GLM 5.3 把 Firefox 公開修補讀成漏洞：六版各約 1,000 美元、最快 12 小時；159.0 沒重測、Chrome 十萬沒打穿

使用者只要打開那個網頁，Firefox 就會去讀本機上的一個檔案，再把內容送到攻擊端的伺服器。不用再點、不用下載、不用同意權限。Epoch AI 說，這是 開放權重 大型語言模型 GLM 5.3 在實驗裡對六個近期穩定版做出來的結果：156.0、156.0.1、157.0、157.0.1、158.0、158.0.1，對應 9 月 17 日到 10 月 26 日之間釋出的每一個正式版。報告作者是 Aiden Ament、Yafah Edelman、Alexander Barry、Timothée Chauvin、Lee Bousfield、Jaeho Lee，標成 10 月 29 日。

能讀到的不只是隨便一個文字檔。Epoch 把目標寫成：讀使用者的私人文件、複製瀏覽器裡存的密碼、偷驗證 cookie，讓攻擊端有機會以使用者身分登進部分線上服務。Firefox 官方活躍用戶寫超過 2 億。這條鏈在實驗裡成立，不代表網路上已經看到大規模利用；Mozilla 的 159.0 安全公告也沒寫「野外已遭利用」。

邊際成本才是這份報告真正想釘住的數字。前置工作加上試跑，API 花費超過 10 萬美元；harness 一旦就緒、模型被指向「去看還沒進穩定版的修補」，再打一個新版本大約 1,000 美元。最快一次 12 小時走完，上限給 48 小時。訂閱制帳號可能更便宜。攻擊者若直接讓模型連網、不去搭離線沙盒，Epoch 自己寫：會更便宜、也更容易複製。

六個穩定版，同一條「打開就讀檔」的鏈

測試環境是 Ubuntu 26.04 預設安全設定，Firefox 從官方發行通道下載。模型沒有外網。公開資訊由研究人員在容器裡直接提供，而且只給「該版本釋出當下已經存在」的材料，後續才曝光的漏洞說明不進場。指定的目標很窄：做一個網頁，Firefox 使用者打開之後，讀本機檔、送到攻擊端。

「沒有人類介入」只涵蓋每一輪開始之後。版本、工具、公開材料、離線環境都是人先備好的；模型再自己找即將進來的安全修補、選洞、組多段鏈。基本指示是去看穩定版還沒吃進去的修補。The Decoder、Inferama、RuntimeWire 後續轉述同一組版本與同一條約 1,000 美元的邊際成本，沒有第二家實驗室公開重做這六條鏈。

更早的發行版 Epoch 認為「很可能也脆弱」，但沒有系統性往前測。讀檔成功之後，他們試過把目標升高到任意程式碼執行，截至發文，近期 Firefox 穩定版沒有成功案例。Inferama 特別把這句標出來：報告支持的是「讀檔鏈在受測版本成立」，不是「這套攻擊在 159.0 仍可用」，也不是「GLM 5.3 在這些版本拿到任意程式碼執行」。

修補被故意寫成普通改進、不公開底層漏洞細節，這是瀏覽器圈用來拖慢對手的舊作法。對網路安全團隊來說，公開修補本身就是一份說明書。GLM 5.3 仍從程式碼 diff 裡辨出哪些提交其實是安全修補。Epoch 寫：現有的混淆對它不夠。

其中一輪可以當節奏看。模型先從即將進來的修補認出記憶體安全缺陷，做出在瀏覽器裡讀寫記憶體的方法；Firefox 其餘防護仍擋住目標檔。它丟掉失敗路徑、診斷崩潰、再疊好幾段，最後變成「打開網頁就夠」。這不是單點 PoC，是一條被防護層逼出來的組合拳。

公開修補只夠進內容行程，出沙盒靠另一顆洞

附註寫得很乾。成功需要兩顆主漏洞串在一起：補丁窗口裡那顆，用來在網頁內容行程裡取得程式碼執行；另外一顆當時還沒公開的洞，用來繞過沙盒，讓就算渲染行程被拿下，本來也不該碰到檔案系統的防護失效。沒有第二顆，讀檔這一步走不完。

Epoch 把這顆未公開洞通報 Mozilla。Firefox 159.0 在 10 月 27 日推出，官方發行說明只在 Fixed 列寫 various security fixes；安全公告是 MFSA 2026-118，影響等級 High。Mozilla 改了公告格式：內部找到的記憶體安全問題不再捆成一張 CVE，改成一洞一號。pwn.watch 點過這份清單：159 修了 167 個 CVE，108 個 High、52 個 Moderate、7 個 Low；其中 13 個是沙盒逃逸，分佈在 WebRender、Canvas WebGL、XPCOM、列印預覽、Form Manager 等元件。公告沒有點名 Epoch，也沒有寫「野外已遭利用」。ESR 對應的是 153.6 與 115.44。

