开源模型 GLM 5.3 利用补丁间隙攻击 Firefox

GLM 5.3 是 Z.ai 于八月发布的一款广泛可用的开放权重模型，它能够利用已公布但尚未推送给用户的 Firefox 浏览器安全修复补丁，识别并攻击近期版本 Mozilla Firefox 中的漏洞。从补丁公布到用户实际获取之间的这段空窗期被称为“补丁间隙”（patch gap）。在我们的实验中，GLM 5.3 利用这一间隙构建了一个网页，当 Firefox 用户访问该页面时，无需任何进一步的用户交互，即可读取访客计算机上的文件并将其发送给攻击者。具体而言，我们发现 9 月 17 日至 10 月 26 日之间发布的任何 Firefox 版本，仅凭发布当时可获得的信息，就可能以这种方式被攻破。

补丁间隙是软件发布实践中一个众所周知的弱点，它广泛存在于各类软件中，例如浏览器、手机操作系统和路由器固件。过去，利用这一弱点需要大量的时间和专业知识，或者需要获得具备高级网络能力的尖端模型的特别访问权限，因此很少有攻击者能在漏洞修复之前针对这些弱点发起攻击。

我们的核心发现是，如今广泛可用的开放权重模型能够自主完成大部分甚至全部此类工作。我们特意设计了实验环境，以模拟资源有限的相对不熟练的攻击者所能达到的效果，且仅使用每个版本发布当时可获得的信息。一旦设置完成，成功攻击每个 Firefox 版本的成本仅为约 1,000 美元。

在我们对近期 Firefox 版本的所有入侵测试中，GLM 5.3 还发现并利用了一个未公开的漏洞，将其与通过补丁间隙发现的漏洞结合使用。我们已联系 Mozilla 团队披露我们的发现，并讨论缓解此类攻击的方法。Mozilla 随后发布了新版 Firefox（159.0，于 2026 年 10 月 27 日发布），修补了此前未公开的漏洞，这应该会增加 GLM 5.3 通过补丁间隙攻击 Firefox 的难度。

开源项目尤其容易受到此类攻击，因为其代码是公开可用的，但我们怀疑任何允许模型在发布前找到即将进行的安全变更内容的软件项目都存在风险，包括闭源项目。1 随着开放权重模型的网络能力持续增强，我们预计这种威胁途径将进一步恶化。

我们在 Firefox 上的实验还发现了以下情况：

• GLM 5.3 利用补丁间隙绕过了现有防御措施。 为了延缓潜在攻击者的行动，已发布的安全修复通常被伪装成普通的功能改进，且不披露底层漏洞的细节。然而，GLM 5.3 能够阅读代码并识别出哪些变更与安全补丁相关。
• 我们演示的此类漏洞利用可能极其严重。 我们使用 GLM 5.3 创建了一个网站，当 Firefox 用户仅访问该网站而无需进行其他交互时，攻击者即可从用户计算机中窃取文件。Firefox 拥有超过 2 亿活跃用户，此漏洞可用于读取浏览器中存储的用户密码、窃取身份验证 Cookie，或查看用户计算机上的其他隐私信息。
• 以这种方式将 GLM 5.3 用于上述任务时，我们没有触发任何提供商（包括 Z.ai）的安全防护机制或拒绝响应。 我们将任务框架设定为安全演练，但除此之外，我们的操作行为与真实攻击者并无二致。
• 截至撰写本文时，针对 Google Chrome 的类似攻击尚未成功。 但这并不能作为有力证据表明，通过更高级的诱导手段或使用能力更强的开源权重模型（可能包括最近发布的 Kimi K3.1 Pro），此类攻击就无法成功。

2026 年 4 月，Anthropic 宣布推出 Claude Mythos Preview，标志着 AI 网络安全能力的飞跃。自此以后，显然前沿 AI 模型已具备在真实生产软件中检测漏洞并构建复杂利用链的能力。Anthropic 近期展示了这一点，举例说明其内部模型如何发现并利用广泛使用的软件中的关键漏洞。

前沿 AI 实验室的应对策略是向部分防御者提前开放高级能力（通过 Glasswing 和 Daybreak 等项目），并严格限制更广泛的访问权限。这一策略旨在让防御者在攻击者利用漏洞之前，能够识别并修补这些漏洞。然而，从漏洞修复方案公开到其部署给相关软件的所有用户之间，往往存在一个时间差。这种“补丁差距”体现在两个方面：一是修复方案在正式发布给用户之前就已公开；二是用户在更新发布后仍继续使用旧版软件。在我们的研究中，我们重点关注的是修复方案公开与其全面发布之间的差距。

软件的测试版（Beta 版本）是开发者用于测试代码并发现新引入缺陷的一种机制，也是漏洞修复方案在正式发布前得以公开的途径之一。与正式发布的版本相比，测试版的用户群体通常较小，主要由那些愿意尝试较新功能且可能不稳定的特性的用户组成。对于开源项目而言，信息的获取甚至更为广泛，因为整个代码库都是公开的，且即将到来的变更通常可以在测试版或“夜间构建”（nightly）代码分支中查看。

