开源 AI 模型能够利用补丁空窗期漏洞

概述

由 Z.ai 于 8 月发布的一款广泛可用的开源权重模型 GLM 5.3，能够利用已发布但尚未推送给用户的安全修复程序，识别并利用 Mozilla Firefox 浏览器最新版本中的漏洞。修复程序发布到送达用户之间的这段时间差被称为补丁差距（patch gap）。

在我们的实验中，GLM 5.3 利用这一时间差构建了一个网页，当 Firefox 用户访问该网页时，它会读取访问者计算机上的一个文件，并在无需用户进一步交互的情况下将其发送给攻击者。特别是，我们发现 9 月 17 日至 10 月 26 日之间发布的任何 Firefox 版本，都可以仅利用发布时可用的信息以这种方式遭到入侵。

补丁差距是软件发布实践中一个已知的弱点，广泛存在于各种软件中，例如浏览器、手机操作系统和路由器固件。过去，利用这一弱点需要大量的时间和专业知识，或者需要获得具备高级网络能力的尖端模型的特殊访问权限，因此很少有攻击者能在这些漏洞修复之前针对它们发动攻击。

我们的核心发现是，广泛可用的开源权重模型现在可以独立完成其中大部分甚至全部工作。我们特意设计了实验环境，以模拟资源有限、技术相对不够成熟的攻击者仅利用每个版本发布时可用的信息所能达到的效果。一旦设置完成，成功攻击每个 Firefox 版本的成本仅需约 1,000 美元。

在我们在近期 Firefox 版本的攻破中，GLM 5.3 还结合通过补丁间隙发现的漏洞，发现并利用了一个未公开的漏洞。我们联系了 Mozilla 团队以披露我们的发现，并讨论减轻这些攻击的方法。 Mozilla 随后发布了新版本的 Firefox（159.0，于 2026 年 10 月 27 日发布），修复了先前未公开的漏洞，这应会使 GLM 5.3 更难通过补丁间隙漏洞攻击来攻破 Firefox。

开源项目尤其容易受到此类攻击，因为它们的代码是公开的，但我们怀疑任何模型能在发布前找到即将进行的安全性更改内容的软件项目都是脆弱的，包括闭源项目。¹ 我们预计，随着开源权重网络能力的持续提升，这一威胁向量将会恶化。

我们对 Firefox 进行实验的进一步发现：

尽管存在现有的对策，GLM 5.3 仍然利用了补丁间隙。 为了放慢潜在攻击者的速度，已发布的安全性修复被混淆为普通的改进，并且不披露底层漏洞的细节。GLM 5.3 能够读取代码并确定哪些更改与安全补丁相关。
我们演示的攻击类型可能极其严重。 我们使用 GLM 5.3 创建了一个网站，该网站在被 Firefox 用户访问时且无需进一步交互，就能让攻击者具备从用户计算机中窃取文件的能力。Firefox 拥有超过 2亿的活跃用户，此漏洞可被用于读取存储在浏览器中的密码、窃取身份验证 Cookie 或查看用户计算机上的其他隐私信息。
当以这种方式使用 GLM 5.3 时，我们没有触发任何提供商（包括 Z.ai）的安全防护栏或拒绝响应。我们将任务设定为一项安全演练，但我们的行为与真实攻击者的行为在其他方面没有区别。
截至撰写本文时，针对 Google Chrome 的类似攻击尚未成功。我们并不认为这构成了强有力的证据，证明通过更高级的引导或使用能力更强的开放权重模型（可能包括最近发布的 Kimi K3.1 Pro）无法攻击成功。

背景

2026 年 4 月，Anthropic 发布 Claude Mythos Preview，标志着 AI 网络安全能力实现跨越。自那时起，前沿 AI 模型能够检测真实生产软件中的漏洞并编写复杂利用代码，这一点已毋庸置疑。 Anthropic 最近通过演示证明了这一点，他们给出了内部模型如何发现并利用广泛使用的软件中的严重漏洞的示例。

前沿 AI 实验室对此作出的回应是，向部分防御者提前开放先进功能（通过诸如 Glasswing 和 Daybreak 等项目），同时严格限制更广泛的访问。这一策略旨在让防御者在攻击者利用漏洞之前识别并修补它们。然而，漏洞修复公开与该修复被部署到相关软件的所有用户之间，往往存在时间差。这种补丁时间差（patch gap）存在于两个环节：修复在发布给用户之前先公开，以及用户在更新后继续运行旧软件。在我们的研究中，我们重点关注修复公开与其一般性发布之间的这一时间差。

软件的测试版（Beta）是开发者用于测试代码和查找新引入漏洞的工具，也是漏洞修复在一般性发布之前向公众公开的途径之一。与公开版本相比，测试版通常拥有更小的用户群体，由愿意测试更新且可能不稳定功能的用户组成。对于开源项目而言，信息甚至更加广泛透明，因为整个代码库都是公开的，并且即将进行的更改通常可以在测试版或“夜间版（nightly）”代码分支中查看。

