GLM 5.3 soll autonome Firefox-Exploit-Ketten entwickelt haben, bevor Patches die Nutzer erreichten
Forscher von Epoch AI zufolge entwickelte das Open-Weight-Modell GLM 5.3 autonom Firefox-Exploit-Ketten und legte damit Risiken durch Patch-Lücken für Browser und Softwareanbieter offen.
Laut einer von The Decoder behandelten Studie von Epoch AI soll ein Open-Weight-KI-Modell funktionierende Exploit-Ketten gegen sechs Firefox-Versionen entwickelt haben, bevor Nutzer die entsprechenden Sicherheitsupdates erhielten. Die Tests deuten darauf hin, dass ein leistungsfähiges Modell öffentlich sichtbare Codeänderungen während des kurzen Zeitraums zwischen der Entdeckung eines Fixes und seiner Verteilung an die meisten Nutzer in Angriffe umwandeln kann.
Das Modell GLM 5.3 arbeitete ohne menschliches Eingreifen, nachdem die Forscher eine Firefox-Zielversion, grundlegende Werkzeuge und öffentliche Informationen in einer Offline-Umgebung bereitgestellt hatten. Die daraus entstandenen Angriffe konnten Berichten zufolge lokale Dateien lesen, wenn ein Opfer eine speziell vorbereitete Webseite lud. Epoch AI schätzte die API-Kosten für jeden erfolgreichen Test einer Firefox-Version auf rund 1.000 US-Dollar.
Die Ergebnisse sind nicht nur für einen Browser relevant. Sie zeigen, dass Open-Weight-Modelle Angreifern ermöglichen könnten, Schwachstellenforschung und Exploit-Entwicklung zu automatisieren, ohne auf die Zustimmung oder Sicherheitskontrollen eines großen KI-Anbieters angewiesen zu sein.
Der Firefox-Test und seine Belege
Die Forscher von Epoch AI entwickelten die Übung rund um die Sicherheits-„Patch-Lücke“: den Zeitraum, in dem ein Sicherheitsfix im Quellcode oder in anderem öffentlichem Material sichtbar ist, aber noch nicht an die Nutzer ausgeliefert wurde. Firefox verbirgt sicherheitsbezogene Änderungen zwischen routinemäßigen Codeverbesserungen; die Forscher erklärten jedoch, GLM 5.3 habe die relevanten Fixes identifiziert und zur Untersuchung von Schwachstellen genutzt.
Das Modell wählte anschließend Fehler aus, entwickelte Exploit-Phasen und versuchte, die Schutzmechanismen von Firefox zu umgehen. In einem gemeldeten Fall fand es eine Schwachstelle in der Speichersicherheit, nutzte sie zur Interaktion mit dem Browserspeicher und fügte weitere Phasen hinzu, nachdem Firefox den direkten Zugriff auf die Zieldatei blockiert hatte. Der schnellste erfolgreiche Versuch dauerte zwölf Stunden; die Forscher erlaubten für jeden Durchlauf bis zu 48 Stunden.
Dem Bericht zufolge entdeckte das Modell während jedes erfolgreichen Angriffs unabhängig eine zusätzliche, zuvor unbekannte Schwachstelle. Diese Lücke ermöglichte es der Exploit-Kette, die Browser-Sandbox zu umgehen und auf Dateien des Computers zuzugreifen. Epoch AI meldete das Problem an Mozilla, das es in Firefox 159.0 behob, der am 27. Oktober 2026 veröffentlicht wurde. Die Forscher haben nicht festgestellt, wie wirksam dieselben Techniken gegen diese Version wären.
Die gemeldeten Auswirkungen wären beim Einsatz der Kette gegen gewöhnliche Nutzer erheblich gewesen. Eine bösartige Webseite hätte möglicherweise gespeicherte Passwörter, Authentifizierungscookies und private Dokumente auslesen können, wobei die Studie nicht behauptet, dass diese Angriffe tatsächlich eingesetzt wurden. Laut den im Bericht zitierten Zahlen hat Firefox mehr als 200 Millionen aktive Nutzer, was das potenzielle Ausmaß der Gefährdung vergrößert.
Was die Belege zeigen – und was nicht
Die stärksten Leistungsbehauptungen stammen aus der von The Decoder berichteten Forschungsübung von Epoch AI, nicht aus einem unabhängigen öffentlichen Benchmark oder einer bestätigten kriminellen Kampagne. Das Experiment zeigt, was GLM 5.3 unter dem Versuchsaufbau der Forscher erreichte; es beweist jedoch nicht, dass jeder Angreifer die Ergebnisse zu denselben Kosten oder in derselben Geschwindigkeit reproduzieren könnte.