补丁差距是一个已知的安全问题，但过去利用该问题所需的时间和专业知识限制了能够这样做的行为主体数量（而且以这种方式开发的漏洞利用程序自然生命周期有限，这意味着攻击者可能会选择将注意力转移到其他地方）。随着 AI 网络能力的进步，这一权衡关系发生了变化。

尽管对最强大的前沿模型进行无限制访问（即没有网络安全护栏）受到严格控制，但开放权重模型却可供任何人不受限制地使用。2 这种开放访问可以通过实现预防性漏洞检测和事件响应来惠及网络防御者，特别是对于那些无法访问受限前沿模型的防御者而言。虽然我们在本文中侧重于讨论一种进攻性能力，但我们并不断言开放权重模型将如何影响攻防平衡。

开源权重模型历来无法可靠地利用补丁间隙（patch gap），但其能力正在稳步提升。为了验证这一局限性是否仍然存在，我们测试了 GLM 5.3——一款于 2026 年 8 月发布的广泛可用的开源权重模型——能否利用补丁间隙攻破 Firefox 的最新版本。Firefox 是一款拥有超过 2 亿活跃用户的网页浏览器。

我们要求 GLM 5.3 创建一个网页，当 Firefox 用户访问该网页时，能够读取其系统上的本地文件。3 这种攻击可用于读取用户的私人文档、复制存储在 Firefox 中的密码以及窃取身份验证 Cookie，从而允许攻击者以用户身份登录某些在线服务。我们选择此目标是因为它反映了一种足以对用户造成实际损害的严重攻击。

我们向模型提供了用户计算机上具体的 Firefox 版本以及一些基本工具，然后让其持续工作，直到开发出成功的漏洞利用代码（exploit）。为避免影响第三方，我们没有给模型提供互联网访问权限；相反，我们直接提供了我们认为它可能需要的公开可用信息。我们仅提供目标版本发布时可用的信息，因此模型无法利用后来发现的漏洞信息。

我们设计的环境大致模拟了一个技术经验最少且仅使用标准开发工具的攻击者，如果让模型在线运行，可能会从模型那里获取到的结果。我们通过第一方 API 和第三方 API 访问 GLM 5.3，并将任务框架设定为安全演练。尽管我们的行为与试图针对真实用户的攻击者无异，但在整个过程中，我们的模型使用从未受到限制，也未遇到任何拒绝响应。

除了关于针对补丁间隙的基本指令（即检查尚未纳入稳定版本的 bug 修复）外，我们让模型在没有任何用户输入的情况下自主运行。模型自行识别了即将到来的安全修复，选择了漏洞，并构建了复杂的漏洞利用链。

GLM 5.3 成功针对 9 月 17 日至 10 月 26 日期间发布的所有六个 Firefox 版本开发了攻击方法，4 且仅利用了每个版本发布时已公开的信息。用户访问由该模型构建的网页后，浏览器会在无需用户进一步操作的情况下读取本地文件，并将其内容发送至攻击者的服务器。5

这些攻击的开发过程耗费了模型大量精力。在一次尝试中，GLM 5.3 利用一个即将发布的 Firefox 修复补丁识别出一处内存安全漏洞，随后开发出在浏览器内部读取和修改内存的方法，但 Firefox 的安全防护机制仍阻止了模型读取目标文件。最终，模型将初始漏洞利用与多个额外阶段相结合，以绕过剩余的安全层。模型能够诊断崩溃原因、放弃无效方案并不断迭代其策略，直到仅需访问网站即可获取文件。我们给予 GLM 5.3 最多 48 小时的时间来寻找漏洞利用方法，但其最快的一次尝试仅耗时 12 小时。

除了通过“补丁间隙”（patch gap）发现的漏洞外，我们针对最新 Firefox 版本的攻击还依赖于一项未公开的漏洞，而模型在每次尝试中都重新发现了这一漏洞。这使得模型能够将有限的浏览器控制权转化为读取计算机文件的能力。6 我们已向 Mozilla 披露了这一漏洞，它已在 10 月 27 日发布的 Firefox 159.0 版本中得到修复。尽管此补丁已应用，但我们尚未确认类似攻击是否能在 159.0 版本上成功，不过推测这至少会显著增加攻击难度。

我们在针对 Firefox 的研究上的总花费超过了 100,000 美元的 API 成本，其中包括为构建逼真的离线环境进行的实验以及初步测试。然而，一旦我们开发好测试框架并将 GLM 5.3 引导至正确方向，利用浏览器漏洞就变得既廉价又可靠。按 API 定价计算，攻陷一个新 Firefox 版本的边际成本约为 1,000 美元；若使用订阅账户，这一成本可能会更低。

对于不担心让具备互联网访问权限的自主智能体开发漏洞利用所带来的风险的攻击者而言，他们可以通过向模型提供无限制的互联网访问权限，以更低的成本和更简便的方式复制我们的设置，而无需费力地在沙箱中离线运行模型。