Epoch 的句子是：159.0 應該讓後續的補丁窗口攻擊「至少明顯更難」；他們還沒確認類似攻擊能不能在 159.0 上再走一次。這兩個陳述差一截。修補存在，是文件事實；完整鏈被切斷，是尚未做完的驗證。

Hacker News 討論串裡，Mozilla 工程師用帳號 mozdeco 補了一層瀏覽器常識：內容行程（Firefox 叫 ContentProcess）才是先接觸不可信網頁的行程，被拿下也不等於整機失守；要再打穿更高權限行程，才出得了沙盒。所以「渲染行程遠端執行」單獨成立，仍不是讀檔或任意程式碼執行。Epoch 的鏈正好踩在這兩層都有洞、而且其中一層的修補已經被人看見的窗口上。

Mozilla：週更、把回歸測試藏到出貨後，下一步想把兩層修補錯開

Firefox 工程副總裁 Bobby Holley 同一天發了官方部落格《Defending the patch gap against automated attackers》。他承認 GLM 5.3 已經能把「更強模型先挖出來、再以修補形式公開」的洞，在使用者還沒更新前還原成攻擊。補丁窗口被寫成幾十年的老問題；過去要速度跟手藝，現在大型語言模型把門檻拉低。

Holley 給了三個已經在跑的動作。發行週期今年稍早砍半，穩定版改週更。回歸測試先不公開——他們觀察到 GLM 5.3 在沒有回歸測試可對的時候，補丁窗口攻擊明顯變差。所有新提交都拿模型掃過，趕在進穩定版前抓新引入的洞。從 2 月起，Firefox 團隊用 Anthropic 與 OpenAI 的前沿 AI 模型做早期存取；Holley 寫，相較 2025 年同期，安全修補量超過七倍。這條線 3 月就寫過一截，見Anthropic 與 Mozilla 聯手補 Firefox。

結構性作法還在進工程流程。瀏覽器要過關，攻擊者通常至少要同時有渲染行程漏洞和沙盒逃逸。Mozilla 打算把這兩類修補的公開窗口錯開：同一個補丁窗口裡，只讓其中一層的修補被人看見。攻擊者若要組完整鏈，就必須自己從零找到另一層、而且是前沿模型到目前還沒掃出來的那顆。Holley 寫這需要跨團隊協調，可能要一段時間，不能為了改流程把修洞速度拖慢。mozdeco 在討論串把同一句講得更白：把補丁窗口完全關掉做不到；眼下能做的，是不要讓「渲染行程修補」和「沙盒逃逸修補」出現在同一段窗口。

一旦漏洞修補進了已公開的程式碼，就該假設攻擊者能夠、也會拿它去打當前的穩定版。

這句是 Epoch 對維護者的結論，不是 Mozilla 的原文。Holley 補的是開源立場：Firefox 跟 Chrome 的開源碼讓人比較容易看修補，但現代工具愈來愈能從二進位反編譯出原始碼，藏原始碼頂多是減速帶；Firefox 不打算為此關開源。

對還停在 158.x 的人，能做的具體動作很短：更新到 159.0 或對應 ESR。這只縮短「已知修補還沒裝上」的暴露，不證明機器上沒有別的洞，也不等於 Epoch 那條完整鏈已經被獨立複測過。

十萬美元搭場，一千美元打下一版

10 萬美元和 1,000 美元常被寫在同一句，這兩個數字管的不是同一件事。超過 10 萬美元含搭建逼近真實的離線環境、以及前期試跑；約 1,000 美元是 harness 就位之後，再指向下一個 Firefox 版本的邊際 API 費。價格跟當時的 API 價、跑法綁在一起，不是「街上買一次攻擊的市價」。

攻擊者若不管「讓自主代理連網去寫漏洞」的風險，Epoch 認為不必重做這套離線沙盒。換句話說，防禦端看到的 10 萬美元，有一大部分是研究者為了自己不要誤傷第三方而付的隔離成本。

評估基礎設施本身也被寫進附錄。專用雲端實例，跟 Epoch 其他評測叢集分開；模型無網路，需要的資源直接放進容器；近即時監控，有人值班看告警、必要時停跑。有一次 LLM 監控發現部分壞掉的環境讓代理做出沙盒外動作——沒有外網、也不是惡意利用——他們暫停了全部實驗。下一批更強的網攻模型，他們打算先把這層再加固。

Z.ai 與其他 API 供應商在整段過程裡沒有拒答、也沒有觸發防護欄。任務被寫成安全演練，Epoch 說實際操作「跟真的要打使用者的人無法區分」。這句要跟八月那份能力評估放在一起看，而不是單獨當成「模型沒有安全層」。

八月就接近 Mythos 的網攻分數，防護欄不是這次才失效

GLM 5.3 8 月由智譜（對外 Z.ai）放出，是同一基礎模型做純後訓練的產物，細節見當時的發表稿。官方當時把網攻寫成「湧現能力」：CyberGym 84.5%（GLM 5.2 為 77.2%，其比較欄的 Mythos 5 為 83.8%、GPT-5.6 Sol 為 83.6%）；ExploitBench 54.4%，比 5.2 的 24.4% 多一倍有餘，仍落後 Mythos 5 的 78.0% 與 Sol 的 76.5%。權重延後兩週，理由是安全評估。Z.ai 還寫，與中國數支安全團隊對真實程式庫跑過之後，經專家審核、篩選、去重，模型在 269 個專案裡標出 2,436 個漏洞，其中 1,097 個中高危。

