Сообщается, что GLM 5.3 создал автономные цепочки эксплойтов для Firefox до того, как патчи достигли пользователей

Согласно исследованию Epoch AI, о котором сообщил The Decoder, модель ИИ с открытыми весами создала работоспособные цепочки эксплойтов против шести выпусков Firefox до того, как пользователи получили соответствующие обновления безопасности. Тесты показывают, что достаточно способная модель может превращать публично видимые изменения кода в атаки в короткий период между обнаружением исправления и доставкой патча большинству пользователей.

Модель GLM 5.3 работала без вмешательства человека после того, как исследователи предоставили ей целевую версию Firefox, базовые инструменты и общедоступную информацию в офлайн-среде. Сообщается, что полученные атаки могли читать локальные файлы, когда жертва загружала специально подготовленную веб-страницу. Epoch AI оценила стоимость API для каждого успешного теста версии Firefox примерно в 1 000 долларов.

Значение результатов выходит за рамки одного браузера. Они показывают, что модели с открытыми весами могут позволить злоумышленникам автоматизировать поиск уязвимостей и разработку эксплойтов, не полагаясь на одобрение или защитные механизмы крупного поставщика ИИ.

Тест Firefox и его доказательства

Исследователи Epoch AI построили эксперимент вокруг «разрыва патча» — периода, когда исправление безопасности уже видно в исходном коде или других публичных материалах, но ещё не доставлено пользователям. Firefox маскирует изменения, связанные с безопасностью, среди обычных улучшений кода, однако исследователи заявили, что GLM 5.3 выявил нужные исправления и использовал их для поиска уязвимостей.

Затем модель выбрала ошибки, разработала этапы эксплуатации и попыталась обойти защиту Firefox. В одном из описанных случаев она обнаружила уязвимость безопасности памяти, использовала её для взаимодействия с памятью браузера и добавила новые этапы после того, как Firefox заблокировал прямой доступ к целевому файлу. Самая быстрая успешная попытка заняла 12 часов; исследователи выделяли на каждый запуск до 48 часов.

Согласно отчёту, во время каждой успешной атаки модель самостоятельно повторно обнаруживала дополнительную, ранее неизвестную уязвимость. Эта уязвимость позволила цепочке эксплойтов обойти песочницу браузера и получить доступ к файлам на компьютере. Epoch AI раскрыла проблему Mozilla, которая устранила её в Firefox 159.0, выпущенном 27 октября 2026 года. Исследователи не установили, насколько эффективными были бы те же методы против этого выпуска.

Если бы цепочка применялась против обычных пользователей, заявленные последствия были бы серьёзными. Вредоносная веб-страница потенциально могла бы получить доступ к сохранённым паролям, файлам cookie аутентификации и личным документам, хотя исследование не утверждает, что эти атаки использовались в реальном мире. Согласно приведённым в отчёте данным, у Firefox более 200 миллионов активных пользователей, что увеличивает потенциальный масштаб воздействия.

Что показывают доказательства — и чего они не показывают

Самые сильные заявления о результативности основаны на исследовании Epoch AI, о котором сообщил The Decoder, а не на независимом публичном бенчмарке или подтверждённой преступной кампании. Эксперимент показывает, чего достиг GLM 5.3 в условиях исследователей, но не доказывает, что любой атакующий сможет воспроизвести результат с такой же стоимостью или скоростью.

Исследователи также тестировали Chrome и потратили около 100 000 долларов на API, но не создали сопоставимый эксплойт. Этот результат нельзя трактовать как доказательство неуязвимости Chrome. Epoch AI предупредила, что другие промпты, инструменты или более мощная модель могли бы изменить исход. Тест также не даёт прямого сравнения с Kimi K3.1 Pro, который исследователи назвали потенциально более сильным в наступательных киберзадачах на основании ограниченной информации бенчмарков.

Отсутствие отказов — ещё один важный результат, но его нужно интерпретировать осторожно. Epoch AI заявила, что ни Z.ai, ни другие проверенные поставщики API не заблокировали запросы и не включили защитные механизмы. Исследователи представили работу как упражнение по безопасности, признав при этом, что по своей сути такая настройка была операционно похожа на атаку на реальных пользователей. После раскрытия информации политики поставщиков, версии моделей и средства контроля доступа могут измениться.

Инцидент также не доказывает, что GLM 5.3 способен надёжно компрометировать любое ПО. Он демонстрирует воспроизводимый результат против конкретной цели в конкретный период выпуска. Это различие важно для команд безопасности, оценивающих автономные системы программирования или исследования уязвимостей.

Почему разрывы патчей важны за пределами Firefox

Структурная слабость связана со временем раскрытия и распространения, а не только с Firefox. Как только патч показывает, какой код изменился, злоумышленники часто могут вывести исходный дефект. ИИ-система способна ускорить процесс, сравнивая ревизии, проверяя гипотезы, создавая код подтверждения концепции и объединяя отдельные уязвимости в цепочку.

