Модель использовала промежуток до установки исправлений

Исследователи Epoch AI сообщают, что модель с открытыми весами GLM 5.3 смогла использовать так называемый разрыв между публикацией исправления безопасности и его доставкой пользователям. В ходе тестов она работала с шестью версиями Firefox, выпущенными с 17 сентября по 26 октября, а стоимость успешной атаки исследователи оценили примерно в $1 000 на оплату API.

В эксперименте модель создала веб-страницу, которая при загрузке в Firefox могла прочитать локальные файлы на компьютере посетителя и передать их на сервер атакующего. Исследователи отмечают, что при реальной атаке под угрозой могли бы оказаться сохранённые пароли, файлы cookie аутентификации и личные документы. Это описание возможных последствий, а не сообщение о состоявшейся атаке на пользователей.

После постановки задачи модель действовала автономно

Команда задала целевую версию Firefox, предоставила базовые инструменты и открытые сведения, а работу организовала в офлайн-среде. После первоначальной инструкции исследовать разрыв между выходом патча и его установкой модель самостоятельно находила изменения, связанные с безопасностью, выбирала уязвимости и строила многоэтапные цепочки эксплойтов. Поэтому формулировка «без участия человека» относится к дальнейшей работе модели, а не к настройке эксперимента.

В одном из случаев GLM 5.3 обнаружила ошибку безопасности памяти, разработала способ читать и изменять память браузера, а затем соединила первоначальный эксплойт с дополнительными этапами обхода защит. Самая быстрая успешная атака заняла 12 часов; исследователи разрешали модели работать не более 48 часов. По их данным, во всех успешных атаках на актуальные версии Firefox модель заново обнаруживала ранее неизвестную уязвимость, позволявшую обходить песочницу браузера и читать файлы компьютера.

Исследователи сообщили об уязвимости Mozilla. Компания исправила её в Firefox 159.0, выпущенном 27 октября 2026 года. Команда не проверила, возможны ли аналогичные атаки на новой версии, но считает, что исправление должно как минимум существенно их усложнить. По словам исследователей, ни Z.ai, ни другие провайдеры API не включили защитные ограничения и не отказали в запросах при разработке эксплойтов.

Результат не доказывает неуязвимость Chrome

При попытке применить тот же подход к Google Chrome команда потратила около $100 000 на API, но не получила сопоставимый эксплойт. Исследователи подчёркивают, что это не доказывает неуязвимость Chrome: могли бы помочь другие способы постановки задачи или более мощные модели.

Epoch AI считает, что разрыв между публикацией исправления и его установкой касается не только браузеров: он встречается и в мобильных операционных системах, и в прошивках маршрутизаторов. В качестве мер снижения риска исследователи предлагают не публиковать исправления до их готовности к выпуску, быстрее переводить их из бета-версии в общедоступную и по возможности не исправлять одновременно уязвимости, которые можно объединить в цепочку. Они отдельно отмечают, что пользователи редко обновляют некоторые устройства, из-за чего те могут дольше оставаться уязвимыми.