AREX Feed Article
Epoch AI 披露：开放权重模型 GLM 5.3 利用补丁缺口自主攻破六个 Firefox 版本，Mozilla 已在 159.0 修复
AI 研究机构 Epoch AI 于北京时间 10 月 30 日凌晨：开放权重模型（open-weight model）GLM 5.3 在一个刻意模拟低资源攻击者的基础实验设置中，自主攻破了 2026 年 9 月 17 日至 10 月 26 日之间发布的全部六个 Firefox 版本——156.0、156.0.1、157.0、157.0.1、158.0 和 158.0.1。攻击利用的是「patch gap（补丁缺口）」，即安全修复已公开发布在 beta（公开测试）或 nightly（每夜构建）更新中、但尚未正式推送给普通用户的那段时间窗口。发布推文的同时，Epoch 在官网发布了。
按 Epoch 的描述，模型只拿到基础指示和有限的工具：Epoch 给它最多 48 小时寻找利用方案，最快的一次只需 12 小时；环境搭建完成后，攻破一个版本的边际成本约 1,000 美元。用户只要打开一个网页、之后不做任何操作，攻击者就能窃取浏览器里存储的密码和认证 cookie，或读取电脑上的任意文件。为把浏览器内的立足点升级成读文件的能力，GLM 5.3 还自主发现并利用了一个此前未公开的漏洞。Epoch 称已向 Mozilla 披露，Mozilla 已在 10 月 27 日发布的 Firefox 159.0 中修复该漏洞；Mozilla 当天的发行说明与安全公告确认，这一版本随附多项安全修复。
Epoch 给模型的任务：构建「打开即读文件」的网页
Epoch 给 GLM 5.3 的任务是一个具体目标：构建一个网页，Firefox 用户一访问，浏览器就在用户电脑上读取一个本地文件，并把内容发往攻击者的服务器，全程不需要用户再做任何事。报告称，这种能力可以用来读取私人文档、复制 Firefox 中保存的密码、窃取认证 cookie——拿到 cookie 的攻击者可以在部分在线服务上以用户身份登录。报告援引 Mozilla 的用户数据称，Firefox 拥有超过 2 亿活跃用户。
实验里模型是自主工作的。Epoch 只在开始时给出基本指示——去查看那些尚未进入稳定版的修复——之后不再提供任何输入；模型自行识别即将发布的安全修复、挑选要用的漏洞、组装完整的 exploit（漏洞利用代码）。报告称它「可靠地」为六个版本全部造出了可用攻击，且只使用各版本发布时点已经公开的信息。更早的 Firefox 版本很可能同样易受攻击，但 Epoch 没有做系统测试。
成本是分两层的。整个 Firefox 研究在 API（应用程序接口）费用上花了超过 100,000 美元，包括搭建逼真离线环境的投入和初步测试；而框架一旦成型、方向指对，每攻破一个新版 Firefox 的开销就回落到约 1,000 美元的边际成本，按订阅账号计费还可能更低。报告补充，一个不在意风险的攻击者如果直接让模型联网运行、放弃离线沙箱，复制这套设置会更便宜、也更容易。
补丁缺口如何被模型找到并利用
这个窗口是公认的安全弱点。Mozilla 的现行对策是把安全修复伪装成普通改进发布、不披露底层漏洞的细节；报告称 GLM 5.3 读通了代码，自己判断出哪些改动与安全补丁有关，绕过了这层模糊处理。
在所有成功的攻击中，补丁缺口都给了模型最初的浏览器立足点；完整的攻击链分两级：补丁缺口中的漏洞先用来在浏览器的网页内容进程（web content process）里实现代码执行，另一个模型自行重新发现的未公开漏洞，再用来突破沙箱——正常情况下，即使渲染进程（renderer process）被攻破，也无法直接访问文件系统。这个未公开漏洞是模型在每一次尝试中独立重新发现的。两者串联起来，才换来「打开网页即可读文件」的效果。
报告记录了模型的一次完整迭代：它先用一个即将发布的修复定位到一个内存安全缺陷，做出在浏览器内读写内存的方法，但 Firefox 的安全防护仍然挡住了读取目标文件的路径；最终攻击把初始 exploit 与多个附加阶段组合，逐层绕过剩余防护。模型自己诊断崩溃、放弃走不通的路线、修改方案，直到访问网页就足以读到文件。这条链也有明确的边界：在最近的 Firefox 版本上，Epoch 做到了文件读取，但没有实现任意代码执行。
