，我们的行为与真实攻击者并无区别。

GLM 5.3 没能攻破 Chrome

对 Google Chrome 的类似攻击没有成功，尽管我们同样投入了约 10 万美元的算力。但这并不能有力证明，换用更高级的提示词或能力更强的开放权重模型，攻击就不会成功。例如，Kimi K3.1 Pro 的权重预计 11 月初发布，早期基准数据显示，它在这类工作上可能比 GLM 5.3 更强。

加快发布，因为问题只会越来越严重

开源项目尤其容易受到补丁空窗期攻击，但 AI 越来越擅长把可运行的程序反编译回可用的代码，这意味着即使代码没有公开，它也能读懂代码修复。Anthropic 演示了Mythos 能在 Windows 上做到这一点。虽然我们尚未用开放权重模型测试过，但我们预计，随着开放权重模型的网络能力持续提升，这一威胁会愈发严重。（话虽如此，我们并不对开放权重模型将如何影响网络安全领域攻防整体平衡作出断言。）

这意味着我们需要缩短漏洞修复从公开到全面铺开之间的窗口。防御方可以在准备就绪前对安全修复保密，加快把修复从测试版推进到正式版，并在多个漏洞可能被串联利用时避免一次性全部修补。

Firefox 和 Google Chrome 现在都每周发布更新，但这可能还不够快。我们在不到两天内就做出了漏洞利用程序，而真实攻击者可能更快。我们应当假定：一旦漏洞修复进入已发布的代码，攻击者就能够、也一定会利用它来攻击当前版本。

感谢阅读！免费订阅以接收新文章。