Le modèle ouvert GLM 5.3 a fabriqué seul des exploits Firefox, pour environ 1 000 $ par attaque fonctionnelle

Des chercheurs d'Epoch AI ont montré que GLM 5.3, modèle chinois librement accessible, peut attaquer des utilisateurs de Firefox sans intervention humaine tant que les correctifs de sécurité ne les ont pas atteints. Le phénomène porte un nom : la « fenêtre de patch ». Le correctif est déjà visible dans le code public, mais le navigateur mis à jour n'est pas encore installé. Sur six versions de Firefox publiées entre le 17 septembre et le 26 octobre, le modèle a produit des exploits fonctionnels. Chaque attaque réussie a coûté environ 1 000 $ en appels d'API.

Comment le modèle a atteint les fichiers de la victime

L'exploit final est une page web qui, au chargement dans Firefox, lit les fichiers locaux de l'ordinateur du visiteur et les envoie au serveur de l'attaquant. Le navigateur compte plus de 200 millions d'utilisateurs actifs. En théorie, cela donnait accès aux mots de passe enregistrés, aux cookies d'authentification et aux documents personnels.

Les chercheurs ont volontairement rapproché les conditions de l'expérience des moyens d'un attaquant peu qualifié disposant d'un budget limité. Le modèle a reçu le numéro de version de Firefox, des outils de base et des informations publiques dans un environnement hors ligne, ainsi qu'une consigne générale : étudier la fenêtre de patch. Ensuite, GLM 5.3 a travaillé seul : il a cherché les correctifs en préparation, choisi des vulnérabilités et construit des chaînes à plusieurs étapes.

Selon le rapport, Mozilla camoufle ses correctifs de sécurité en améliorations ordinaires pour ralentir les attaquants. Cela n'a pas arrêté GLM 5.3 : il a déterminé quelles modifications du code touchaient à la sécurité. Dans un cas, le modèle a repéré, d'après le futur correctif, une erreur de gestion de la mémoire et trouvé comment lire et modifier la mémoire du navigateur. Lorsque les couches de protection de Firefox ont bloqué l'accès au fichier visé, il a ajouté quelques étapes et contourné les autres barrières.

L'attaque réussie la plus rapide a pris 12 heures ; le maximum par tentative était de 48. Dans toutes les attaques réussies contre des versions à jour, le modèle s'est appuyé sur une vulnérabilité jusque-là inconnue, qui permettait de sortir du bac à sable et de lire directement les fichiers. Il l'a redécouverte à chaque tentative. L'équipe l'a signalée à Mozilla, et la faille a été corrigée dans Firefox 159.0, publié le 27 octobre 2026. Les chercheurs n'ont pas vérifié si de telles attaques fonctionneraient contre la nouvelle version, mais estiment que le correctif les rend « au minimum nettement plus difficiles ».

Les mécanismes de protection ne sont pas intervenus. Ni Z.ai ni les autres fournisseurs d'API n'ont activé de restrictions ni refusé la requête, bien que les auteurs aient présenté la tâche comme un exercice de sécurité. Les chercheurs jugent eux-mêmes leurs actions indiscernables de celles d'une personne visant de vrais utilisateurs. Anthropic avait indiqué auparavant que GLM 5.3 écrit des exploits à peu près au niveau de Mythos.

Chrome tient pour l'instant, mais rien n'est garanti

Les mêmes méthodes n'ont pas donné de résultat comparable contre Google Chrome, malgré environ 100 000 $ dépensés en API. Les auteurs préviennent que cela ne prouve pas l'immunité de Chrome. Une formulation plus habile de la tâche ou un modèle plus puissant pourraient réussir. Ils évoquent des données de benchmark limitées selon lesquelles Kimi K3.1 Pro, annoncé récemment, pourrait surpasser GLM 5.3 sur les tâches de cybersécurité offensive, mais ils ne l'ont pas testé.

Un problème qui dépasse un seul navigateur

La fenêtre de patch existe pour les navigateurs, les systèmes mobiles et les firmwares de routeurs. Les projets ouverts sont plus exposés, car tout leur code est public. Les logiciels fermés sont aussi menacés : Anthropic a déjà montré que Mythos exploite la fenêtre de patch sous Windows sans accès au code source, et les modèles décompilent de mieux en mieux les programmes et repèrent eux-mêmes les correctifs de sécurité.

Selon le rapport, la fenêtre de patch a été utilisée en septembre 2026 dans des attaques contre Chrome. Le même mois, un éditeur a mis en ligne des builds corrigés de PHP plus de six heures avant la publication coordonnée des correctifs pour deux vulnérabilités critiques. Citant des publications externes, les auteurs écrivent que cela a pu entraîner des milliers de tentatives d'exploitation avant la sortie officielle, puis des millions juste après. Les firmwares de routeurs et les systèmes mobiles, que les utilisateurs mettent rarement à jour, sont les plus exposés.

Les chercheurs conseillent de garder les correctifs fermés jusqu'à ce que la version soit prête et de les faire passer plus vite de la bêta à la version stable. Firefox et Chrome sont déjà passés à des mises à jour hebdomadaires. Autre conseil : ne pas publier en même temps des correctifs pour des vulnérabilités pouvant être enchaînées. L'accès des défenseurs à de puissants modèles fermés ne règle pas le problème structurel : un correctif apparu dans le code public désigne à lui seul la vulnérabilité.

En avril 2026, Claude Mythos Preview a brutalement relevé le niveau des capacités cyber de l'IA. Les laboratoires ont répondu par un accès restreint et des programmes comme Glasswing et Daybreak, qui donnent un accès anticipé aux défenseurs. Mais avec la montée en puissance des modèles ouverts, les compétences offensives échappent au contrôle de tout « gardien » isolé. Selon les auteurs, de nombreux autres logiciels sont probablement déjà vulnérables à de telles attaques, et leur nombre augmentera avec la sortie de modèles ouverts plus puissants.