«Мы рассматриваем эти результаты как свидетельство распространения продвинутых кибервозможностей», — заявили исследователи Epoch AI. В эксперименте модель с открытыми весами GLM 5.3 самостоятельно создавала атаки на Firefox, изучая публичные изменения кода, которые ещё не превратились в обновления для пользователей. Подготовленная моделью веб-страница могла прочитать локальный файл на компьютере посетителя и отправить его на сервер атакующего.
Исследователи проверили шесть выпусков Firefox, вышедших с 17 сентября по 26 октября 2026 года. Для каждой версии они подготовили среду с целевым браузером, базовыми инструментами и общедоступной информацией. Получив инструкцию изучить промежуток между публикацией исправления и его доставкой, GLM 5.3 работала без вмешательства человека: находила изменения, связанные с безопасностью, выбирала уязвимости и собирала из них цепочку атаки.
Самая быстрая успешная попытка заняла 12 часов, на каждую исследователи отводили не больше 48 часов. По данным Epoch AI, после подготовки среды расходы на API составляли около $1000 (около 81 000 ₽) на одну успешно атакованную версию. Это стоимость проведённых испытаний, а не фиксированная цена создания подобного эксплойта в других условиях.
Как модель обходила защиту Firefox
Уязвимость удобнее искать, когда исправление уже видно в коде, а затронутая версия программы ещё используется. Изменение подсказывает, где разработчик обнаружил проблему. Firefox маскирует часть исправлений безопасности под обычные изменения, чтобы не раскрывать их назначение раньше времени, но GLM 5.3 смогла отличить их от рядовых доработок.
В одном из испытаний модель распознала по готовящемуся исправлению ошибку работы с памятью и нашла способ читать и изменять память браузера. Этой уязвимости оказалось недостаточно для доступа к файлу: дополнительные защитные механизмы остановили атаку. Тогда GLM 5.3 добавила другие этапы, чтобы преодолеть оставшиеся барьеры.
Во всех успешных испытаниях модель использовала также ранее неизвестную уязвимость и каждый раз находила её заново. Она позволяла выйти за пределы изолированного процесса браузера, или «песочницы», и прочитать файл с компьютера. Посетителю страницы не нужно было ничего делать. Эксперимент подтвердил доступ к файлам, но не полный контроль над устройством; исследователи не сообщают о нападениях на реальных пользователей.
Epoch AI сообщила Mozilla об обнаруженной бреши. Её закрыли в Firefox 159.0, выпущенном 27 октября. Исследователи не подтвердили, что аналогичная атака работает на этой версии, и считают, что после исправления провести её стало как минимум существенно сложнее. Испытания на прежних выпусках не показывают, как поведёт себя обновлённый браузер.
Испытания Chrome и промежуток между заплатками
Похожую атаку команда пыталась построить для Google Chrome. Она потратила около $100 000 (около 8,1 млн ₽) на обращения к API, но не получила сопоставимого результата. Авторы исследования подчёркивают: неудача в этих условиях не доказывает неуязвимость Chrome. Результат может измениться при других методах работы с моделью или использовании более способной модели.
Риск касается не только браузеров и программ с открытым кодом. Исследователи относят его также к мобильным операционным системам и прошивкам роутеров. В открытых проектах изменения можно изучать напрямую; для закрытого ПО подсказкой могут служить опубликованные исправления. Проблема сохраняется, пока сведения об уязвимости доступны раньше, чем защита установлена у пользователей.
Epoch AI советует разработчикам не раскрывать исправления до готовности распространить их и сокращать промежуток между тестовой и общедоступной версией. Команда также рекомендует не публиковать одновременно заплатки для нескольких уязвимостей, если их можно объединить в одну цепочку атаки. Mozilla сообщает, что Firefox перешёл на еженедельные обновления и откладывает публикацию тестов на исправленные ошибки до выхода заплаток: без таких тестов GLM 5.3 справляется заметно хуже.
Более частые релизы сокращают время ожидания исправления, но браузер на конкретном компьютере может обновиться позже. В испытаниях Epoch AI результат зависел и от версии Firefox, и от отдельной уязвимости, закрытой 27 октября. Работающая цепочка для шести проверенных выпусков не доказывает, что такую же атаку можно провести на Firefox 159.0.
