Le modèle ouvert GLM 5.3 a conçu seul des exploits pour Firefox : $1000 la version

Les chercheurs d'Epoch AI, qui mesurent les capacités de l'IA, ont montré que le modèle chinois à poids ouverts GLM 5.3 (développé par Z.ai) est capable de construire seul, sans aide humaine, une chaîne d'attaque complète contre Firefox. Il lui faut de 12 à 48 heures, et une attaque réussie coûte environ $1000 d'utilisation de l'API. Le modèle exploite le « patch gap », c'est-à-dire la fenêtre pendant laquelle le correctif d'une vulnérabilité est déjà publié dans le code ouvert, mais où la mise à jour n'a pas encore atteint les utilisateurs. L'attaque finale se déroule ainsi : une personne visite une page spécialement préparée, qui lit les fichiers de son ordinateur et les envoie au serveur du pirate.

Comment le modèle a repéré les failles à partir des correctifs d'autrui

Les conditions de l'expérience ont été volontairement modestes. Les chercheurs voulaient estimer ce que peut faire un attaquant peu qualifié disposant d'un budget limité. Le modèle a reçu :

• la version voulue de Firefox ; • des outils de base ; • des informations publiques ; • un environnement isolé, sans accès à Internet ; • une courte consigne : étudier le patch gap.

Ensuite, le modèle a travaillé seul. Il a cherché dans le code les futurs correctifs de sécurité, choisi des vulnérabilités et construit des attaques en plusieurs étapes.

Première difficulté : Firefox déguise ces modifications en améliorations ordinaires pour compliquer la tâche des attaquants. GLM 5.3 a déjoué cette ruse et a malgré tout identifié les changements liés à la sécurité. Dans un cas, à partir d'un correctif en préparation, elle a repéré une erreur de gestion de la mémoire et trouvé comment lire et modifier la mémoire du navigateur.

Elle s'est ensuite heurtée aux niveaux de protection intégrés de Firefox : dans un premier temps, le modèle n'a pas atteint le fichier visé. Il a alors ajouté plusieurs étapes au premier exploit et contourné les barrières restantes. Dans toutes les attaques réussies contre des versions à jour, il s'est appuyé sur une même vulnérabilité jusqu'alors inconnue, qu'il a redécouverte à chaque tentative. Cette faille permettait de sortir de la « sandbox », l'environnement isolé du navigateur, et de lire des fichiers directement sur l'ordinateur.

Les chiffres :

• 6 versions de Firefox, publiées entre le 17 septembre et le 26 octobre ; • environ $1000 d'API pour chaque attaque réussie ; • 12 heures pour l'attaque la plus rapide, le maximum étant de 48 ; • plus de 200 millions d'utilisateurs actifs de Firefox potentiellement menacés, avec leurs mots de passe enregistrés, leurs cookies d'authentification et leurs documents personnels.

Les auteurs notent par ailleurs que ni Z.ai ni les autres fournisseurs d'API n'ont activé de filtres de protection ni refusé la requête. La tâche était présentée comme un exercice de sécurité, mais le comportement demandé était impossible à distinguer d'une tentative d'attaque contre de vraies personnes.

Sur la divulgation responsable : l'équipe a signalé la vulnérabilité à Mozilla, qui l'a corrigée dans Firefox 159.0 le 27 octobre 2026. Les auteurs n'ont pas vérifié si la même méthode fonctionnerait contre la nouvelle version. Ils estiment qu'attaquer est devenu « au moins nettement plus difficile ».

Chrome a tenu jusqu'ici, mais rien n'est garanti

La même approche a été essayée sur Google Chrome. Les chercheurs y ont consacré environ $100 000 d'API sans obtenir d'équivalent fonctionnel. Les auteurs soulignent que cela ne prouve pas que Chrome soit invulnérable : une meilleure formulation de la tâche ou des modèles plus puissants pourraient y arriver. Ils s'appuient sur des données de tests limitées, selon lesquelles Kimi K3.1 Pro, annoncé récemment, pourrait surpasser GLM 5.3 dans les tâches offensives. Ils ne l'ont pas testé eux-mêmes.

Autre avertissement : le problème dépasse les navigateurs. Le patch gap existe aussi dans les systèmes d'exploitation mobiles et les firmwares de routeurs. Les projets ouverts sont plus vulnérables, car tout leur code est public, mais cela n'épargne pas les projets fermés. Anthropic a déjà montré que son modèle Mythos sait exploiter le patch gap dans Windows sans accès au code source, et les modèles décompilent de mieux en mieux les programmes et y retrouvent eux-mêmes les correctifs de sécurité.

Il existe aussi des exemples concrets. D'après le rapport, le patch gap a été utilisé en septembre 2026 dans des attaques contre Chrome. Le même mois, un éditeur a mis en ligne des builds corrigés de PHP plus de six heures avant la publication coordonnée des correctifs pour deux failles critiques. Selon des informations externes, cela aurait pu provoquer des milliers de tentatives d'exploitation avant la sortie officielle et des millions juste après. Le danger est particulièrement élevé là où les utilisateurs mettent rarement à jour : routeurs et systèmes mobiles restent vulnérables bien plus longtemps.

Mettre à jour plus vite ne suffit pas : les recommandations des auteurs

Les recommandations des chercheurs sont les suivantes :

• garder les correctifs de sécurité fermés jusqu'à ce qu'ils soient prêts à être publiés ; • les faire passer plus vite de la version bêta à la version stable ; • ne pas corriger en un seul lot des vulnérabilités qui peuvent être enchaînées.

Firefox et Chrome sont déjà passés à des mises à jour hebdomadaires. Cela ne supprime pas le problème structurel : dès qu'un correctif entre dans le code public, il indique à l'attaquant où se trouve la faille. L'accès des défenseurs à de puissants modèles fermés ne règle pas non plus la question.

Après la sortie de Claude Mythos Preview d'Anthropic en avril 2026, les laboratoires de pointe ont restreint l'accès à leurs modèles et lancé des programmes d'accès anticipé pour les défenseurs, dont Glasswing et Daybreak. Mais à mesure que les modèles ouverts gagnent en puissance, les capacités offensives échappent au contrôle d'un seul « gardien ». Les auteurs écrivent y voir un signe de la diffusion de cybercapacités avancées. Selon eux, de nombreux autres logiciels sont probablement déjà vulnérables à ce type d'attaques, et leur nombre augmentera avec la sortie de modèles ouverts plus puissants.

Pour les ingénieurs et les éditeurs, la conclusion est simple : la fenêtre entre la publication d'un correctif et sa mise à jour chez les utilisateurs doit désormais être considérée comme une période d'attaque active, et les processus de publication des correctifs doivent partir du principe que n'importe quel commit public est lu par une IA.