Model GLM 5.3 sam tworzy exploity na Firefox

Badacze z Epoch AI przeprowadzili eksperyment, który pokazuje, jak cienka stała się granica między teoretycznym zagrożeniem a realnym atakiem. Użyli oni ogólnodostępnego modelu GLM 5.3 do zbudowania kompletnego łańcucha exploita przeciwko przeglądarce Firefox. Cały proces przebiegł bez udziału człowieka, a koszt jednego skutecznego ataku oszacowano na mniej więcej tysiąc dolarów opłat za API.

Kluczem do sukcesu okazała się tzw. luka patchowa, czyli okno czasowe między momentem, w którym poprawka bezpieczeństwa pojawia się w publicznym kodzie, a chwilą, gdy trafia do użytkowników. W tym przedziale atakujący widzi, gdzie leży problem, choć ochrona jeszcze nie działa. Model przeszedł przez sześć wersji Firefoksa wydanych między 17 września a 26 października.

Jak model samodzielnie znalazł drogę do wnętrza przeglądarki

Badacze celowo przygotowali środowisko tak, by odpowiadało możliwościom atakującego o niskich kwalifikacjach i ograniczonym budżecie. Dostarczyli modelowi wersję docelową Firefoksa, podstawowe narzędzia oraz informacje dostępne publicznie, wszystko w trybie offline. Po krótkim poleceniu zbadania luki patchowej GLM 5.3 działał już samodzielnie.

Autonomiczne rozpoznanie i wybór celu

Model sam wskazywał nadchodzące poprawki bezpieczeństwa, wybierał podatności i konstruował wieloetapowe łańcuchy ataku. Twórcy Firefoksa maskują takie zmiany jako rutynowe ulepszenia, by utrudnić pracę napastnikom. GLM 5.3 przejrzał tę taktykę i mimo to rozpoznał, które modyfikacje w kodzie dotyczą bezpieczeństwa. W jednym z przypadków dostrzegł błąd związany z bezpieczeństwem pamięci w nadchodzącej poprawce i opracował metodę odczytu oraz modyfikacji pamięci przeglądarki.

Łańcuchowanie etapów, gdy obrona blokuje dostęp

Kiedy warstwy ochronne Firefoksa uniemożliwiły dotarcie do wybranego pliku, model połączył początkowy exploit z kolejnymi krokami, by ominąć pozostałe zabezpieczenia. Najszybszy udany atak zajął dwanaście godzin, choć badacze dali modelowi maksymalnie czterdzieści osiem. We wszystkich skutecznych próbach wobec aktualnych wersji przeglądarki GLM 5.3 opierał się na wcześniej nieznanej podatności, którą za każdym razem odnajdywał na nowo. To pozwoliło mu obejść piaskownicę i czytać pliki bezpośrednio z komputera użytkownika.

Efektem było stworzenie strony internetowej, która w momencie załadowania przez użytkownika Firefoksa odczytywała lokalne pliki i wysyłała je na serwer atakującego. Przy ponad dwustu milionach aktywnych użytkowników przeglądarki potencjalny łup obejmował zapisane hasła, ciasteczka uwierzytelniające oraz prywatne dokumenty.

Brak zabezpieczeń po stronie dostawców API

Warto podkreślić, że ani Z.ai, ani inni dostawcy API nie uruchomili żadnych mechanizmów ochronnych ani nie odmówili realizacji zapytań, gdy badacze wykorzystywali GLM 5.3 do tworzenia exploita. Sami autorzy eksperymentu przyznają, że choć opisali zadanie jako ćwiczenie z zakresu bezpieczeństwa, ich działania były nieodróżnialne od tych podejmowanych przez kogoś, kto celuje w rzeczywistych użytkowników.

Zespół zgłosił odkrycie Mozilli, która załatała podatność w Firefoksie 159.0 wydanym 27 października 2026 roku. Badacze nie potwierdzili, czy podobne ataki działają na nowszej wersji, ale przypuszczają, że poprawka czyni je co najmniej znacząco trudniejszymi. Warto dodać, że wcześniej Anthropic informował, iż GLM 5.3 potrafi pisać exploity na poziomie zbliżonym do modelu Mythos.

