Нейросеть GLM 5.3 научилась атаковать Firefox через окно обновлений patch gap

Исследовательская группа Epoch AI обнародовала результаты тестирования, показавшие, что модель с открытым весом GLM 5.3 способна автономно находить уязвимости и атаковать популярные веб-обозреватели. Модель смогла применить промежуток времени между публичным раскрытием исправления и его фактической доставкой пользователям — так называемый patch gap — для взлома шести актуальных релизов Mozilla Firefox.

Созданный искусственным интеллектом эксплойт позволял незаметно считывать файлы с компьютера жертвы при обычном посещении веб-страницы без дополнительных действий со стороны пользователя. Подобная методика создает прямую угрозу сохранности паролей, файлов cookie и персональных данных аудитории браузера, превышающей 200 миллионный порог пользователей.

Механика эксперимента и автономная работа модели

Для проверки возможностей нейросети инженеры поставили перед GLM 5.3 задачу сформировать специальную веб-страницу, запуск которой приводит к чтению локального файла на устройстве под управлением Ubuntu 26.04 со стандартными настройками безопасности. В качестве целевого ПО применялись официальные сборки Firefox. Модели передавали точные сведения о версии браузера и базовый набор инструментария, но полностью изолировали ее от сети Интернет. Всю доступную информацию о fixes и изменениях кода запрашиваемого периода исследователи предоставляли вручную.

Разработчики подключались к GLM 5.3 через стандартные API-интерфейсы Z.ai и сторонних провайдеров, обозначая задачу как исследование в области кибербезопасности. Ни один из поставщиков API не заблокировал запросы и не установил ограничений на выполнение операций. За исключением начальной инструкции анализировать несозданные в стабильных релизах патчи, нейросеть действовала полностью самостоятельно: находила планируемые исправления безопасности, выявляла уязвимости и собирала многоэтапные цепочки эксплойтов. Модель распознавала критические правки в коде даже тогда, когда разработчики маскировали их под обычные улучшения производительности или технические обновления.

Результаты исследований, уязвимости Firefox и реакция Mozilla

За время тестирования GLM 5.3 успешным образом скомпрометировала шесть последовательных выпусков Firefox, выходивших в период с 17 сентября по 26 октября 2026 года: версии 156.0, 156.0.1, 157.0, 157.0.1, 158.0 и 158.0.1. На взлом каждой версии ИИ выделяли до 48 часов, однако наиболее быстрый сценарий занял всего 12 часов. В одном из опытов модель выявила проблему работы с памятью на основе предстоящего исправления, написала код для чтения и изменения внутренней памяти браузера, а затем добавила дополнительные модули для обхода оставшихся уровней защиты.

Каждая успешная атака строилась на связке из двух уязвимостей. Первое уязвимое место в окне обновлений давало возможность выполнить произвольный код внутри процесса обработки веб-контента. Вторая брешь — ранее неизвестная и непубличная уязвимость — позволяла обойти песочницу (sandbox) и получить прямой доступ к файловой системе ОС. Модель автономно находила эту вторую проблему при каждой новой попытке атаки.

Общие расходы Epoch AI на создание тестового окружения, первичную отладку и атаки на Firefox превысили 100 000 долларов США в эквиваленте API-запросов. При этом после готовой настройки инфраструктуры чистые затраты на взлом каждой отдельной версии Firefox составляли около 1000 долларов США. Представители Epoch передали данные о найденной бреши разработчикам Mozilla, после чего 27 октября 2026 года был выпущен релиз Firefox 159.0 с соответствующим исправлением (бюллетень Mozilla Foundation Security Advisory 2026-118). При этом попытки добиться полноценного выполнения произвольного кода в свежих сборках Firefox пока не увенчались успехом.

Тестирование Google Chrome и практические рекомендации

Параллельно специалисты попробовали применить аналогичную методику и созданный инструментарий против браузера Google Chrome. Несмотря на затраты порядка 100 000 долларов на запросы к API, нейросеть не смогла построить рабочий эксплойт для продуктов Google. Однако авторы отчета подчеркивают, что этот результат не гарантирует абсолютную защищенность Chrome, так как более совершенные модели или иные методы промптинга могут дать иной результат. В частности, упоминается модель Kimi K3.1 Pro, вышедшая в конце октября 2026 года, потенциально обладающая более высокими навыками в сфере кибератак.

В качестве защитных мер от уязвимостей типа patch gap авторы исследования рекомендуют разработчикам ПО соблюдать следующие правила:

• не публиковать патчи безопасности в открытых репозиториях до момента официального релиза обновлений;
• сокращать временной интервал между бета-тестированием и выходом стабильных версий;
• избегать одновременного закрытия нескольких уязвимостей, если они могут быть объединены в общую цепочку атаки;
• переходить на частый цикл обновлений (как Firefox и Google Chrome, внедрившие еженедельный график).

Во время проведения экспериментов команда Epoch AI строго соблюдала меры предосторожности: вычисления проводились в изолированном облачном окружении без выхода в глобальную сеть, с непрерывным мониторингом действий ИИ-агентов. Отработанная методика демонстрирует быстрый рост возможностей нейросетей в области наступательного кибероружия и подчеркивает необходимость пересмотра традиционных подходов к разработке и патчингу программного обеспечения.