Die Forscher testeten auch Chrome und gaben rund 100.000 US-Dollar für API-Gebühren aus, ohne einen gleichwertigen Exploit zu erzeugen. Dieses Ergebnis sollte nicht als Beleg dafür interpretiert werden, dass Chrome immun ist. Epoch AI warnte, dass andere Prompts, Werkzeuge oder ein leistungsfähigeres Modell das Ergebnis verändern könnten. Der Test liefert außerdem keinen direkten Vergleich mit Kimi K3.1 Pro, das die Forscher aufgrund begrenzter Benchmark-Informationen als möglicherweise leistungsfähiger bei offensiven Cyberaufgaben bezeichneten.
Das Ausbleiben von Verweigerungen ist ein weiterer wichtiger Befund, muss aber sorgfältig interpretiert werden. Epoch AI erklärte, weder Z.ai noch die anderen getesteten API-Anbieter hätten die Anfragen blockiert oder Sicherheitsvorkehrungen ausgelöst. Die Forscher stellten die Arbeit als Sicherheitsübung dar, räumten jedoch ein, dass der Aufbau operativ einem Angriff auf reale Nutzer ähnelte. Richtlinien der Anbieter, Modellversionen und Zugriffskontrollen können sich nach der Offenlegung ändern.
Der Vorfall belegt außerdem nicht, dass GLM 5.3 beliebige Software zuverlässig kompromittieren kann. Er zeigt ein reproduzierbares Ergebnis gegen ein bestimmtes Ziel in einem bestimmten Veröffentlichungszeitraum. Diese Unterscheidung ist für Sicherheitsteams wichtig, die den Einsatz autonomer Systeme zum Programmieren oder zur Schwachstellenforschung bewerten.
Warum Patch-Lücken über Firefox hinaus wichtig sind
Die strukturelle Schwachstelle liegt im zeitlichen Ablauf von Offenlegung und Verteilung, nicht allein in Firefox. Sobald ein Patch zeigt, welcher Code geändert wurde, können Angreifer den zugrunde liegenden Fehler oft ableiten. Ein KI-System kann diesen Prozess beschleunigen, indem es Revisionen vergleicht, Hypothesen testet, Proof-of-Concept-Code schreibt und mehrere Schwachstellen verkettet.
Epoch AI zufolge besteht eine ähnliche Gefährdung bei Browsern, mobilen Betriebssystemen, Router-Firmware und anderer Software. Open-Source-Projekte erleichtern die Untersuchung des Quellcodes, doch proprietäre Produkte sind nicht automatisch geschützt. Die Forscher verwiesen auf frühere Arbeiten mit Anthropic’s Claude Mythos, das Berichten zufolge eine Windows-Patch-Lücke ohne Zugriff auf den Quellcode ausnutzte, sowie auf steigende Modellfähigkeiten beim Dekompilieren kompilierter Software.
Produkte mit langsamen Update-Zyklen könnten besonders gefährdet sein. Nutzer von Router-Firmware und mobilen Betriebssystemen bleiben oft lange ungepatcht, während Unternehmenssoftware möglicherweise nur während geplanter Wartungsfenster aktualisiert wird. Eine manuell schwer auszunutzende Schwachstelle könnte attraktiver werden, wenn ein KI-System nach Veröffentlichung eines Fixes kontinuierlich und kostengünstig arbeiten kann.
Der Bericht wirft außerdem Fragen zur koordinierten Offenlegung auf. Die Veröffentlichung eines Fixes ist für Verteidiger notwendig, doch detaillierte Codeänderungen können Angreifern eine Orientierungshilfe geben, bevor Patches flächendeckend installiert sind. Firefox und Chrome setzen zunehmend auf wöchentliche Updates, aber die Update-Geschwindigkeit allein löst das Problem nicht bei Geräten, die Nutzer selten neu starten, oder bei Produkten, die Anbieter nicht mehr aktiv warten.
Folgen für Entwickler und Unternehmen
KI-Produktteams sollten autonome Cyberfähigkeiten als Frage von Bereitstellung und Zugriffskontrolle betrachten, nicht nur als Frage der Modellqualität. Systeme, die Repositories untersuchen, Code ausführen und externe Dienste abfragen können, sollten isoliert, protokolliert und in ihrer Rate begrenzt werden. Ein allgemeiner Programmierassistent kann mit dem richtigen Ziel, Werkzeugen und Zeitbudget zu einem Werkzeug für Schwachstellenforschung werden.
