Модель GLM 5.3 самостійно створила ланцюжки експлойтів для Firefox менш ніж за 48 годин

Автономне створення експлойтів за 1000 доларів

Дослідники з організації Epoch AI продемонстрували, що загальнодоступна модель з відкритими вагами GLM 5.3 здатна автономно експлуатувати браузер Firefox у проміжку часу, поки публічно видимі виправлення безпеки ще не надійшли користувачам. Це явище відоме як «patch gap» — часове вікно між появою коду виправлення у відкритому доступі та його фактичною доставкою в оновленнях.

У ході експериментів китайська модель атакувала 6 версій Firefox, випущених у період між 17 вересня та 26 жовтня. Вартість розробки одного успішного експлойту через API становила приблизно 1000 доларів. Раніше компанія Anthropic відзначала, що GLM 5.3 пише експлойти приблизно на тому ж рівні, що й модель Mythos.

Під час тестів штучний інтелект згенерував вебсторінку, здатну зчитувати локальні файли з комп'ютера відвідувача та надсилати їх на сервер зловмисника одразу після відкриття сторінки. Враховуючи, що база активних користувачів Firefox перевищує 200 мільйонів, такий сценарій міг дати доступ до збережених паролів, файлів cookie для автентифікації та приватних документів. При цьому ані платформа Z.ai, ані інші постачальники API не заблокували запити дослідників захисними механізмами, попри те, що дії за формою збігалися з атаками на реальних людей.

Подолання пісочниці та замаскованих правок

Експеримент навмисно налаштували так, щоб відтворити умови для низькокваліфікованого хакера з обмеженими ресурсами. Моделі надали цільову версію браузера, базові інструменти та публічну інформацію в автономному середовищі. Отримавши лише загальне завдання дослідити «patch gap», модель діяла цілком самостійно: відстежувала майбутні латки безпеки, обирала підхожі прогалини та формувала багатоетапні ланцюжки атак.

Розробники Firefox нерідко маскують виправлення вразливостей під рутинні вдосконалення коду, проте GLM 5.3 розпізнала ці зміни. В одному з тестів система помітила помилку керування пам'яттю і написала код для її читання та модифікації. Коли базові системи захисту заблокували доступ до цільового файлу, модель зв'язала перший експлойт із кількома додатковими етапами. Найшвидша атака забрала 12 годин, тоді як максимальний ліміт становив 48 годин.

Щоб обійти пісочницю браузера та прочитати локальні файли, модель у кожній успішній спробі самостійно повторно знаходила раніше невідому вразливість. Дослідники передали ці дані розробникам, і Mozilla усунула проблему у Firefox 159.0 від 27 жовтня 2026 року. Спроба повторити методику на браузері Google Chrome обійшлася в 100 000 доларів за використання API, але аналогічного результату не принесла, хоча дослідники застерігають, що це не гарантує захищеності продукту Google.

Масштаб загрози patch gap для програмного забезпечення

За висновками фахівців Epoch AI, уразливість «patch gap» властива всій ІТ-галузі — включно з браузерами, прошивками для маршрутизаторів та мобільними операційними системами. Відкритий вихідний код полегшує завдання зловмисникам, проте закриті системи також під загрозою. Наприклад, модель Mythos від Anthropic здатна знаходити лазівки у Windows без доступу до коду завдяки покращенню навичок декомпіляції у сучасних ШІ.

У вересні 2026 року зафіксували атаки на Chrome на базі цієї прогалини. Того ж місяця один із вендорів оприлюднив оновлені збірки PHP за понад шість годин до скоординованого релізу виправлень для двох критичних помилок. За даними звітів, це призвело до тисяч спроб зламів до офіційного оновлення і до мільйонів — одразу після нього. Найбільшу небезпеку становить обладнання та програми, які рідко оновлюються кінцевими користувачами.

Щоб мінімізувати ризики, Epoch AI радить тримати патчі закритими до самого моменту їхнього розгортання, скорочувати шлях від бета-тесту до стабільного релізу та уникати одночасного виправлення кількох взаємопов'язаних дірок. Надання захисникам доступу до сильніших закритих моделей (таких як програми Glasswing чи Daybreak після виходу Claude Mythos Preview у квітні 2026 року) не позбавляє індустрію від самої проблеми, оскільки відкриті моделі масштабують подібні наступальні кіберздібності без будь-якого зовнішнього контролю.