La GLM 5.3 abierta creó exploits para Firefox sin intervención humana, a unos 1000 dólares por ataque funcional

Investigadores de Epoch AI han demostrado que GLM 5.3, un modelo chino de acceso libre, puede atacar a usuarios de Firefox sin intervención humana mientras las correcciones de seguridad aún no les han llegado. Se trata de la llamada «brecha de parcheo»: la corrección ya es visible en el código público, pero el navegador actualizado todavía no está instalado. En seis versiones de Firefox publicadas entre el 17 de septiembre y el 26 de octubre, el modelo construyó exploits funcionales. Cada ataque exitoso costó aproximadamente 1000 dólares en llamadas a la API.

Cómo llegó el modelo a archivos ajenos

El exploit final es una página web que, en el momento de cargarse en Firefox, lee archivos locales del ordenador del visitante y los envía al servidor del atacante. El navegador tiene más de 200 millones de usuarios activos. En teoría, esto abría el acceso a contraseñas guardadas, cookies de autenticación y documentos personales.

Los investigadores acercaron deliberadamente las condiciones del experimento a las capacidades de un atacante poco cualificado y con presupuesto limitado. Al modelo se le dio el número de versión de Firefox, herramientas básicas e información pública en un entorno sin conexión, además de una instrucción general de estudiar la brecha de parcheo. A partir de ahí, GLM 5.3 trabajó sola: buscó correcciones en preparación, eligió vulnerabilidades y construyó cadenas de varias etapas.

Según el informe, Mozilla camufla las correcciones de seguridad como mejoras ordinarias para frenar a los atacantes. A GLM 5.3 no la detuvo: determinó qué cambios de código estaban relacionados con la seguridad. En un caso, el modelo detectó a partir de un futuro parche un error de gestión de memoria e ideó cómo leer y modificar la memoria del navegador. Cuando las capas de protección de Firefox bloquearon el acceso al archivo objetivo, añadió varias etapas más y sorteó el resto de barreras.

El ataque exitoso más rápido tardó 12 horas; el máximo por intento era de 48. En todos los ataques exitosos contra versiones actuales, el modelo se apoyó en una vulnerabilidad desconocida hasta entonces que permitía salir del sandbox y leer archivos directamente. La redescubrió en cada intento. El equipo la comunicó a Mozilla, y el fallo se cerró en Firefox 159.0 el 27 de octubre de 2026. Los investigadores no comprobaron si estos ataques funcionarían contra la nueva versión, pero creen que el parche los hace «al menos notablemente más difíciles».

Los mecanismos de protección no intervinieron. Ni Z.ai ni otros proveedores de API activaron restricciones ni rechazaron la solicitud, aunque los autores presentaron la tarea como un ejercicio de seguridad. Los propios investigadores afirman que sus acciones eran indistinguibles de las de una persona que apunta a usuarios reales. Anthropic informó antes de que GLM 5.3 escribe exploits aproximadamente al nivel de Mythos.

Chrome resistió por ahora, pero no es una garantía

Los mismos métodos contra Google Chrome no dieron un resultado similar, pese a que se gastaron unos 100 000 dólares en la API. Los autores advierten de que esto no prueba que Chrome sea inmune. Un planteamiento más hábil de la tarea o un modelo más potente podrían funcionar. Mencionan datos limitados de benchmarks según los cuales Kimi K3.1 Pro, anunciado recientemente, podría superar a GLM 5.3 en tareas cibernéticas ofensivas, pero no lo probaron ellos mismos.

El problema va más allá de un navegador

La brecha de parcheo existe en navegadores, sistemas operativos móviles y firmware de routers. Los proyectos abiertos son más vulnerables porque todo su código es público. El software cerrado también corre peligro: Anthropic ya mostró que Mythos explota la brecha de parcheo en Windows sin acceso al código fuente, y los modelos son cada vez mejores descompilando programas y encontrando por sí mismos las correcciones de seguridad.

Según el informe, en septiembre de 2026 la brecha de parcheo se usó en ataques contra Chrome. Ese mismo mes, un proveedor publicó compilaciones corregidas de PHP más de seis horas antes del lanzamiento coordinado de parches para dos vulnerabilidades críticas. Citando publicaciones externas, los autores escriben que esto pudo provocar miles de intentos de explotación antes del lanzamiento oficial y millones justo después. Los firmware de routers y los sistemas operativos móviles, que los usuarios actualizan con poca frecuencia, corren un riesgo especial.

Los investigadores aconsejan mantener las correcciones privadas hasta que la versión esté lista y pasarlas más rápido de la beta a la versión estable. Firefox y Chrome ya han pasado a actualizaciones semanales. Otro consejo: no publicar al mismo tiempo parches de vulnerabilidades que puedan encadenarse. Dar a los defensores acceso a modelos cerrados potentes no resuelve el problema estructural: una corrección que aparece en el código público señala por sí misma la vulnerabilidad.

Claude Mythos Preview elevó de golpe el listón de las capacidades cibernéticas de la IA en abril de 2026. Los laboratorios respondieron con acceso restringido y programas como Glasswing y Daybreak, que dan acceso temprano a los defensores. Pero a medida que crecen los modelos abiertos, las habilidades ofensivas escapan al control de cualquier «guardián» individual. Según los autores, muchos otros programas probablemente ya son vulnerables a ataques similares, y el número de casos aumentará con la llegada de modelos abiertos más potentes.