在发现 GLM 5.3 能够攻破 Firefox 后，我们决定评估类似的设置是否能攻破 Google Chrome。我们使用了相同的测试框架和技术，但截至撰写本文时，尽管我们在尝试上花费了约 100,000 美元的 API 成本，仍未能创建出等效的漏洞利用程序。

Kimi K3.1 Pro 于 10 月 23 日通过第一方 API 访问发布，其权重计划于 11 月初发布。Kimi K3.1 Pro 尚未纳入我们的实验范围，但有限的基准测试数据表明，它在网络攻击任务上的表现可能优于 GLM 5.3。我们计划在未来对更先进的开源模型在更广泛的软件上进行测试。

补丁间隙（patch-gap）攻击所需的条件在整个软件行业中都很常见。每当安全修复在到达用户之前变得可见时，攻击者就有机会将其逆向工程化为漏洞利用程序。2026 年 9 月，我们看到了针对 Chrome 的补丁间隙漏洞利用。同月，一家供应商发布了 PHP 的修补版本，比两个关键漏洞补丁的协调发布时间提前了六个多小时。这些早期补丁可能导致了在公开发布前出现数千次漏洞利用尝试（随后立即攀升至数百万次）。

尽管 Firefox 和 Chromium 均为开源软件，但补丁间隙（patch gap）同样对闭源软件构成风险。Anthropic 已证明 Mythos 能够在不公开项目代码的情况下 利用 Windows 上的补丁间隙。我们并未明确测试 GLM 5.3 在闭源项目中利用补丁间隙的能力，但随着开放权重网络攻击能力的持续提升，这种能力很可能很快成为现实——甚至可能已经具备。我们尤其担忧那些用户更新频率较低的软件，例如路由器固件或手机操作系统，因为大规模入侵可能带来严重后果，且大多数用户的漏洞暴露窗口期要长得多。

应对这一威胁可能需要缩短漏洞修复方案在纳入正式版本发布前保持公开状态的时间。我们在两天内就构建了利用程序，而其他攻击者可能会更快。仅仅为防御者提供更强大的闭源模型并不能解决根本的结构性问题；无论通过何种方式发现，公开的修复方案本身就会标示出漏洞所在。防御者可以采取若干措施来缓解此类攻击，例如在准备就绪之前将安全修复保持私密状态，或者加快从 Beta 版到正式版发布的速度。目前，Firefox 和 Google Chrome 均已开始每周推送更新。无论采取何种策略，都应假定一旦漏洞修复出现在已发布的代码中，攻击者就能并且将会利用它来针对当前版本发起攻击。如果多个漏洞可以被链式利用，防御者应避免同时修补这些漏洞。

GLM 5.3 通过利用补丁间隙攻陷了最近六个版本的 Firefox。我们使用了刻意简化的基础设置，尽管如此，该模型仍能在无需人工干预的情况下可靠地构建成功的利用程序，每攻陷一个 Firefox 版本的边际成本约为 1000 美元。这些攻击依赖一个关键的未公开漏洞，该漏洞此后已被修补。我们未能对 Chrome 实现类似的效果（但我们认为这并不排除使用更好的提示工程或更强的开放权重模型后，类似攻击成功的可能性）。

我们将这些结果视为高级网络能力扩散的证据；许多其他软件很可能已经容易受到类似的补丁间隙攻击，并且随着更多功能强大的开放权重模型发布，我们预计此类情况的数量将会增加。

附录：实验安全措施

注释

1. AI 模型在反编译软件方面正变得非常出色——即将可执行程序还原为原始源代码。通过反编译即将发布的测试版，攻击者仍可在安全修复措施应用之前查看这些修复内容，从而使得即使代码未公开，补丁间隙攻击也成为可能。Anthropic 已证明 Mythos 能够在 Windows 上执行此操作，但我们尚未测试开放权重模型。

2. 即使模型创建者试图添加护栏或将模型训练为拒绝某些请求，通过公开发布权重，其他人可以创建“去护栏化”（abliterated）版本，使其能够响应任何请求，并在没有任何护栏的情况下运行。

3. 运行采用默认安全设置的 Ubuntu 26.04 系统，以及从官方发布渠道下载的 Firefox 浏览器。

4. 156.0、156.0.1、157.0、157.0.1、158.0、158.0.1。较早的版本也可能存在漏洞，但在此之前我们并未进行系统性测试。

5. 在成功实现文件读取后，我们尝试实现任意代码执行。截至撰写本文时，我们在近期发布的 Firefox 版本中尚未取得任意代码执行的成功案例。

6. 此次成功利用需要串联两个主要漏洞。攻击者首先利用补丁间隙（patch-gap）漏洞在 Web 内容进程中实现代码执行，随后通过另一个尚未公开的漏洞绕过沙箱保护机制——通常情况下，即使渲染进程被攻破，沙箱也能阻止其访问文件系统。