GLM 5.3 aberta criou exploits para o Firefox sem ajuda humana, a cerca de US$ 1.000 por ataque funcional

Pesquisadores da Epoch AI mostraram que o GLM 5.3, modelo chinês de acesso livre, é capaz de atacar usuários do Firefox sem intervenção humana enquanto as correções de segurança ainda não chegaram a eles. O fenômeno é chamado de "janela de patch": a correção já está visível no código público, mas o navegador atualizado ainda não foi instalado. Em seis versões do Firefox lançadas entre 17 de setembro e 26 de outubro, o modelo montou exploits funcionais. Cada ataque bem-sucedido custou cerca de US$ 1.000 em chamadas de API.

Como o modelo chegou aos arquivos da vítima

O exploit final é uma página web que, ao ser carregada no Firefox, lê arquivos locais do computador do visitante e os envia ao servidor do atacante. O navegador tem mais de 200 milhões de usuários ativos. Em teoria, isso abria acesso a senhas salvas, cookies de autenticação e documentos pessoais.

Os pesquisadores aproximaram deliberadamente as condições do experimento das possibilidades de um invasor pouco qualificado e com orçamento limitado. O modelo recebeu o número da versão do Firefox, ferramentas básicas e informações públicas em um ambiente offline, além de uma instrução geral para estudar a janela de patch. Dali em diante, o GLM 5.3 trabalhou sozinho: procurou correções em preparação, escolheu vulnerabilidades e montou cadeias de várias etapas.

Segundo o relatório, a Mozilla disfarça correções de segurança como melhorias comuns para atrasar os atacantes. Isso não barrou o GLM 5.3: ele identificou quais alterações de código tinham relação com segurança. Em um caso, o modelo percebeu, pelo patch futuro, um erro de manipulação de memória e descobriu como ler e alterar a memória do navegador. Quando as camadas de proteção do Firefox bloquearam o acesso ao arquivo-alvo, ele acrescentou mais algumas etapas e contornou as demais barreiras.

O ataque bem-sucedido mais rápido levou 12 horas; o limite por tentativa era de 48. Em todos os ataques bem-sucedidos contra versões atuais, o modelo se apoiou em uma vulnerabilidade até então desconhecida, que permitia escapar da sandbox e ler arquivos diretamente. Ele redescobriu essa falha a cada tentativa. A equipe a comunicou à Mozilla, e o buraco foi fechado no Firefox 159.0, de 27 de outubro de 2026. Os pesquisadores não verificaram se esses ataques funcionariam contra a nova versão, mas acreditam que o patch os torna "pelo menos bem mais difíceis".

Os mecanismos de proteção não interferiram. Nem a Z.ai nem outros provedores de API ativaram restrições ou recusaram a solicitação, embora os autores tenham apresentado a tarefa como um exercício de segurança. Os próprios pesquisadores dizem que suas ações são indistinguíveis das de uma pessoa que mira usuários reais. A Anthropic já havia informado que o GLM 5.3 escreve exploits aproximadamente no nível do Mythos.

O Chrome resistiu por ora, mas isso não é garantia

Os mesmos métodos não deram resultado equivalente contra o Google Chrome, embora tenham sido gastos cerca de US$ 100.000 em API. Os autores alertam que isso não prova que o Chrome seja imune. Uma formulação mais habilidosa da tarefa ou um modelo mais forte podem funcionar. Eles citam dados limitados de benchmarks, segundo os quais o Kimi K3.1 Pro, anunciado recentemente, pode superar o GLM 5.3 em tarefas ofensivas de cibersegurança, mas não o testaram.

O problema vai além de um navegador

A janela de patch existe em navegadores, sistemas operacionais móveis e firmwares de roteadores. Projetos abertos são mais vulneráveis, porque todo o código é público. Software fechado também corre risco: a Anthropic já mostrou que o Mythos explora a janela de patch no Windows sem acesso ao código-fonte, e os modelos estão cada vez melhores em descompilar programas e encontrar correções de segurança por conta própria.

Segundo o relatório, em setembro de 2026 a janela de patch foi usada em ataques ao Chrome. No mesmo mês, um fornecedor publicou builds corrigidos do PHP mais de seis horas antes do lançamento coordenado dos patches para duas vulnerabilidades críticas. Citando publicações externas, os autores escrevem que isso pode ter levado a milhares de tentativas de exploração antes do lançamento oficial e a milhões logo depois. Firmwares de roteadores e sistemas operacionais móveis, que os usuários raramente atualizam, são os de maior risco.

Os pesquisadores recomendam manter as correções fechadas até que o lançamento esteja pronto e levá-las mais rápido do canal beta para a versão estável. Firefox e Chrome já adotaram atualizações semanais. Outra recomendação é não lançar ao mesmo tempo patches de vulnerabilidades que possam ser encadeadas. O acesso de defensores a modelos fechados poderosos não resolve o problema estrutural: uma correção que aparece no código público já aponta, por si só, para a vulnerabilidade.

O Claude Mythos Preview elevou bruscamente, em abril de 2026, o patamar das capacidades cibernéticas da IA. Os laboratórios responderam com acesso restrito e programas como Glasswing e Daybreak, que dão acesso antecipado a defensores. Mas, com o avanço dos modelos abertos, as habilidades ofensivas escapam ao controle de qualquer "porteiro" isolado. Segundo os autores, muitos outros programas provavelmente já são vulneráveis a ataques desse tipo, e o número de casos vai crescer com o lançamento de modelos abertos mais fortes.