Epoch AI заявила, что аналогичная уязвимость существует в браузерах, мобильных операционных системах, прошивках маршрутизаторов и другом ПО. В проектах с открытым исходным кодом проверять код проще, но закрытые продукты не защищены автоматически. Исследователи сослались на предыдущую работу с Claude Mythos от Anthropic, который, как сообщается, использовал разрыв патча Windows без доступа к исходному коду, а также на растущие способности моделей декомпилировать скомпилированное ПО.

Наибольшая опасность может угрожать продуктам с медленным циклом обновлений. Пользователи прошивок маршрутизаторов и мобильных ОС могут долго оставаться без патчей, а корпоративное ПО может обновляться только в запланированные окна обслуживания. Уязвимость, которую трудно эксплуатировать вручную, может стать привлекательнее, если ИИ-система после публикации исправления способна работать непрерывно и дёшево.

Отчёт также поднимает вопросы координированного раскрытия информации. Публикация исправления необходима защитникам, но подробные изменения кода до широкого развертывания патчей могут дать злоумышленникам дорожную карту. Firefox и Chrome переходят к еженедельным обновлениям, однако сама по себе скорость обновления не решает проблему устройств, которые пользователи редко перезапускают, или продуктов, которые поставщики больше активно не поддерживают.

Последствия для разработчиков и предприятий

Команды, создающие продукты ИИ, должны рассматривать автономные кибервозможности как вопрос развертывания и контроля доступа, а не только качества модели. Системы, способные изучать репозитории, выполнять код и обращаться к внешним сервисам, следует изолировать, журналировать и ограничивать по частоте запросов. Универсальный помощник по программированию может превратиться в инструмент исследования уязвимостей, если дать ему правильную цель, инструменты и временной бюджет.

Поставщики ПО могут уменьшить воздействие, согласовывая публикацию патчей с их широкой доступностью, сокращая ненужные подробности в предварительных изменениях и проверяя возможность объединения нескольких исправлений в цепочку. Эти меры требуют компромиссов: защитникам нужна достаточная информация для проверки исправления, но сохранить секретность становится сложнее после попадания изменения в публичный репозиторий.

Корпоративным покупателям следует спрашивать поставщиков, насколько быстро патчи достигают поддерживаемых версий, являются ли обновления автоматическими и как долго устройства остаются уязвимыми после раскрытия проблемы. Команды безопасности должны также учитывать стоимость эксплуатации с помощью ИИ при определении приоритетов патчирования. Сообщённые 1 000 долларов за одну попытку против Firefox — не универсальная цена, но она показывает, что разработка эксплойтов может стать доступной группам с ограниченными ресурсами.

Для поставщиков ИИ этот эпизод подчёркивает ограниченность одной лишь системы отказов. Модели с открытыми весами можно скачать и запускать вне контроля центрального привратника. Мониторинг на стороне поставщика остаётся важным для размещённых систем, но защитникам также нужны сетевые средства контроля, песочницы, быстрое исправление и обнаружение деятельности по разработке эксплойтов.

За чем наблюдать дальше

Первым сигналом станет то, смогут ли независимые исследователи воспроизвести результаты Firefox против более новых выпусков, включая Firefox 159.0, и сообщит ли Mozilla о доказательствах эксплуатации за пределами тестовой среды. Вторым — продемонстрируют ли другие команды сопоставимые атаки через разрыв патча против Chrome, мобильных ОС или прошивок маршрутизаторов.

Оценка моделей также должна выйти за рамки статических кибербенчмарков. Полезные измерения должны включать время до создания эксплойта, участие человека, требования к инструментам, общую стоимость, надёжность между версиями и способность объединять уязвимости. Результаты с Kimi K3.1 Pro или более новыми моделями с открытыми весами помогли бы определить, является ли GLM 5.3 изолированной возможностью или частью более широкой тенденции.

Наконец, поставщики и лаборатории ИИ могут изменить политики доступа, практики выпуска или защитные меры после раскрытия. Эти изменения покажут, ответит ли отрасль главным образом ограничением моделей или сокращением периода, когда публичные исправления опережают защиту пользователей.

Взгляд Creati.ai

Главная новость не в том, что GLM 5.3 просто нашёл эксплойт Firefox. Важно, что система с открытыми весами, согласно сообщениям, выполнила многоэтапную задачу безопасности в реалистичных временных и финансовых рамках, используя информацию, ставшую доступной в ходе обычного исправления ПО. Это смещает внимание с вопроса о том, способны ли модели писать код эксплойтов, на вопрос о том, как быстро они могут превратить обычное обслуживание программного обеспечения в операционный риск.

Практический вывод для разработчиков и корпоративных покупателей состоит в том, что ИИ-системы следует оценивать вместе со средами и разрешениями, которые их окружают. Быстрая доставка патчей, контролируемый доступ к инструментам и измеримые защитные меры будут не менее важны, чем возможности модели. Случай Firefox остаётся исследовательским результатом, а не доказательством масштабной эксплуатации, но это убедительное предупреждение о том, что разрыв патча становится проблемой автоматизации.