研究机构 Epoch AI 10 月 30 日发布报告：智谱 8 月开源的 GLM 5.3，在实验中自主写出了针对 Firefox 的攻击程序，9 月 17 日到 10 月 26 日之间发布的 6 个 Firefox 正式版全部被攻破。
攻击效果是：用户用 Firefox 打开一个恶意网页，不需要任何点击，本地文件就会被读出并发给攻击者。模型用到的漏洞线索，来自 Mozilla 已经公开、但还没推送到正式版的安全修复。
补丁窗口期是怎么被利用的
Epoch 把这类攻击叫作利用”补丁窗口期”（patch gap）：开源项目的安全修复一旦提交到公开代码库，攻击者就能对照修改内容反推漏洞在哪，而普通用户手上的正式版要过一段时间才收到修复。
实验刻意模拟了一个资源有限、水平一般的攻击者，每个版本只给模型当时能拿到的公开信息。每次尝试最多 48 小时，最快的一次成功用了约 12 小时。其中一次，模型先利用一处内存漏洞的修复记录打开缺口，Firefox 的防护拦住了文件访问后，它又自己串上了后续几个环节。
最近几个版本的攻击更进一步：模型把一个补丁窗口期漏洞和另一个尚未公开的漏洞串在一起用。后者在 10 月 27 日发布的 Firefox 159.0 中修复。Epoch 在报告里引用的是 Mozilla 安全公告 mfsa2026-118，没有列出 CVE 编号。
“We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way.” （以这种方式使用 GLM 5.3 时，我们没有触发任何服务商的防护或拒绝，包括智谱在内。）
报告没有提到智谱对此的回应。
Firefox 和 Chrome 的结果不一样
同样的方法用在 Chrome 上没有成功，Epoch 在 Chrome 上也花了约 10 万美元算力。研究者特意提醒，这不能当成 Chrome 更安全的强证据：换更好的提示词，或者换更强的开源模型，结果可能不同。
成本上，Firefox 这部分研究总共花了超过 10 万美元的 API 费用，大头是搭建离线测试环境和前期试错；环境搭好之后，每攻一个版本约 1000 美元。
和闭源模型比，这次的不同在于模型权重是公开的。Anthropic 的 Mythos 此前也被用于漏洞挖掘，报告提到 Mythos 能反编译 Windows 二进制文件读出补丁内容，但闭源模型有服务商侧的审查和拒绝机制可以卡。GLM 5.3 的权重任何人都能下载到本地跑，服务商层面的防护管不到。报告还提到，Kimi K3.1 Pro 的权重预计 11 月初放出，早期测试显示它做这类工作可能强过 GLM 5.3。
研究者给的建议和限制
Epoch 的建议是三条：安全修复在准备好推送之前先不公开；从测试版推到正式版的速度再快一些；不要一次性修补多个可以串联利用的漏洞。Firefox 和 Chrome 现在都是每周发版，研究者认为这个速度可能仍然不够。
这份报告也有明显边界。所有实验都在研究者自建的离线模拟环境里完成，没有在真实网络中攻击任何用户；成功率按版本统计，没有更大样本的分析；作者也明确表示，不对开源模型会怎样改变网络攻防格局下结论。开源模型能否反编译闭源软件的二进制文件来读补丁，这次没有测试。
参考来源：Epoch AI 研究报告核对受影响版本范围、单次尝试时长与 API 成本；CocoLoop；Mozilla 安全公告核对 Firefox 159.0 修复记录。