Chrome stawił opór, ale to nie dowód odporności

Przy tych samych metodach i konfiguracji zespół wydał około stu tysięcy dolarów na opłaty API, próbując zaatakować Google Chrome, i nie uzyskał równoważnego exploita. Badacze zastrzegają jednak, że nie świadczy to o nietykalności Chrome. Lepsze techniki wydobywania możliwości z modelu albo zdolniejsze systemy mogą jeszcze odnieść sukces. Wskazują na ograniczone dane benchmarkowe sugerujące, że zapowiedziany Kimi K3.1 Pro mógłby przewyższać GLM 5.3 w zadaniach ofensywnych w cyberprzestrzeni, choć sami tego nie testowali.

Problem dotyczy całej branży oprogramowania

Luka patchowa nie jest wyłącznie kłopotem Firefoksa. Zdaniem badaczy z Epoch AI występuje ona powszechnie w przeglądarkach, mobilnych systemach operacyjnych i oprogramowaniu routerów. Projekty open source są szczególnie narażone, ponieważ cały ich kod jest jawny, ale zamknięte oprogramowanie również nie jest bezpieczne. Anthropic pokazał już, że model Mythos potrafi wykorzystać tę lukę w Windows bez dostępu do kodu źródłowego. Modele AI coraz lepiej radzą sobie też z dekompilacją gotowych programów, by samodzielnie namierzać poprawki bezpieczeństwa.

Raport przywołuje również inne przypadki. We wrześniu 2026 roku exploity wykorzystujące lukę patchową wymierzono w Chrome. W tym samym miesiącu jeden z dostawców udostępnił załatane kompilacje PHP ponad sześć godzin przed skoordynowaną publikacją poprawek dla dwóch krytycznych podatności. Powołując się na zewnętrzne doniesienia, badacze zauważają, że to przedwczesne wydanie mogło przyczynić się do tysięcy prób ataku przed oficjalną premierą, a zaraz po niej liczba ta wzrosła do milionów.

Szczególny niepokój budzi oprogramowanie rzadko aktualizowane przez użytkowników, takie jak firmware routerów czy systemy mobilne. W tych przypadkach większość osób pozostaje narażona znacznie dłużej, niezależnie od tempa prac nad poprawkami.

Co można zrobić, gdy sama poprawka staje się wskazówką

Badacze proponują kilka działań ograniczających ryzyko. Rekomendują utrzymywanie poprawek bezpieczeństwa w tajemnicy do momentu gotowości do wdrożenia oraz szybsze przechodzenie z wersji beta do wydania ogólnego. Przypominają, że Firefox i Google Chrome zaczęły już dostarczać aktualizacje co tydzień. Zalecają też, by deweloperzy nie łatali jednocześnie wielu podatności, które można ze sobą łączyć.

Autorzy raportu podkreślają, że sam dostęp obrońców do mocniejszych modeli zamkniętych nie rozwiąże problemu strukturalnego. Gdy poprawka pojawia się w publicznym kodzie, wskazuje atakującym miejsce podatności. Anthropic zaprezentował Claude Mythos Preview w kwietniu 2026 roku, co oznaczało skok w możliwościach ofensywnych AI. Frontierowe laboratoria odpowiedziały ograniczeniem dostępu oraz programami takimi jak Glasswing i Daybreak, które dają obrońcom wcześniejszy dostęp.

Wraz z rosnącymi możliwościami otwartych modeli zdolności ofensywne wymykają się spod kontroli jakiegokolwiek pojedynczego strażnika. Jak ujmują to sami badacze, wyniki należy traktować jako dowód dyfuzji zaawansowanych zdolności cybernetycznych. Wiele innych programów jest prawdopodobnie już podatnych na podobne ataki wykorzystujące lukę patchową, a ich liczba będzie rosnąć wraz z premierami kolejnych zdolniejszych modeli o otwartych wagach.

Eksperyment z GLM 5.3 pokazuje, że bariera wejścia dla ataków opartych na AI wyraźnie się obniżyła. Narzędzia, które jeszcze niedawno wymagały wiedzy specjalistycznej i sporych zasobów, stają się dostępne dla niemal każdego z odrobiną budżetu. To wyzwanie nie tylko dla twórców przeglądarek, ale dla całego ekosystemu oprogramowania i sposobu, w jaki publikujemy poprawki bezpieczeństwa.