GLM 5.3 teria criado cadeias autônomas de exploração do Firefox antes que os patches chegassem aos usuários

Um modelo de IA de pesos abertos teria criado cadeias de exploração funcionais contra seis versões do Firefox antes que os usuários recebessem as atualizações de segurança correspondentes, segundo uma pesquisa da Epoch AI divulgada pelo The Decoder. Os testes sugerem que um modelo capaz pode transformar mudanças de código visíveis publicamente em ataques durante o curto período entre a descoberta de uma correção e a chegada do patch à maioria dos usuários.

O modelo GLM 5.3 operou sem intervenção humana depois que os pesquisadores forneceram uma versão-alvo do Firefox, ferramentas básicas e informações públicas em um ambiente offline. Os ataques resultantes poderiam, segundo os relatos, ler arquivos locais quando a vítima carregasse uma página web especialmente preparada. A Epoch AI estimou em cerca de US$ 1.000 o custo de API para cada teste bem-sucedido de uma versão do Firefox.

As descobertas vão além de um único navegador. Elas indicam que modelos de pesos abertos podem permitir que invasores automatizem a pesquisa de vulnerabilidades e o desenvolvimento de exploits sem depender da aprovação ou dos controles de segurança de um grande provedor de IA.

O teste do Firefox e suas evidências

Os pesquisadores da Epoch AI elaboraram o exercício em torno da “lacuna de patch”: o intervalo em que uma correção de segurança é visível no código-fonte ou em outro material público, mas ainda não foi entregue aos usuários. O Firefox disfarça mudanças relacionadas à segurança entre melhorias rotineiras de código, mas os pesquisadores disseram que o GLM 5.3 identificou as correções relevantes e as usou para investigar vulnerabilidades.

O modelo então selecionou bugs, desenvolveu etapas de exploração e tentou contornar as defesas do Firefox. Em um caso relatado, encontrou uma falha de segurança de memória, usou-a para interagir com a memória do navegador e acrescentou novas etapas depois que o Firefox bloqueou o acesso direto ao arquivo-alvo. A tentativa bem-sucedida mais rápida levou 12 horas; os pesquisadores permitiram até 48 horas para cada execução.

Segundo o relatório, o modelo redescobriu de forma independente uma vulnerabilidade adicional, antes desconhecida, durante cada ataque bem-sucedido. Essa falha permitiu que a cadeia de exploração contornasse o sandbox do navegador e acessasse arquivos no computador. A Epoch AI divulgou o problema à Mozilla, que o corrigiu no Firefox 159.0, lançado em 27 de outubro de 2026. Os pesquisadores não determinaram a eficácia das mesmas técnicas contra essa versão.

O impacto relatado teria sido grave se a cadeia tivesse sido implantada contra usuários comuns. Uma página web maliciosa poderia potencialmente acessar senhas salvas, cookies de autenticação e documentos privados, embora a pesquisa não afirme que esses ataques tenham sido usados no mundo real. Segundo os números citados no relatório, o Firefox tem mais de 200 milhões de usuários ativos, ampliando a escala potencial da exposição.

O que as evidências mostram — e o que não mostram

As alegações de desempenho mais fortes vêm do exercício de pesquisa da Epoch AI, conforme relatado pelo The Decoder, e não de um benchmark público independente ou de uma campanha criminosa confirmada. O experimento mostra o que o GLM 5.3 alcançou na configuração dos pesquisadores, mas não prova que qualquer invasor conseguiria reproduzir os resultados com o mesmo custo ou velocidade.

Os pesquisadores também testaram o Chrome e gastaram cerca de US$ 100.000 em taxas de API sem produzir um exploit equivalente. Esse resultado não deve ser interpretado como evidência de que o Chrome seja imune. A Epoch AI alertou que prompts, ferramentas ou um modelo mais capaz poderiam mudar o resultado. O teste também não oferece uma comparação direta com o Kimi K3.1 Pro, citado pelos pesquisadores como um possível desempenho superior em tarefas cibernéticas ofensivas com base em informações limitadas de benchmarks.

A ausência de recusas é outra descoberta importante, mas exige interpretação cuidadosa. A Epoch AI disse que nem a Z.ai nem os demais provedores de API testados bloquearam as solicitações ou acionaram barreiras de segurança. Os pesquisadores apresentaram o trabalho como um exercício de segurança, embora reconhecessem que a configuração era operacionalmente semelhante a um ataque contra usuários reais. As políticas dos provedores, as versões dos modelos e os controles de acesso podem mudar após a divulgação.

O incidente também não estabelece que o GLM 5.3 consiga comprometer qualquer software de forma confiável. Ele demonstra um resultado reproduzível contra um alvo específico e durante uma janela específica de lançamento. Essa distinção é importante para equipes de segurança que avaliam a adoção de sistemas autônomos de programação ou pesquisa de vulnerabilidades.

Por que as lacunas de patches importam além do Firefox

A fraqueza estrutural está no momento da divulgação e da distribuição, não apenas no Firefox. Quando um patch revela qual código mudou, os invasores muitas vezes conseguem inferir a falha subjacente. Um sistema de IA pode acelerar esse processo comparando revisões, testando hipóteses, escrevendo código de prova de conceito e encadeando diferentes fraquezas.

