Epoch AI 实验：开源权重模型 GLM 5.3 利用“补丁空窗期”自主攻破 6 个 Firefox 版本，每个约 1000 美元

核心背景与行业痛点

安全修复往往先出现在 beta 或 nightly 版本、公开代码仓库里，过一段时间才推送给普通用户，这段时间叫“补丁空窗期”（patch gap）。过去要把一段被刻意写成普通改进的修复代码逆推成可用攻击，需要大量时间和高水平人员，或者只有拿到受限前沿模型（如 Anthropic 的 Claude Mythos Preview）的人才做得到。独立研究机构 Epoch AI 这次想验证：任何人都能下载的开源权重模型，是否已经能做这件事。

架构亮点与底层机制

Epoch 选了 Z.ai 8 月发布的 GLM 5.3，通过官方和第三方 API 调用，把任务包装成安全演练，只给“去看还没并入正式版的修复”这一条基本指令，其余全部由模型自主完成：识别哪些提交是安全修复、挑选漏洞、写内存读写原语、诊断崩溃、放弃失败路线，最后串成多级攻击链，做出一个网页，Firefox 用户打开即会把本地文件发给攻击者。每次攻击中，模型还会自己重新发现一个此前未公开的漏洞，用来突破浏览器沙箱读文件。

权威 Benchmark 与实测跑分对比

以下为 Epoch 报告口径：9 月 17 日至 10 月 26 日的 6 个 Firefox 版本全部攻破；每个版本边际成本约 1000 美元，时间上限 48 小时，最快 12 小时；整个 Firefox 研究（含离线沙箱搭建）API 花费超过 10 万美元；同一套方法再花约 10 万美元攻 Chrome，暂未成功。全程没有触发拒答。Mozilla 已在 10 月 27 日的 Firefox 159.0 修复那个未公开漏洞，修复后攻击是否仍可行，Epoch 表示尚未确认。这不是标准化跑分，而是一次能力评估，结果目前没有第三方复现。

开发者实战落地与开箱指南

普通用户和企业 IT 应尽快把 Firefox 升到 159.0 或更新版本，并缩短自动更新延迟。做开源软件的团队要重新评估“修复先公开、发布后推送”的流程，尽量压缩修复公开到正式发布的时间，Epoch 认为单靠给防守方更强的闭源模型解决不了这个结构性问题。路由器固件、手机系统等更新慢的软件风险更高。Epoch 还提到 Kimi K3.1 Pro 的进攻能力可能更强，计划后续测试更多开源模型和软件。