Открытая модель GLM 5.3 сама собрала эксплойты для Firefox: $1000 за версию

Исследователи Epoch AI, которые измеряют возможности ИИ, показали: китайская модель с открытыми весами GLM 5.3 (разработчик Z.ai) способна сама, без помощи человека, собрать полную цепочку атаки на Firefox. На это уходит от 12 до 48 часов, а стоит одна успешная атака около $1000 за использование API. Модель бьёт по «патч-разрыву». Это окно, когда исправление уязвимости уже опубликовано в открытом коде, но обновление ещё не доехало до пользователей. Итоговая атака выглядит так: человек заходит на специально подготовленную страницу, и она читает файлы на его компьютере и отправляет их на сервер злоумышленника.

Как модель вычислила дыры по чужим исправлениям

Условия эксперимента специально сделали скромными. Исследователи хотели прикинуть, что может атакующий с низкой квалификацией и ограниченным бюджетом. Модели дали:

• нужную версию Firefox; • базовые инструменты; • публичную информацию; • изолированную среду без выхода в интернет; • короткую инструкцию изучить патч-разрыв.

Дальше модель работала сама. Она искала в коде будущие исправления безопасности, выбирала уязвимости и строила многоступенчатые атаки.

Первая сложность в том, что Firefox маскирует такие правки под обычные улучшения, чтобы затруднить жизнь атакующим. GLM 5.3 этот приём разгадала и всё равно определила, какие изменения связаны с безопасностью. В одном случае она по готовящемуся исправлению заметила ошибку работы с памятью и придумала, как читать и менять память браузера.

Дальше упёрлись во встроенные уровни защиты Firefox: до нужного файла модель сначала не добралась. Тогда она добавила к первому эксплойту ещё несколько этапов и обошла оставшиеся барьеры. Во всех удачных атаках на актуальные версии она опиралась на одну и ту же ранее неизвестную уязвимость. Модель заново находила её в каждой попытке. Эта дыра позволяла выйти из «песочницы», то есть изолированной среды браузера, и читать файлы напрямую с компьютера.

Числа такие:

• 6 версий Firefox, выпущенных с 17 сентября по 26 октября; • около $1000 за API на каждую успешную атаку; • 12 часов заняла самая быстрая атака, максимум был 48; • более 200 млн активных пользователей Firefox потенциально под угрозой, включая сохранённые пароли, cookie-файлы авторизации и личные документы.

Отдельно авторы отмечают, что ни Z.ai, ни другие провайдеры API не включили защитные фильтры и не отказали в запросе. Задачу подали как учения по безопасности, но по поведению она была неотличима от попытки атаковать реальных людей.

Об ответственном раскрытии: команда сообщила об уязвимости в Mozilla, и та закрыла её в Firefox 159.0 от 27 октября 2026 года. Сработает ли тот же метод против новой версии, авторы не проверяли. Они считают, что атаковать стало «как минимум заметно труднее».

Chrome пока устоял, но это не гарантия

Тот же подход попробовали на Google Chrome. На него потратили около $100 000 за API и рабочего аналога не получили. Авторы подчёркивают: это не доказывает неуязвимость Chrome. Более удачные способы постановки задачи или более сильные модели могут справиться. Они ссылаются на ограниченные данные тестов, по которым недавно анонсированная Kimi K3.1 Pro может превосходить GLM 5.3 в атакующих задачах. Сами её не проверяли.

Ещё одно предупреждение: проблема шире браузеров. Патч-разрыв есть в мобильных ОС и прошивках роутеров. Открытые проекты уязвимее, потому что весь их код публичен, но закрытым это не помогает. Anthropic уже показала, что её модель Mythos умеет использовать патч-разрыв в Windows без доступа к исходникам, а модели всё лучше декомпилируют программы и сами находят в них исправления безопасности.

У этого есть и живые примеры. По данным отчёта, в сентябре 2026 года патч-разрыв использовали в атаках на Chrome. В тот же месяц один вендор выложил исправленные сборки PHP более чем за шесть часов до согласованного выпуска патчей для двух критических дыр. По внешним сообщениям, это могло привести к тысячам попыток эксплуатации до официального релиза и к миллионам сразу после него. Особенно опасно там, где пользователи обновляются редко: роутеры и мобильные системы остаются уязвимыми намного дольше.

Быстрее обновлять мало: что советуют авторы

Рекомендации исследователей такие:

• держать исправления безопасности закрытыми до момента, когда они готовы к выпуску; • быстрее переносить их из бета-версии в стабильный релиз; • не закрывать одним пакетом уязвимости, которые можно сцепить в цепочку.

Firefox и Chrome уже перешли на еженедельные обновления. Но структурную проблему это не убирает: как только правка попала в публичный код, она указывает атакующему на саму дыру. Доступ защитников к сильным закрытым моделям тоже не решает дело.

После выхода Claude Mythos Preview от Anthropic в апреле 2026 года передовые лаборатории ограничили доступ к своим моделям и запустили программы раннего доступа для защитников, среди них Glasswing и Daybreak. Но по мере того как открытые модели становятся мощнее, атакующие возможности выходят из-под контроля любого одного «привратника». Авторы пишут, что видят в результатах признак распространения продвинутых киберспособностей. По их оценке, многие другие программы, вероятно, уже уязвимы для таких атак, а число таких программ будет расти с выходом более сильных открытых моделей.

Инженерам и вендорам отсюда следует простое: окно между публикацией исправления и обновлением у пользователей теперь стоит считать временем активной атаки, а процессы выпуска патчей строить с учётом того, что любой публичный коммит читает ИИ.