Das Forschungsinstitut Epoch AI hat am 30. Oktober einen Bericht veröffentlicht: GLM 5.3, das Zhipu AI im August als Open Source freigegeben hat, schrieb im Experiment eigenständig Angriffscode für Firefox. Alle sechs Firefox-Release-Versionen, die zwischen dem 17. September und dem 26. Oktober erschienen sind, wurden geknackt.
Der Angriff funktioniert so: Öffnet ein Nutzer in Firefox eine bösartige Webseite, werden ohne jeden Klick lokale Dateien ausgelesen und an den Angreifer geschickt. Die Hinweise auf Schwachstellen, die das Modell nutzte, stammten aus Sicherheitsfixes, die Mozilla bereits veröffentlicht, aber noch nicht in die Release-Version ausgeliefert hatte.
Wie das Patch-Fenster ausgenutzt wird
Epoch bezeichnet diese Angriffsart als Ausnutzung des „Patch Gap“: Sobald ein Sicherheitsfix eines Open-Source-Projekts im öffentlichen Code-Repository landet, kann ein Angreifer anhand der Änderung zurückrechnen, wo die Lücke liegt, während die Release-Version der normalen Nutzer den Fix erst einige Zeit später erhält.
Das Experiment simulierte bewusst einen Angreifer mit begrenzten Ressourcen und durchschnittlichem Können; für jede Version bekam das Modell nur die zu diesem Zeitpunkt öffentlich verfügbaren Informationen. Jeder Versuch dauerte höchstens 48 Stunden, der schnellste erfolgreiche Versuch rund 12 Stunden. In einem Fall öffnete das Modell zunächst mit dem Fix-Eintrag zu einer Speicherlücke eine Bresche; als Firefox’ Schutzmechanismen den Dateizugriff blockierten, verkettete es von sich aus mehrere weitere Schritte.
Bei den jüngsten Versionen gingen die Angriffe noch weiter: Das Modell kombinierte eine Patch-Gap-Schwachstelle mit einer weiteren, noch nicht veröffentlichten Lücke. Diese wurde in Firefox 159.0 vom 27. Oktober behoben. Epoch verweist in dem Bericht auf die Mozilla-Sicherheitsmeldung mfsa2026-118 und nennt keine CVE-Nummer.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(Bei dieser Nutzung von GLM 5.3 haben wir bei keinem Anbieter Schutzmechanismen oder Ablehnungen ausgelöst, auch nicht bei Zhipu AI.)
Der Bericht erwähnt keine Reaktion von Zhipu AI darauf.
Bei Firefox und Chrome fielen die Ergebnisse unterschiedlich aus
Dieselbe Methode funktionierte bei Chrome nicht, obwohl Epoch auch dafür rund 100.000 US-Dollar an Rechenleistung aufwandte. Die Forschenden warnen ausdrücklich, dies sei kein starker Beleg dafür, dass Chrome sicherer ist: Mit besseren Prompts oder einem stärkeren Open-Source-Modell könnte das Ergebnis anders ausfallen.
Bei den Kosten summierte sich allein der Firefox-Teil der Studie auf über 100.000 US-Dollar an API-Gebühren, der Großteil davon für den Aufbau der Offline-Testumgebung und frühe Fehlversuche; sobald die Umgebung stand, kostete jede angegriffene Version etwa 1.000 US-Dollar.
Im Vergleich zu Closed-Source-Modellen liegt der Unterschied diesmal darin, dass die Modellgewichte öffentlich sind. Auch Anthropics Mythos wurde zuvor für die Schwachstellensuche eingesetzt; laut Bericht kann Mythos Windows-Binärdateien dekompilieren, um Patch-Inhalte auszulesen, doch bei Closed-Source-Modellen können Prüf- und Ablehnungsmechanismen auf Anbieterseite einen Riegel vorschieben. Die Gewichte von GLM 5.3 kann jeder herunterladen und lokal ausführen, Schutzmaßnahmen auf Anbieterebene greifen dort nicht. Der Bericht erwähnt außerdem, dass die Gewichte von Kimi K3.1 Pro voraussichtlich Anfang November erscheinen und frühe Tests darauf hindeuten, dass es für solche Aufgaben stärker sein könnte als GLM 5.3.
Empfehlungen und Grenzen der Studie
Epoch gibt drei Empfehlungen: Sicherheitsfixes erst veröffentlichen, wenn sie zur Auslieferung bereit sind; den Weg von der Testversion in die Release-Version weiter beschleunigen; und nicht mehrere Schwachstellen auf einmal beheben, die sich verketten lassen. Firefox und Chrome erscheinen inzwischen beide wöchentlich, doch die Forschenden halten auch dieses Tempo womöglich für nicht ausreichend.
Der Bericht hat zudem deutliche Grenzen. Alle Experimente liefen in einer von den Forschenden selbst aufgebauten Offline-Simulationsumgebung; im echten Netz wurde kein Nutzer angegriffen. Die Erfolgsquoten werden pro Version erfasst, eine Analyse mit größerer Stichprobe liegt nicht vor. Die Autoren betonen ausdrücklich, dass sie keine Aussage darüber treffen, wie Open-Source-Modelle das Kräfteverhältnis zwischen Angriff und Verteidigung im Netz verändern werden. Ob Open-Source-Modelle die Binärdateien von Closed-Source-Software dekompilieren können, um Patches auszulesen, wurde diesmal nicht getestet.
Quellen: Forschungsbericht von Epoch AI (betroffene Versionen, Dauer je Versuch und API-Kosten abgeglichen); CocoLoop; Mozilla-Sicherheitsmeldung (Fix-Eintrag in Firefox 159.0 abgeglichen).