补丁时间差是一个众所周知的安全问题，但历史上利用它所需的时间和专业知识限制了能够这样做的行动者数量（并且以这种方式开发的漏洞利用程序天然有限的生命周期意味着攻击者可能会选择将精力花在别处）。不断进步的 AI 网络能力改变了这种权衡计算。

尽管对最具能力的前沿模型的无限制访问（没有网络安全护栏）受到严格控制，但开放权重模型可以不受限制地供任何人广泛使用。² 这种开放访问可以通过实现预防性的漏洞检测和事件响应来使网络防御者受益，特别是对于无法访问受限制的前沿模型的防御者而言。虽然我们这里的重点是攻击能力，但我们不对开放权重模型将如何影响攻防平衡作定论。

长期以来，开放权重模型一直无法可靠地利用补丁差距（patch gap），但它们的能力正在稳步提升。为了验证这一局限性是否依然存在，我们测试了在2026年8月发布的广泛可用的开放权重模型 GLM 5.3，是否能够利用补丁差距来攻陷最新版本的 Firefox——这是一款拥有超过2亿活跃用户的网络浏览器。

方法

我们给 GLM 5.3 设定了一项任务：创建一个网页，当 Firefox 用户访问该网页时，能够读取其系统上的本地文件。³ 这可用于读取用户的私密文档、复制保存在 Firefox 中的密码并窃取身份验证 Cookie，从而允许攻击者以该用户的身份登录某些在线服务。我们选择这个目标，是因为它代表了一种严重到足以对用户造成实质性损害的攻击。

我们向模型提供了用户计算机上特定的 Firefox 版本以及一些基本工具，然后让它持续运行，直到开发出成功的利用程序。为避免影响第三方，我们没有为模型提供互联网访问权限；相反，我们直接提供了我们认为它可能需要的公开可用信息。我们仅提供目标版本发布时可获取的信息，因此模型无法使用后来发现的漏洞相关信息。

我们设计的环境大致模拟了具备极少技术经验和标准开发工具的攻击者，在让模型在线运行时的情景。我们通过其官方 API 和第三方 API 访问了 GLM 5.3，将该任务表述为一项安全演练。尽管我们的行为与试图攻击真实用户的行为无法区分，但在整个过程中，我们的模型使用从未受到限制，也没有遇到任何拒绝。

除了针对补丁差距的基本指令（即检查尚未纳入稳定版本的漏洞修复）之外，我们在没有用户输入的情况下让模型自主运行。模型自行识别了即将发布的的安全修复、选定了漏洞，并构建了一个复杂的攻击链。

结果

仅使用每个版本发布时可获取的信息，GLM 5.3 便成功开发针对9月17日至10月26日期间所有六个 Firefox 版本的攻击。⁴ 访问由模型构建的网页会导致浏览器在无需用户进一步操作的情况下读取本地文件，并将其内容发送到攻击者的服务器。⁵

模型开发这些攻击花费了大量精力。在一次尝试中，GLM 5.3 利用即将发布的 Firefox 修复程序识别了一个内存安全缺陷，随后开发了一种读取和修改浏览器内部内存的方法，但 Firefox 的安全保护措施仍然阻止了模型读取目标文件。模型最终的攻击将最初的漏洞利用与多个额外阶段组合起来，以规避其余的安全层。模型诊断了崩溃、放弃了不成功的方法，并不断迭代其方案，直到仅凭访问网站就足以访问该文件。我们给予 GLM 5.3 长达 48 小时的时间来寻找漏洞利用，但其最快的尝试仅需 12 小时。

除了通过补丁间隙发现的漏洞之外，我们对最新 Firefox 版本的攻击还依赖于一个未公开的漏洞，该漏洞被模型在每次尝试时重新发现。这使它能够将对浏览器的有限控制力转化为从计算机读取文件的能力。⁶ 我们已将此漏洞分享给 Mozilla，它现在已在 10 月 27 日的 Firefox 159.0 版本中得到修补。鉴于此补丁，我们尚未确认类似的攻击是否能在 159.0 上成功，但我们怀疑这至少会使事情变得实质性地更加困难。

我们针对 Firefox 的总研究支出在 API 成本上超过了 10 万美元，包括构建逼真的离线环境的实验以及我们的初步测试。然而，一旦我们开发出测试工具并将 GLM 5.3 指向正确的方向，利用该浏览器就变得既便宜又可靠。按 API 定价计算，我们攻陷新版本 Firefox 的边际成本约为 1,000 美元，如果使用订阅账户，成本可能会更低。

一个不关心让具备互联网访问权限的自主代理开发漏洞带来的风险的攻击者，可以通过赋予模型不受限制的互联网访问权限，而不是费力地在沙箱中离线运行它，以更低廉、更简便的方式复制我们的设置。

