智谱GLM 5.3自主攻破6个Firefox版本

时间：2026年10月30日。Epoch AI 的研究报告在官网发布，同日通过官方 Newsletter 发布摘要，The Decoder、CocoLoop 等媒体当日跟进；报告全文在官网标注的日期为10月29日。 地点：美国旧金山（Epoch AI 总部）、中国北京（智谱 AI 总部），实验环境为研究者自建的离线模拟环境。 人物：Epoch AI 研究团队，包括 Aiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield、Jaeho Lee；智谱 AI（Z.ai）开源的 GLM 5.3 模型；Mozilla 基金会。 事件详情：Epoch AI 的实验显示，智谱 AI 今年 8 月开源的开放权重模型 GLM 5.3 能自主利用补丁窗口（patch gap）攻击 Mozilla 的 Firefox。补丁窗口指的是漏洞修复已经公开、却还没推送到用户正式版的那段时间。研究者把目标锁定在 9 月 17 日至 10 月 26 日之间发布的 6 个 Firefox 正式版，全部被攻破。模型造出的攻击载体是一个网页：Firefox 用户只要打开这个页面，本机文件就会被读走并传到攻击者的服务器，不需要点击、下载或任何授权提示。Firefox 活跃用户超过 2 亿，这类攻击可能触及浏览器保存的密码、认证 Cookie 和私人文档。成本方面，研究团队在 Firefox 上累计花掉超过 10 万美元 API 费用，大头是搭建离线环境与前期试错；环境就绪之后，每攻破一个版本约需 1000 美元。研究者给模型 48 小时上限，最快一次约 12 小时完成。模型自己读出 Mozilla 伪装成普通改进的安全修复、挑选漏洞并搭出多阶段利用链：一次先顺着一处内存漏洞的修复记录打开缺口，被 Firefox 安全层挡住后，自行串接后续环节、诊断崩溃、放弃失败路径并迭代到成功。最近几个版本的攻击还多了一层，模型把补丁窗口漏洞与一个此前未公开的漏洞串在一起使用，该漏洞已在 10 月 27 日发布的 Firefox 159.0 中修复，对应 Mozilla 安全公告 mfsa2026-118。研究者反复强调的一个细节是，整个过程中包括智谱在内的任何服务商都没有触发安全护栏或拒答，除把任务包装成安全演练外，他们的行为与真实攻击者无法区分。用同样方法攻击 Google Chrome 没有成功，同样也花了约 10 万美元算力，研究者提醒这不能当作 Chrome 更安全的证据，换更好的提示词或更强的开放权重模型结果可能不同。 背景：补丁窗口是软件发布流程里的老问题，修复代码一旦进入公开仓库或 beta 分支，攻击者就能对照改动反推漏洞位置，正式版用户却要过一段时间才拿到补丁。开源项目尤其危险，整套代码公开，beta 与 nightly 分支的改动随时可见。以往利用这个窗口需要大量时间与专业能力，或者需要接入受限制的前沿模型。Anthropic 今年 4 月发布 Claude Mythos Preview 时展示过 AI 网络安全能力的跃升，此后 Anthropic 的 Glasswing、OpenAI 的 Daybreak 等项目把前沿模型提前开放给防守方，以便在漏洞公开前先发现先修复。开放权重模型改变的是门槛，权重任何人都能下载到本地运行，服务商侧的护栏管不到。Epoch AI 也划清了实验边界：全部实验在自建的离线模拟环境中完成，没有在真实网络里攻击任何用户；本次没有测试开放权重模型反编译闭源二进制的能力；团队也不就开源模型会如何改变攻防格局下结论。 影响：攻击的形态变了。不再需要接触前沿实验室的工具，一个能公开下载的模型加上约 1000 美元算力就够了；而且方法一旦被公开描述，搭建环境的一次性成本可以被所有人摊销，之后每多做一次，边际成本更低。对软件厂商，研究者建议补丁在准备推送之前先不公开、从 beta 推到正式版的速度再快一些、不要同时修补多个可能被串联利用的漏洞；Firefox 与 Chrome 现在都已是每周发版，研究者认为可能仍不够，他们不到两天就做出了利用链。对开发者和运维人员，路由器固件、移动操作系统这类用户更新频率低的产品暴露窗口更长，风险更大。对开放权重模型生态，这类攻防能力正在扩散到单一厂商护栏之外；报告发布后，智谱 AI 尚未就此事公开回应。 总结：Epoch AI 的报告给出了一个此前很少被量化的判断：利用补丁窗口已经从少数专家的手工活，变成任何拿到开放权重模型的人都能独立完成的任务，代价大约 1000 美元和不到两天时间。GLM 5.3 在离线环境里对 9 月 17 日至 10 月 26 日的 6 个 Firefox 正式版全部得手，Mozilla 已在 10 月 27 日的 159.0 版本补上那个此前未公开的漏洞。报告同时说明，这不是对闭源模型的替代，也不意味着 Chrome 已经安全，更不意味着此类攻击会止步于浏览器。研究者的结论是，随着开放权重的网络能力继续增强，这个窗口只会更宽，软件厂商需要主动压缩从修复公开到用户拿到之间的时间。 常见问题： 问：我的 Firefox 会被攻击吗？ 答：实验全在离线模拟环境完成，没有攻击真实用户；那个此前未公开的漏洞已在 10 月 27 日的 Firefox 159.0 中修复。 问：开源模型真能自己写攻击代码？ 答：报告称开放权重模型在补丁窗口这类任务上已能自主完成，但未测试其反编译闭源二进制的能力。 参考来源： Epoch AI 研究报告原文：AI can turn security fixes into working exploits before users receive an update https://epoch.ai/publications/open-weight-models-patch-gap Epoch AI 官方 Newsletter 摘要 https://epochai.substack.com/p/glm-patch-gap-exploit-firefox The Decoder 报道：GLM 5.3 零人工输入构造 Firefox 完整利用链 https://the-decoder.com/open-weight-model-glm-5-3-built-full-firefox-exploit-chains-with-zero-human-input-in-under-48-hours/ CocoLoop 中文报道：开源 GLM 5.3 自主攻破 6 个 Firefox 版本 https://news.cocoloop.cn/2026/10/glm-53-firefox-patch-gap/ Mozilla 安全公告 mfsa2026-118（Firefox 159.0 修复此前未公开漏洞） https://www.mozilla.org/en-US/security/advisories/mfsa2026-118/ Anthropic 研究：Claude Mythos 在 Windows 上发现 n-day 漏洞 https://www.anthropic.com/research/n-days Google 安全博客：Chrome 每周更新的安全投入 https://blog.google/security/chrome-stronger-with-every-update/ Hugging Face 模型页：GLM 5.3 开放权重 https://huggingface.co/zai-org/GLM-5.3