Открытая GLM 5.3 без человека собрала эксплойты Firefox по $1000 за рабочую атаку

Исследователи Epoch AI показали, что свободно доступная китайская модель GLM 5.3 способна без участия человека атаковать пользователей Firefox, пока исправления безопасности ещё не дошли до них. Речь о так называемом «патч-разрыве»: фикс уже виден в публичном коде, но обновлённый браузер ещё не установлен. На шести версиях Firefox, выпущенных с 17 сентября по 26 октября, модель собрала рабочие эксплойты. Каждая успешная атака стоила примерно $1000 за вызовы API.

Как модель добралась до чужих файлов

Итоговый эксплойт — веб-страница, которая в момент загрузки в Firefox читает локальные файлы с компьютера посетителя и отправляет их на сервер атакующего. У браузера больше 200 миллионов активных пользователей. В теории это открывало доступ к сохранённым паролям, cookie авторизации и личным документам.

Условия эксперимента исследователи намеренно приблизили к возможностям малоквалифицированного злоумышленника с ограниченным бюджетом. Модели дали номер версии Firefox, базовые инструменты и публичную информацию в офлайн-среде, плюс общую инструкцию изучить патч-разрыв. Дальше GLM 5.3 работала сама: искала готовящиеся исправления, выбирала уязвимости и строила многоступенчатые цепочки.

По данным отчёта, Mozilla маскирует security-правки под обычные улучшения, чтобы замедлить атакующих. GLM 5.3 это не остановило: она определяла, какие изменения кода связаны с безопасностью. В одном случае модель заметила по будущему патчу ошибку работы с памятью и придумала, как читать и менять память браузера. Когда защитные слои Firefox заблокировали доступ к целевому файлу, она добавила ещё несколько этапов и обошла остальные барьеры.

Самая быстрая успешная атака заняла 12 часов, максимум на попытку составлял 48. Во всех удачных атаках на актуальные версии модель опиралась на неизвестную ранее уязвимость, позволявшую выйти за пределы песочницы и читать файлы напрямую. Она заново находила эту уязвимость в каждой попытке. Команда сообщила о ней в Mozilla, и дыру закрыли в Firefox 159.0 от 27 октября 2026 года. Сработают ли такие атаки против новой версии, исследователи не проверяли, но считают, что патч делает их «как минимум заметно сложнее».

Защитные механизмы не вмешались. Ни Z.ai, ни другие провайдеры API не включили ограничения и не отказали в запросе, хотя авторы подавали задачу как учения по безопасности. Сами исследователи называют свои действия неотличимыми от действий человека, который целится в реальных пользователей. Ранее Anthropic сообщала, что GLM 5.3 пишет эксплойты примерно на уровне Mythos.

Chrome пока устоял, но это не гарантия

Те же методы против Google Chrome не дали аналогичного результата, хотя на API ушло около $100 000. Авторы предупреждают: это не доказывает иммунитет Chrome. Более умелая постановка задачи или более сильная модель могут сработать. Они упоминают ограниченные бенчмарк-данные, по которым недавно анонсированная Kimi K3.1 Pro может превосходить GLM 5.3 в наступательных кибер-задачах, но сами её не тестировали.

Проблема шире одного браузера

Патч-разрыв есть у браузеров, мобильных ОС и прошивок роутеров. Открытые проекты уязвимы сильнее, потому что весь их код публичен. Закрытый софт тоже под угрозой: Anthropic уже показала, что Mythos эксплуатирует патч-разрыв в Windows без доступа к исходникам, а модели всё лучше декомпилируют программы и сами находят исправления безопасности.

По отчёту, в сентябре 2026 года патч-разрыв использовали в атаках на Chrome. В том же месяце один вендор выложил исправленные сборки PHP более чем за шесть часов до скоординированного релиза патчей для двух критических уязвимостей. Со ссылкой на внешние публикации авторы пишут, что это могло привести к тысячам попыток эксплуатации до официального выхода, а сразу после него — к миллионам. Особенно рискуют прошивки роутеров и мобильные ОС, которые пользователи обновляют редко.

Исследователи советуют держать исправления закрытыми до готовности релиза и быстрее переносить их из беты в стабильную версию. Firefox и Chrome уже перешли на еженедельные обновления. Ещё один совет: не выпускать одновременно патчи для уязвимостей, которые можно связать в цепочку. Доступ защитников к сильным закрытым моделям структурную проблему не решает: появившийся в публичном коде фикс сам указывает на уязвимость.

Claude Mythos Preview в апреле 2026 года резко поднял планку кибер-возможностей ИИ. Лаборатории ответили ограниченным доступом и программами вроде Glasswing и Daybreak, дающими защитникам ранний доступ. Но по мере роста открытых моделей наступательные навыки выходят из-под контроля любого отдельного «привратника». По словам авторов, многие другие программы, вероятно, уже уязвимы для подобных атак, и число таких случаев будет расти с выходом более сильных открытых моделей.