GLM 5.3、パッチがユーザーに届く前にFirefoxの自律的なエクスプロイトチェーンを構築したと報告

The Decoderが報じたEpoch AIの研究によると、オープンウェイトのAIモデルが、対応するセキュリティ更新をユーザーが受け取る前に、6つのFirefoxリリースに対する実用的なエクスプロイトチェーンを構築したとされる。テストは、修正が発見可能になってから大半のユーザーにパッチが届くまでの短い期間に、能力のあるモデルが公開されたコード変更を攻撃へ変換できる可能性を示している。

モデルのGLM 5.3は、研究者が対象となるFirefoxのバージョン、基本的なツール、公開情報をオフライン環境で与えた後、人間の介入なしに動作した。結果として生じた攻撃は、被害者が細工されたウェブページを読み込むとローカルファイルを読み取れたと報告されている。Epoch AIは、Firefoxの各バージョンに対するテストを成功させるためのAPI費用を、およそ1,000ドルと見積もった。

この発見は一つのブラウザーにとどまらない。オープンウェイトモデルによって、攻撃者は大手AIプロバイダーの承認や安全管理に頼らず、脆弱性調査とエクスプロイト開発を自動化できる可能性がある。

Firefoxテストとその証拠

Epoch AIの研究者は、セキュリティ上の「パッチギャップ」、つまりセキュリティ修正がソースコードなどの公開資料に現れている一方、まだユーザーには配布されていない期間を中心に実験を設計した。Firefoxはセキュリティ関連の変更を通常のコード改善の中に紛れ込ませているが、研究者によるとGLM 5.3は関連する修正を特定し、それを使って脆弱性を調査した。

モデルはその後、バグを選び、エクスプロイトの段階を開発し、Firefoxの防御を回避しようとした。報告された事例の一つでは、メモリ安全性の欠陥を発見し、それを使ってブラウザーのメモリとやり取りした。Firefoxが対象ファイルへの直接アクセスを遮断すると、さらに段階を追加した。成功した最速の試行は12時間で、研究者は各実行に最大48時間を許可した。

報告書によると、成功した攻撃ごとに、モデルはそれまで知られていなかった追加の脆弱性を独自に再発見した。この欠陥によってエクスプロイトチェーンはブラウザーのサンドボックスを回避し、コンピューター上のファイルへアクセスできた。Epoch AIは問題をMozillaに開示し、Mozillaは2026年10月27日に公開したFirefox 159.0で対処した。研究者は、同じ手法がこのリリースに対してどの程度有効かは確認していない。

このチェーンが一般ユーザーに対して展開されていた場合、報告された影響は深刻だった可能性がある。悪意あるウェブページは、保存されたパスワード、認証Cookie、個人文書にアクセスできた可能性がある。ただし研究は、これらの攻撃が実際の環境で使われたとは主張していない。報告書が引用する数字によれば、Firefoxには2億人を超えるアクティブユーザーがおり、露出の潜在的規模を大きくしている。

証拠が示すこと、示さないこと

最も強い性能に関する主張は、The Decoderが報じたEpoch AIの研究実験に由来するものであり、独立した公開ベンチマークや確認済みの犯罪キャンペーンに基づくものではない。実験は、研究者の設定下でGLM 5.3が達成したことを示すが、すべての攻撃者が同じ費用や速度で結果を再現できることを証明するものではない。

研究者はChromeもテストし、約10万ドルのAPI費用を使ったが、同等のエクスプロイトは作成できなかった。この結果を、Chromeが免疫を持つ証拠と解釈すべきではない。Epoch AIは、異なるプロンプト、ツール、あるいはより高性能なモデルによって結果が変わり得ると注意を促した。またこのテストは、Kimi K3.1 Proとの直接比較も提供していない。研究者は、限定的なベンチマーク情報に基づき、このモデルが攻撃的サイバー作業でより強い可能性があると述べていた。

拒否が起きなかったことも重要な発見だが、慎重な解釈が必要だ。Epoch AIによると、Z.aiもテストした他のAPIプロバイダーも、要求をブロックしたり安全ガードレールを発動させたりしなかった。研究者は作業をセキュリティ演習として位置づけた一方、設定が実際のユーザーへの攻撃と運用上似ていたことを認めた。開示後にプロバイダーの方針、モデルのバージョン、アクセス制御が変わる可能性はある。

この出来事は、GLM 5.3が任意のソフトウェアを確実に侵害できることも示していない。特定の対象とリリース期間に対する再現可能な結果を示したにすぎない。この違いは、自律的なコーディングや脆弱性調査システムの導入を評価するセキュリティチームにとって重要だ。

パッチギャップがFirefoxを超えて重要な理由

構造的な弱点はFirefoxだけでなく、開示と配布のタイミングにある。パッチによってどのコードが変更されたかが明らかになると、攻撃者は根本の欠陥を推測できることが多い。AIシステムは、リビジョンの比較、仮説の検証、概念実証コードの作成、複数の弱点の連結によって、その過程を加速できる。