A Epoch AI afirmou que existe exposição semelhante em navegadores, sistemas operacionais móveis, firmware de roteadores e outros softwares. Projetos de código aberto facilitam a inspeção do código-fonte, mas produtos de código fechado não ficam automaticamente protegidos. Os pesquisadores citaram trabalhos anteriores envolvendo o Claude Mythos, da Anthropic, que teria explorado uma lacuna de patch do Windows sem acesso ao código-fonte, além do avanço das capacidades dos modelos para descompilar software compilado.

Produtos com ciclos de atualização lentos podem enfrentar o maior perigo. Usuários de firmware de roteadores e sistemas operacionais móveis podem permanecer sem patches por longos períodos, enquanto softwares corporativos talvez só sejam atualizados durante janelas de manutenção programadas. Uma vulnerabilidade difícil de explorar manualmente pode se tornar mais atraente quando um sistema de IA consegue trabalhar continuamente e a baixo custo depois que uma correção é publicada.

O relatório também levanta questões sobre divulgação coordenada. Publicar uma correção é necessário para os defensores, mas divulgar mudanças detalhadas de código antes que os patches estejam amplamente instalados pode oferecer um roteiro aos invasores. Firefox e Chrome avançaram em direção a atualizações semanais, mas a velocidade de atualização, sozinha, não resolve o problema em dispositivos que os usuários raramente reiniciam ou que os fornecedores já não mantêm ativamente.

Implicações para desenvolvedores e empresas

As equipes de produtos de IA devem tratar a capacidade cibernética autônoma como uma questão de implantação e controle de acesso, não apenas de qualidade do modelo. Sistemas capazes de inspecionar repositórios, executar código e consultar serviços externos devem ser isolados, registrados e submetidos a limites de taxa. Um assistente geral de programação pode se tornar uma ferramenta de pesquisa de vulnerabilidades quando recebe o alvo, as ferramentas e o orçamento de tempo adequados.

Fornecedores de software podem reduzir a exposição coordenando a publicação dos patches com sua ampla disponibilidade, minimizando detalhes desnecessários em mudanças anteriores ao lançamento e verificando se várias correções podem ser encadeadas. Essas medidas envolvem compromissos: os defensores precisam de informação suficiente para validar uma correção, enquanto o sigilo se torna mais difícil quando uma mudança entra em um repositório público.

Compradores empresariais devem perguntar aos fornecedores com que rapidez os patches chegam às versões compatíveis, se as atualizações são automáticas e por quanto tempo os dispositivos permanecem expostos após a divulgação de uma vulnerabilidade. As equipes de segurança também devem considerar o custo da exploração assistida por IA ao priorizar janelas de patch. Os US$ 1.000 por tentativa no Firefox não são um preço universal, mas mostram que o desenvolvimento de exploits pode se tornar acessível a grupos com recursos limitados.

Para os provedores de IA, o episódio destaca os limites de depender apenas de recusas. Modelos de pesos abertos podem ser baixados e executados fora do controle de um gatekeeper central. O monitoramento por parte do provedor continua importante em sistemas hospedados, mas os defensores também precisam de controles de rede, sandboxing, aplicação rápida de patches e detecção de atividades de desenvolvimento de exploits.

O que observar em seguida

O primeiro sinal será saber se pesquisadores independentes reproduzem os resultados do Firefox contra versões posteriores, incluindo o Firefox 159.0, e se a Mozilla relata evidências de exploração fora do ambiente de teste. O segundo será verificar se outras equipes demonstram ataques semelhantes de lacunas de patches contra Chrome, sistemas operacionais móveis ou firmware de roteadores.

As avaliações de modelos também precisarão ir além de benchmarks cibernéticos estáticos. Medições úteis devem incluir tempo até a exploração, intervenção humana, requisitos de ferramentas, custo total, confiabilidade entre versões e capacidade de encadear vulnerabilidades. Resultados envolvendo Kimi K3.1 Pro ou modelos de pesos abertos mais recentes ajudariam a estabelecer se o GLM 5.3 representa uma capacidade isolada ou parte de uma tendência mais ampla.

Por fim, fornecedores e laboratórios de IA podem mudar políticas de acesso, práticas de lançamento ou salvaguardas após a divulgação. Essas mudanças mostrarão se a indústria responde principalmente restringindo modelos ou encurtando o período em que correções públicas ficam à frente da proteção dos usuários.

Perspectiva da Creati.ai

A notícia importante não é simplesmente que o GLM 5.3 encontrou um exploit do Firefox. É que um sistema de pesos abertos teria concluído uma tarefa de segurança em várias etapas dentro de um prazo e custo realistas, usando informações que se tornaram disponíveis por meio de atividades normais de aplicação de patches. Isso desloca a atenção de saber se os modelos conseguem escrever código de exploit para quão rapidamente conseguem transformar a manutenção rotineira de software em risco operacional.

Para desenvolvedores e compradores empresariais, a lição prática é avaliar os sistemas de IA junto com os ambientes e as permissões que os cercam. Entrega mais rápida de patches, acesso controlado às ferramentas e salvaguardas mensuráveis serão tão importantes quanto a capacidade do modelo. O caso do Firefox continua sendo um resultado de pesquisa, não uma prova de exploração generalizada, mas é um alerta crível de que a lacuna de patch está se tornando um problema de automação.