刻意从简的设置：模拟一个资源有限的普通攻击者
整个实验的出发点，是检验开放权重模型是否已经能利用补丁缺口。按 Epoch 的说法，在此之前，利用这类缺口需要大量的人类时间与专业技能，或者对具备高级网络攻击能力的前沿模型的特殊访问权限——而后者被前沿实验室严格限制，例如通过 Anthropic 的 Glasswing、OpenAI 的 Daybreak 等项目只向部分防御者开放。开放权重模型没有这道门槛：任何人都能获取，报告还指出，即使厂商训练了拒绝机制，别人也能制作去除限制的修改版本。
实验环境被刻意压低配置。Epoch 在离线沙箱中运行模型，不给它互联网访问，改为直接提供他们认为模型可能需要的公开资料，且仅限于各目标版本发布时点已经可得的信息，模型无法利用事后才发现的漏洞情报；操作系统是 Ubuntu 26.04 的默认安全设置，浏览器是从官方渠道下载的 Firefox。模型拿到目标 Firefox 的具体版本号和一些基础工具，剩下的全部自己完成。
Epoch 通过 GLM 5.3 的第一方和第三方 API 运行实验，把任务包装成一次安全演习。报告的表述是：尽管这些操作与试图攻击真实用户的行为没有区别，但自始至终没有遇到任何模型提供商的使用限制或拒绝——包括 Z.ai 在内。GLM 5.3 由 Z.ai 于 2026 年 8 月发布。
Mozilla 的修复先于公开披露上线，防御效果尚待验证
Epoch 称已联系 Mozilla 披露发现并讨论缓解方法。Mozilla 的修复出现在 10 月 27 日推送至 Release（正式发布）渠道的 Firefox 159.0 中：该版本的在「Fixed」一栏列有「Various security fixes」（多项安全修复），链接指向安全公告 ；公告于 10 月 27 日发布，影响级别定为 high（高），逐条列出了大批组件修复。修复上线的时间比 Epoch 的公开披露早了两天。
Epoch 在推文中感谢 Mozilla 的响应与配合，同时留下一处未决：他们还没有确认打上这个补丁之后攻击是否仍然成功，只预期该修复会让攻击「明显更难」。
缺口遍布软件行业：Chrome 未能复现，Epoch 不视为反证
Epoch 在和报告中都强调，补丁缺口不是 Firefox 独有——浏览器、手机操作系统、路由器固件都存在同样的窗口；任何软件只要即将发布的修复在正式推送前可见，就潜在地暴露在这类攻击之下。报告引述了两起行业先例：2026 年 9 月，Proofpoint 报告多个受国家支持的威胁行为者迅速采用了针对 Chrome 的补丁缺口利用；同月，一家厂商在协同披露前六个多小时提前放出了两个严重漏洞的修复版 PHP，Cloudflare 的 CEO 称公开前的利用尝试以千计，公开发布后数小时内攀升到数百万。
在 Chrome 侧，Epoch 用同一套 harness 和技术花了约 100,000 美元 API 费用，截至发稿未能造出等价的 exploit。但 Epoch 不把这当作强有力的反证：更好的诱导或更强的开放权重模型可能改变结果。报告点名了刚出现的 Kimi K3.1 Pro——10 月 23 日经第一方 API 发布、权重计划 11 月初放出——并称有限的基准数据显示它在攻击性网络任务上可能强于 GLM 5.3。该模型未参与本次实验。
闭源软件同样暴露在这类风险下。报告提到，Anthropic 已演示其模型 Mythos 在没有任何公开代码的 Windows 上利用补丁缺口；对二进制做反向编译，同样能在正式推送前看到修复内容。Epoch 没有明确测试 GLM 5.3 对闭源项目的利用能力，但判断随着开放权重模型网络能力继续提升，这「将可能很快成为现实，如果不是已经如此」。
Epoch 自己在两天之内就造出了可用攻击，并提醒其他攻击者可能更快。它给防御者列出的杠杆包括：在修复就绪前保持私密、加快从 beta 到正式版的节奏——Firefox 和 Chrome 都已开始每周发版——并避免同时修补可被串联使用的多个漏洞。报告给出的判断是：应当假设修复一旦进入公开代码，攻击者就能且会用它来攻击现行版本；应对这一威胁可能要靠缩短修复公开到推送之间的时间。Epoch 把这些结果视为先进网络能力正在扩散的证据，并计划在更多软件上测试更强的开放模型。至于 159.0 之后的 Firefox 是否真的挡住了这条攻击链，Epoch 还没有给出实测答案。