Epoch AIは、ブラウザー、モバイルOS、ルーターのファームウェアなどにも同様の露出があると述べた。オープンソースプロジェクトではソースコードの検査が容易だが、クローズドソース製品が自動的に保護されるわけではない。研究者は、ソースコードにアクセスせずWindowsのパッチギャップを悪用したと報告されたAnthropicのClaude Mythosに関する先行研究や、コンパイル済みソフトウェアを逆コンパイルするモデル能力の向上を指摘した。

更新サイクルが遅い製品は、最大の危険に直面する可能性がある。ルーターのファームウェアやモバイルOSのユーザーは長期間パッチ未適用のままになり得る一方、企業向けソフトウェアは予定されたメンテナンス時間にしか更新されない場合がある。手作業では悪用が難しい脆弱性も、修正が公開された後にAIシステムが継続的かつ安価に作業できるなら、より魅力的になる可能性がある。

報告書は、協調的な開示についても問題を提起している。修正の公開は防御側に必要だが、パッチが広くインストールされる前に詳細なコード変更を公開すると、攻撃者に道筋を与える可能性がある。FirefoxとChromeは週次更新へ移行しているが、ユーザーがめったに再起動しない端末や、ベンダーが積極的に保守しなくなった製品では、更新速度だけで問題を解決できない。

開発者と企業への影響

AI製品チームは、自律的なサイバー能力をモデル品質だけでなく、デプロイとアクセス制御の問題として扱うべきだ。リポジトリの検査、コードの実行、外部サービスへの問い合わせが可能なシステムは、隔離し、ログを記録し、レート制限すべきである。汎用コーディングアシスタントも、適切な対象、ツール、時間予算を与えられれば、脆弱性調査ツールになり得る。

ソフトウェアベンダーは、パッチの公開と広範な提供を調整し、リリース前の変更に含める不要な詳細を減らし、複数の修正が連鎖し得るかを確認することで露出を低減できる。これらの対策にはトレードオフがある。防御側は修正を検証するのに十分な情報を必要とするが、変更が公開リポジトリに入れば秘密保持は難しくなる。

企業の購入担当者は、パッチがサポート対象バージョンに届くまでの時間、自動更新の有無、脆弱性の開示後に端末が露出し続ける期間をベンダーに尋ねるべきだ。セキュリティチームは、パッチ適用期間の優先順位を決める際、AI支援型の悪用コストもモデル化すべきである。Firefoxの試行1回あたり1,000ドルという報告値は普遍的な価格ではないが、限られた資源しか持たない集団にもエクスプロイト開発が手の届くものになる可能性を示している。

AIプロバイダーにとって、この事例は拒否だけに頼ることの限界を浮き彫りにする。オープンウェイトモデルはダウンロードでき、中央のゲートキーパーの管理外で実行できる。ホスト型システムではプロバイダー側の監視が依然重要だが、防御側にはネットワーク制御、サンドボックス、迅速なパッチ適用、エクスプロイト開発活動の検知も必要だ。

今後注目すべきこと

最初の兆候は、独立研究者がFirefox 159.0を含む後続リリースに対してFirefoxの結果を再現できるか、そしてMozillaがテスト環境外での悪用の証拠を報告するかどうかだ。二つ目は、他のチームがChrome、モバイルOS、ルーターのファームウェアに対する同様のパッチギャップ攻撃を実証するかどうかである。

モデル評価も静的なサイバーベンチマークを超える必要がある。有用な測定には、エクスプロイトまでの時間、人間の介入、必要なツール、総費用、バージョンをまたいだ信頼性、脆弱性を連鎖させる能力を含めるべきだ。Kimi K3.1 Proや新しいオープンウェイトモデルに関する結果は、GLM 5.3が孤立した能力なのか、より広い傾向の一部なのかを判断する助けになる。

最後に、ベンダーやAI研究所は開示後にアクセス方針、公開方法、保護策を変更する可能性がある。これらの変更は、業界が主にモデルを制限することで対応するのか、それとも公開された修正がユーザー保護を追い越す期間を短縮することで対応するのかを示すだろう。

Creati.aiの見解

重要なニュースは、GLM 5.3がFirefoxのエクスプロイトを見つけたという単純な事実ではない。オープンウェイトシステムが、通常のパッチ活動によって利用可能になった情報を使い、現実的な時間と費用の範囲内で多段階のセキュリティ作業を完了したと報告されていることだ。焦点は、モデルがエクスプロイトコードを書けるかどうかから、通常のソフトウェア保守をどれほど速く運用上のリスクに変えられるかへ移っている。

開発者と企業の購入担当者にとっての実践的な教訓は、AIシステムを、それを取り巻く環境や権限と合わせて評価することだ。パッチの迅速な配布、ツールへの制御されたアクセス、測定可能な安全策は、モデル能力と同じくらい重要になる。Firefoxの事例は依然として研究結果であり、広範な悪用の証拠ではない。しかし、パッチギャップが自動化の問題になりつつあるという信頼できる警告ではある。