Anthropic 隨後發過〈GLM-5.3 and the spread of advanced cyber capabilities〉。ExploitBench（針對 Chrome 用的 V8）上，GLM 5.3 在 410 次嘗試裡做出 50 次端到端漏洞利用，Claude Mythos Preview 是 56 次。內部二元利用基準、100 題隨機抽樣，完整控制流劫持 GLM 5.3 為 4%、Mythos Preview 為 6%；前代 Claude Opus 4.6 與 GLM 5.2 是 0%。防護欄在其模擬測試裡，簡單手法就能以 64% 到 100% 的比例繞過；同一套測法沒有打穿有防護的 Claude。Anthropic 也寫過研究人員用 GLM 5.3 在沙盒 Linux 瀏覽器組出「打開網頁就讀任意檔」的鏈，並已向維護者揭露——那是另一場、較早的人工盯場實驗，不是 Epoch 這次對六個穩定版的系統性重跑。

前沿實驗室把最強網攻能力鎖給防禦端的作法，今年寫過不只一次：Glasswing 給 Anthropic 側，Daybreak 給 OpenAI 側。Epoch 的重點是：這套「先給防禦、限制公開」擋不住已經放權重的模型。權重在誰硬碟上，防護欄就只是可被拿掉的一層。報告附註寫，即使原廠加拒答，別人也能做會照做任何請求的消融版，在無防護環境跑。

Chrome 十萬美元沒過，不代表 Chrome 免疫

同一套 harness、同一套手法，打 Google Chrome，API 又花了約 10 萬美元，沒有做出對等的讀檔鏈。Epoch 自己把這句收窄：這不是強證據，說明更細的誘發、或更強的開放權重模型做不到。點名的下一顆是 Kimi K3.1 Pro——官方 API 已開、權重預計 11 月 4 日前放。它沒進這次實驗。Epoch 只說有限基準顯示它在攻擊性網攻任務上可能超過 GLM 5.3，之後會拿更強的開放模型去打更多軟體。

9 月已經出現打 Chrome 的補丁窗口利用，Epoch 當背景寫，沒有說那是 GLM 5.3 做的。同月有供應商把 PHP 修補建置公開，比兩顆嚴重漏洞的協調釋出早了六小時以上；Epoch 轉述外部報導，這段提前可能對上公開前的數千次利用嘗試，正式釋出後再爬到數百萬。本站 10 月下旬寫過另一條相關線：php2shell 藏了超過十年，那是舊洞被模型做出未登入遠端執行，不是補丁窗口，但「公開資訊變成可執行攻擊」的節奏是同一類。

閉源也不是護身符。Anthropic 展示過 Mythos 在沒有公開原始碼的情況下，對 Windows 做補丁窗口利用。Epoch 沒有拿 GLM 5.3 測閉源專案。他們更擔心更新很慢的東西：路由器韌體、手機作業系統。使用者窗口不是「穩定版釋出前那幾天」，而是「機器上還停在舊版的那幾個月」。Holley 把同一判斷寫到產業層：10 月漏洞揭露和利用活動明顯上升，兩邊都拿到更強的模型；Firefox 自認進場時已經掃過一輪，許多撐著網路的軟體沒有這段準備期。

Hacker News 上有人寫：開放權重至少讓防禦端跟攻擊端用同一套能力，比「只有少數實驗室摸得到」對稱。mozdeco 的回覆是，他認為長期仍偏防禦——潛在洞是有限的，用同一套模型掃提交，最後會得到比現在乾淨的程式庫——但過渡期會先出現「洞變多、修補變多、補丁窗口可變現的 diff 也變多」。另一則留言把不對稱講在資源：預算夠的攻擊者跑得起 GLM 5.3；大量維護者還不會自己跑本地模型，更別說編譯 Firefox。

Z.ai 這週稍早還有另一條完全不同的新聞：Cloudflare 上的 GLM-5.3 端點讀到別人的 KV 快取。那是推理服務的租戶隔離，不是這次的補丁窗口。模型名字相同，事件主線不要併在一起。

補丁窗口關不掉，週更只是把窗口削薄。Mozilla 現在賭的是：同一段公開窗口裡，不要同時交出渲染行程和沙盒逃逸兩種材料。這套錯開有沒有進 159 之後的發行列車，官方部落格只說「會採用」「需要時間」。Epoch 會不會對 159.0 重跑完整鏈，報告沒排期。Kimi K3.1 Pro 的權重還沒放到本次 harness 裡。這三件事哪一件先落地，比再爭論「開放權重該不該存在」更接近接下來能核對的事實。