AI能在用户收到更新前，将安全修复转化为可工作的漏洞利用（16分钟阅读）

# 开放权重 AI 模型可利用补丁间隙 来源：https://epoch.ai/publications/open-weight-models-patch-gap ## 概述 GLM 5.3 是由 Z.ai 于八月发布的广泛可用的开放权重模型，它能够利用已公开但尚未推送至用户的已发布安全修复，识别并利用最新版 Mozilla Firefox 浏览器中的漏洞。安全修复公开发布与最终送达用户之间的这段窗口期被称为*补丁间隙*。 在我们的实验中，GLM 5.3 利用了这一间隙，构建了一个网页——当 Firefox 用户访问该网页时，模型会从访问者的计算机中读取一个文件并将其发送给攻击者，整个过程无需用户任何进一步操作。特别值得注意的是，我们发现任何在 9 月 17 日至 10 月 26 日之间发布的 Firefox 版本，都可以利用当时已公开的信息被这种方式攻破。 补丁间隙是软件发布流程中一个已知的弱点，广泛存在于各类软件中，例如浏览器、手机操作系统和路由器固件。过去，利用这一间隙需要大量时间和专业知识，或者需要特殊渠道访问具备高级网络攻防能力的前沿模型，因此很少有攻击者能在漏洞修复前对其进行利用。 我们的核心发现是，如今广泛可用的开放权重模型可以独立完成大部分甚至全部此类工作。我们刻意设计了实验环境，以模拟一个资源有限、技术能力相对有限的攻击者所能达到的效果，仅使用每个版本发布时已公开的信息。一旦搭建完成，攻破每个 Firefox 版本的成本仅约为 1,000 美元。 在我们攻破的所有近期 Firefox 版本中，GLM 5.3 除了利用补丁间隙发现的漏洞外，还发现并利用了一个尚未公开的漏洞。我们已联系 Mozilla 团队披露了我们的发现，并讨论了缓解此类攻击的方法。Mozilla 此后发布了一个新的 Firefox 版本（159.0，于 2026 年 10 月 27 日发布），修复了此前未公开的漏洞，这应当会使 GLM 5.3 更难通过补丁间隙利用来攻破 Firefox。 开源项目尤其容易受到此类攻击，因为其代码是公开的。但我们推测，只要模型能够在发布前获取到即将进行的安全变更内容，任何软件项目都可能面临风险，包括闭源项目。^{[1](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-1)} 我们预计，随着开放权重网络攻防能力的持续提升，这一威胁将日益严重。 以下是我们在 Firefox 实验中的其他发现： - **GLM 5.3 在已有防护措施的情况下仍然成功利用了补丁间隙。** 为减缓潜在攻击者的进度，已发布的安全修复通常被伪装为普通的改进，不披露底层漏洞的详细信息。GLM 5.3 能够阅读代码并判断哪些变更与安全补丁相关。 - **我们展示的这类利用可能极其严重。** 我们使用 GLM 5.3 创建了一个网站，Firefox 用户仅需访问该网站而无需进一步操作，攻击者便可从用户的计算机中窃取文件。Firefox 拥有超过 2 亿活跃用户，此类利用可用于读取浏览器中存储的密码、窃取认证 Cookie 或查看用户计算机上的其他隐私信息。 - **在以这种方式使用 GLM 5.3 的过程中，我们没有触发任何供应商（包括 Z.ai）的安全防护或拒绝。** 我们将任务框定为安全演练，但我们的操作与真实攻击者的行为在其他方面并无区别。 - **对 Google Chrome 的类似攻击截至撰稿时尚未成功。** 我们不认为这能强有力地证明此类攻击在采用更先进的提示技巧或使用能力更强的开放权重模型（可能包括最近发布的 Kimi K3.1 Pro）的情况下也无法成功。 ## 背景 2026 年 4 月，Anthropic 发布的 Claude Mythos Preview 标志着 AI 网络安全能力的一次飞跃（https://epoch.ai/gradient-updates/are-mythos-cyber-capabilities-overhyped）。此后，前沿 AI 模型能够检测漏洞并在实际生产软件中构建复杂利用已成为共识。Anthropic 最近通过展示其内部模型如何在广泛使用的软件中发现并利用关键漏洞的案例，进一步证明了这一点（https://www.anthropic.com/research/discovering-vulnerabilities-with-claude）。 前沿 AI 实验室的应对方式是：通过 Glasswing（https://www.anthropic.com/glasswing）和 Daybreak（https://openai.com/daybreak/）等项目让部分防御方提前获得高级能力的访问权限，同时严格限制更广泛的访问。这一策略旨在让防御方能够在攻击者利用漏洞之前发现并修复它们。然而，漏洞修复公开发布与推送至所有相关软件用户之间往往存在一个间隙。这一*补丁间隙*存在于两个环节：修复在向用户发布之前已公开，以及用户在更新后仍继续运行旧版本软件。在本研究中，我们关注的是修复公开发布与正式发布之间的间隙。 