Softwareanbieter können die Gefährdung reduzieren, indem sie die Veröffentlichung von Patches mit ihrer breiten Verfügbarkeit abstimmen, unnötige Details in Vorabänderungen minimieren und prüfen, ob mehrere Fixes verkettet werden können. Diese Maßnahmen erfordern Abwägungen: Verteidiger benötigen genügend Informationen zur Validierung eines Fixes, während Geheimhaltung schwieriger wird, sobald eine Änderung in ein öffentliches Repository gelangt.
Unternehmenskunden sollten Anbieter fragen, wie schnell Patches unterstützte Versionen erreichen, ob Updates automatisch erfolgen und wie lange Geräte nach Offenlegung einer Schwachstelle gefährdet bleiben. Sicherheitsteams sollten bei der Planung von Patch-Fenstern außerdem die Kosten KI-gestützter Ausnutzung berücksichtigen. Die gemeldeten 1.000 US-Dollar pro Firefox-Versuch sind kein allgemeingültiger Preis, zeigen aber, dass Exploit-Entwicklung für Gruppen mit begrenzten Ressourcen erschwinglich werden könnte.
Für KI-Anbieter verdeutlicht der Fall die Grenzen einer alleinigen Abhängigkeit von Verweigerungen. Open-Weight-Modelle können heruntergeladen und außerhalb der Kontrolle eines zentralen Gatekeepers betrieben werden. Überwachung auf Anbieterseite bleibt bei gehosteten Systemen wichtig, doch Verteidiger benötigen zusätzlich Netzwerkkontrollen, Sandboxing, schnelles Patchen und die Erkennung von Aktivitäten zur Exploit-Entwicklung.
Was als Nächstes zu beobachten ist
Das erste Signal wird sein, ob unabhängige Forscher die Firefox-Ergebnisse gegen spätere Versionen, einschließlich Firefox 159.0, reproduzieren und ob Mozilla Hinweise auf eine Ausnutzung außerhalb der Testumgebung meldet. Ein zweites Signal wäre, ob andere Teams vergleichbare Patch-Lücken-Angriffe gegen Chrome, mobile Betriebssysteme oder Router-Firmware demonstrieren.
Auch Modellbewertungen müssen über statische Cyberbenchmarks hinausgehen. Sinnvolle Messungen sollten die Zeit bis zum Exploit, menschliche Eingriffe, erforderliche Werkzeuge, Gesamtkosten, Zuverlässigkeit über mehrere Versionen und die Fähigkeit zur Verkettung von Schwachstellen umfassen. Ergebnisse mit Kimi K3.1 Pro oder neueren Open-Weight-Modellen könnten zeigen, ob GLM 5.3 eine isolierte Fähigkeit oder Teil eines breiteren Trends ist.
Schließlich könnten Anbieter und KI-Labore nach der Offenlegung Zugriffsrichtlinien, Veröffentlichungspraktiken oder Schutzmechanismen ändern. Diese Änderungen werden zeigen, ob die Branche vor allem mit Einschränkungen für Modelle reagiert oder mit einer Verkürzung des Zeitraums, in dem öffentliche Fixes dem Schutz der Nutzer voraus sind.
Die Perspektive von Creati.ai
Die wichtigste Nachricht ist nicht einfach, dass GLM 5.3 einen Firefox-Exploit gefunden hat. Entscheidend ist, dass ein Open-Weight-System Berichten zufolge eine mehrstufige Sicherheitsaufgabe innerhalb eines realistischen Zeit- und Kostenrahmens erledigte und dabei Informationen nutzte, die durch normale Patch-Aktivitäten verfügbar wurden. Damit verschiebt sich der Fokus von der Frage, ob Modelle Exploit-Code schreiben können, hin dazu, wie schnell sie routinemäßige Softwarewartung in ein operatives Risiko verwandeln können.
Für Entwickler und Unternehmenskunden lautet die praktische Lehre, KI-Systeme gemeinsam mit ihrer Umgebung und den zugehörigen Berechtigungen zu bewerten. Schnellere Patch-Verteilung, kontrollierter Werkzeugzugriff und messbare Schutzmaßnahmen werden ebenso wichtig sein wie die Modellfähigkeiten. Der Firefox-Fall bleibt ein Forschungsergebnis und kein Beleg für eine weitverbreitete Ausnutzung, ist aber eine glaubwürdige Warnung, dass die Patch-Lücke zu einem Automatisierungsproblem wird.