在我们发现 GLM 5.3 攻陷 Firefox 的能力后，我们决定评估类似的设置是否能够攻陷 Google Chrome。我们使用了相同的测试工具和技术，截至撰写本文时，尽管在尝试中花费了约 10 万美元的 API 成本，但我们仍未能创建出同等的漏洞利用程序。

Kimi K3.1 Pro 于 10 月 23 日通过第一方 API 访问发布，权重计划于 11 月初发布。 Kimi K3.1 Pro 并未参与我们的实验，但有限的基准测试数据表明它在攻击性网络任务上的表现可能优于 GLM 5.3。我们计划在未来在更多样化的软件上测试更先进的开源模型。

对其他软件的影响

补丁间隙攻击所需的条件在整个软件行业中非常普遍。每当安全修复在到达用户之前变得可见时，攻击者就有机会对其进行逆向工程以制作漏洞利用程序。在 2026 年 9 月，我们看到了针对 Chrome 的补丁间隙漏洞利用。同月，某厂商发布了 PHP 的修补版本，时间比两个严重漏洞补丁的协调发布时间早了六个多小时。这些早期补丁可能促成了在公开发布之前数千次的漏洞利用尝试（随后在紧接着的时刻攀升至数百万次）。

虽然 Firefox 和 Chromium 是开源的，但补丁间隙也对闭源软件构成了风险。 Anthropic 证明了 Mythos 能够在没有任何项目代码公开的情况下利用 Windows 上的补丁间隙。我们没有明确测试 GLM 5.3 利用闭源项目补丁间隙的能力，但随着开放权重网络能力的持续提高，如果现在还不行，不久的将来这很可能是可能的。我们特别关注用户更新频率较低的软件，例如路由器固件或手机操作系统，因为广泛的受compromise可能会产生严重的后果，并且大多数用户拥有长得多的漏洞暴露窗口。

应对这一威胁可能需要缩短漏洞修复公开发布到整合进通用版本的时间间隔。我们在两天内制作出了漏洞利用程序，但其他攻击者可能会更快。仅仅让防御者接触到更强大的闭源模型并不能解决潜在的结构性问题；无论公开修复是如何被发现的，它本质上都标明了漏洞所在。防御者有一些手段可以缓解这些攻击，例如在安全修复准备好发布之前将其保持私密，或者更快地将其从测试版推进到正式发布。 Firefox 和 Google Chrome 都已经开始每周发布一次更新。无论采用哪种方法，都应该假定一旦漏洞修复进入已发布的代码中，攻击者就能够并且将会利用它来针对当前版本。如果多个漏洞可以被串联起来，防御者应避免同时打补丁。

结论

GLM 5.3 通过利用补丁时间差攻击，成功攻陷了最近的六个 Firefox 版本。我们使用了刻意简化的设置，尽管如此，该模型仍能在没有人工干预的情况下稳定构建出成功的漏洞利用程序，针对每个被攻陷的 Firefox 版本的边际成本约为一千美元。这些攻击依赖于一个自此之后已被修补的关键非公开漏洞，我们在 Chrome 上未能取得类似的结果（但我们认为这并不排除更强的引导或更强大的开源权重模型使类似攻击成功的可能）。

我们将这些结果视为高级网络能力扩散的证据；许多其他软件可能已经容易受到类似补丁时间差攻击的影响，我们预计随着能力更强的开源权重模型的发布，这一数量还会增加。

附录：我们实验的安全措施

注意事项

AI 模型在反编译软件（将可执行程序还原为原始源代码）方面变得非常出色。通过反编译即将推出的测试版，攻击者依然可以在应用安全修复之前查看它们，这使得即使在代码不公开的情况下，补丁时间差攻击也是可能的。Anthropic 证明了 Mythos 有能力在 Windows 上做到这一点，但我们尚未测试开源权重模型。
即使模型创建者试图添加安全护栏或训练模型拒绝某些请求，通过公开权重，其他人也可以创建能够响应任何请求的“去除护栏”（abliterated）版本，并在没有任何护栏的情况下运行它们。
运行默认安全设置的 Ubuntu 26.04，并从官方版本下载 Firefox。
156.0、156.0.1、157.0、157.0.1、158.0、158.0.1。更早的版本可能也存在漏洞，但我们在此之前没有进行系统性测试。
在成功实现文件读取后，我们尝试实现任意代码执行。截至撰写本文时，我们在最近的 Firefox 版本上还没有任何成功的代码执行记录。
成功需要串联两个主要漏洞。利用补丁时间差漏洞在网页内容进程内部实现了代码执行，而另一个独立的未公开漏洞则允许攻击使沙盒保护失效，而这些保护通常会阻止被攻陷的渲染进程访问文件系统。