软件的测试版（Beta 版）是漏洞修复在正式发布前公开的途径之一——开发者使用测试版来测试代码并发现新引入的 Bug。测试版通常比正式发布版的用户群更小，由愿意测试更新、可能不稳定功能的用户组成。对于开源项目而言，信息的公开程度更高，因为整个代码库都是公开的，即将进行的变更通常可以在测试版或"nightly"代码分支中查看。 补丁间隙是一个已知的安全问题，但历史上利用它所需的时间和专业知识限制了能够实施攻击的人员数量（且通过这种方式开发的利用本身天然具有有限的生命周期，攻击者可能选择将注意力放在其他地方）。不断进步的 AI 网络攻防能力改变了这一格局。 虽然对最强前沿模型的无限制访问（不含网络安全防护措施）受到严格管控，但开放权重模型则广泛可用，任何人都可以不受限制地获取。^{[2](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-2)} 这种开放性有利于网络防御方，能够实现主动的漏洞检测和事件响应，尤其是对于无法访问受限前沿模型的防御方。虽然我们在此关注的是攻击能力，但我们不对开放权重模型将如何影响攻防平衡做出论断。 开放权重模型过去一直无法可靠地利用补丁间隙，但其能力正在稳步提升（https://epoch.ai/eci?view=graph&tab=release-date&showFrontierTrend=true&colorCategorization=Accessibility）。为了检验这一局限是否依然存在，我们测试了 GLM 5.3——一个于 2026 年 8 月发布、广泛可用的开放权重模型——能否利用补丁间隙攻破 Firefox 的最新发布版本。Firefox 是拥有超过 2 亿活跃用户的网络浏览器（https://data.firefox.com/dashboard/user-activity）。 ## 方法 我们为 GLM 5.3 设置的任务是创建一个网页，当 Firefox 用户访问该网页时，读取其系统上的一个本地文件。^{[3](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-3)} 这可用于读取用户的私密文档、复制 Firefox 中存储的密码以及窃取认证 Cookie，使攻击者能够以用户身份登录某些在线服务。我们选择这个目标是因为它反映了一种足以对用户造成实际损害的严重攻击。 我们向模型提供了用户计算机上特定的 Firefox 版本和一些基本工具，然后让模型持续工作直到开发出成功的利用。为避免影响第三方，我们没有给模型提供互联网访问权限；相反，我们直接提供了我们认为模型可能需要的公开信息。我们仅提供目标版本发布时已公开的信息，因此模型无法利用后来才被发现的漏洞信息。 我们设计的环境大致模拟了一个技术经验最少、拥有标准开发工具的攻击者如果让模型在线运行所能达到的效果。我们通过 GLM 5.3 的第一方 API 和第三方 API 进行访问，将任务框定为安全演练。尽管我们的操作与试图针对真实用户的人在其他方面并无区别，但我们的模型使用在任何时刻都没有受到限制，也没有遇到任何拒绝。 除了基本的指令要求模型利用补丁间隙（即检查尚未合并到稳定版本中的 Bug 修复）之外，我们让模型自主运行，无需用户输入。模型自行识别即将发布的安全修复、选择漏洞并构建了复杂的利用链。 ## 结果 GLM 5.3 成功对 9 月 17 日至 10 月 26 日之间发布的所有六个 Firefox 版本开发出了攻击方案，^{[4](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-4)} 仅使用了每个版本发布时已公开的信息。访问模型构建的网页会促使浏览器读取本地文件并将其内容发送至攻击者的服务器，无需用户任何进一步操作。^{[5](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-5)} 这些攻击在开发过程中耗费了模型大量精力。在一次尝试中，GLM 5.3 利用即将发布的 Firefox 修复识别了一个内存安全缺陷，然后开发出一种在浏览器内读取和修改内存的方法，但 Firefox 的安全防护仍然阻止了模型读取目标文件。模型的最终攻击将初始利用与多个额外的攻击阶段组合起来，以绕过剩余的安全层级。模型诊断崩溃、放弃无效的方法，并不断迭代方案，直至仅访问网页即可获取文件。我们给了 GLM 5.3 最多 48 小时来寻找利用方案，但其最快的一次尝试仅用了 12 小时。 除了通过补丁间隙发现的漏洞外，我们对最新 Firefox 版本的攻击还依赖了一个尚未公开的漏洞，模型在每次尝试中都重新发现了该漏洞。这使它能够将有限的浏览器控制权限升级为从计算机中读取文件的能力。^{[6](https://epoch.ai/publications/open-weight-models-patch-gap#user-content-fn-6)} 我们已将该漏洞分享给 Mozilla，该漏洞已在 10 月 27 日发布的 Firefox 159.0 版本中修复（https://www.mozilla.org/en-US/security/advisories/mfsa2026-118/）。鉴于此补丁，我们尚未确认类似的攻击在 159.0 上是否仍然有效，但我们认为它至少应当会使攻击变得更加困难。 我们针对 Firefox 的研究总花费（API 成本）超过了 100,000 美元，包括搭建真实离线环境的实验和初步测试。然而，一旦我们开发出了实验框架并正确引导了 GLM 5.3 的方向，攻破浏览器就变得便宜且可靠。按照 API 定价，我们攻破一个新 Firefox 版本的边际成本约为 1,000 美元，如果使用订阅账户，成本可能还会更低。 一个不担心让具备互联网访问权限的自主智能体开发利用方案所带来的风险的攻击者，可以通过让模型直接获得无限制的互联网访问权限，而非费力地在沙箱中离线运行，从而以更低成本、更简便的方式复制我们的实验环境。 在发现 GLM 5.3 具备攻破 Firefox 的能力后，我们决定评估类似的环境是否能够攻破 Google Chrome。我们使用了相同的实验框架和技术，但截至撰稿时，尽管在 API 成本上花费了约 100,000 美元进行尝试，仍未成功创建等效的利用方案。 Kimi K3.1 Pro 于 10 月 23 日通过第一方 API 发布，其模型权重计划于 11 月初发布。Kimi K3.1 Pro 尚未纳入我们的实验，但有限的基准测试数据（https://www.kimi.ai/blog/kimi-k3-1-pro#:~:text=impact%20on%20valuations.-,Cybersecurity,-As%20K3.1%20Pro）表明它在攻击性网络任务上可能优于 GLM 5.3。我们计划在未来对更先进的开放模型在更多种类的软件上进行测试。 ## 对其他软件的影响 补丁间隙攻击所需的条件在整个软件行业中都很常见。每当安全修复在到达用户之前变得可见，攻击者就有机会将其逆向工程为可利用的攻击方案。2026 年 9 月，我们看到了针对 Chrome 的补丁间隙利用（https://www.proofpoint.com/us/blog/threat-insight/once-bluemoon-multiple-state-aligned-threat-actors-rapidly-adopt-novel-exploit）。同月，一个供应商在两个关键漏洞的协调补丁发布之前超过六小时就发布了已修复的 PHP 构建版本（https://socket.dev/blog/php-embargo-dispute）。这些提前发布的补丁可能导致了在公开发布前就出现了数千次利用尝试（https://officechai.com/stories/cloudflare-ceo-says-php-exploit-attempts-went-from-thousands-to-millions-within-hours-of-disclosure/）（随后在公开发布后迅速攀升至数百万次）。 虽然 Firefox 和 Chromium 是开源的，但补丁间隙同样对闭源软件构成风险。Anthropic 已经证明 Mythos 能够在没有任何项目代码公开的情况下利用 Windows 的补丁间隙（https://www.anthropic.com/research/n-days）。我们没有明确测试 GLM 5.3 在闭源项目上利用补丁间隙的能力，但随着开放权重网络攻防能力的持续提升，这在不久之后就可能实现——如果不是已经实现的话。我们特别担忧用户更新频率较低的软件，如路由器固件或手机操作系统，因为大规模入侵可能造成严重后果，而大多数用户的漏洞暴露窗口也更长。 应对这一威胁可能需要缩短漏洞修复公开发布到纳入正式版本之间的间隔。我们在两天内就创建了利用方案，但其他攻击者可能更快。仅仅向防御方提供更强的闭源模型访问权限并不能解决根本的结构性问题；一个公开的修复，无论其如何被发现，本质上都标志着漏洞的位置。防御方可以采取几项措施来缓解这些攻击，例如在修复准备好发布之前保持其私密性，或更快地将修复从测试版推送到正式版。Firefox（https://groups.google.com/a/mozilla.org/g/dev-platform/c/yy4p-jmWDy8?pli=1）和 Google Chrome（https://blog.google/security/chrome-stronger-with-every-update/）都已开始每周发布更新。无论采取哪种方法，都应假定一旦漏洞修复出现在已公开的代码中，攻击者就能够且一定会利用它来攻击当前发布版本。防御方应尽量避免同时修复多个可以被串联利用的漏洞。 ## 结论 GLM 5.3 通过利用补丁间隙攻破了六个最新的 Firefox 发布版本。我们使用了刻意简化的实验环境，但模型仍然能够在无人工输入的情况下可靠地构建出成功的利用方案，攻破每个 Firefox 版本的边际成本约为一千美元。这些攻击依赖于一个关键的非公开漏洞，该漏洞现已修复，且我们未能在 Chrome 上实现类似的结果（但我们不认为这排除了使用更好的提示技巧实现类似攻击的可能性）。