El instituto de investigación Epoch AI publicó el 30 de octubre un informe: GLM 5.3, el modelo que Zhipu AI abrió en agosto, escribió de forma autónoma en el experimento programas de ataque contra Firefox, y las 6 versiones estables de Firefox lanzadas entre el 17 de septiembre y el 26 de octubre fueron comprometidas.
El efecto del ataque es el siguiente: el usuario abre una página maliciosa con Firefox y, sin necesidad de hacer clic en nada, se leen archivos locales y se envían al atacante. Las pistas de vulnerabilidad que usó el modelo procedían de correcciones de seguridad que Mozilla ya había hecho públicas pero que aún no habían llegado a la versión estable.
Cómo se aprovecha la ventana de parcheo
Epoch llama a este tipo de ataque explotación de la «ventana de parcheo» (patch gap): cuando una corrección de seguridad de un proyecto de código abierto se sube al repositorio público, el atacante puede comparar los cambios y deducir dónde está la vulnerabilidad, mientras que la versión estable que usa la gente tarda un tiempo en recibir el arreglo.
El experimento simuló a propósito a un atacante con recursos limitados y habilidad media, y para cada versión solo se dio al modelo la información pública disponible en ese momento. Cada intento duró como máximo 48 horas, y el éxito más rápido tardó unas 12 horas. En uno de los casos, el modelo abrió primero una brecha a partir del registro de corrección de un fallo de memoria; cuando las defensas de Firefox bloquearon el acceso a archivos, encadenó por su cuenta los eslabones siguientes.
En las versiones más recientes, el ataque fue más allá: el modelo combinó una vulnerabilidad de la ventana de parcheo con otra aún no divulgada. Esta última se corrigió en Firefox 159.0, publicado el 27 de octubre. En su informe, Epoch cita el aviso de seguridad de Mozilla mfsa2026-118 y no enumera números CVE.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(Al usar GLM 5.3 de esta manera, no activamos ninguna salvaguarda ni rechazo de ningún proveedor, incluida Zhipu AI.)
El informe no menciona ninguna respuesta de Zhipu AI.
Los resultados en Firefox y Chrome difieren
El mismo método no funcionó con Chrome, en el que Epoch también invirtió unos 100.000 dólares de cómputo. Los investigadores advierten expresamente de que esto no debe tomarse como prueba sólida de que Chrome sea más seguro: con mejores prompts, o con un modelo abierto más potente, el resultado podría ser distinto.
En cuanto a costes, solo la parte de la investigación sobre Firefox costó más de 100.000 dólares en tarifas de API, en su mayoría por montar el entorno de pruebas sin conexión y por los ensayos iniciales; una vez listo el entorno, cada versión atacada costó alrededor de 1.000 dólares.
Frente a los modelos cerrados, la diferencia esta vez es que los pesos del modelo son públicos. Mythos, de Anthropic, también se ha utilizado antes para buscar vulnerabilidades; el informe menciona que Mythos puede descompilar binarios de Windows para leer el contenido de los parches, pero en los modelos cerrados existen mecanismos de revisión y rechazo por parte del proveedor que pueden frenar el uso. Los pesos de GLM 5.3 los puede descargar cualquiera y ejecutarlos en local, fuera del alcance de las protecciones del proveedor. El informe también señala que los pesos de Kimi K3.1 Pro se publicarán previsiblemente a principios de noviembre, y que las primeras pruebas indican que podría rendir mejor que GLM 5.3 en este tipo de trabajo.
Recomendaciones y límites que señalan los investigadores
Epoch propone tres recomendaciones: no hacer públicas las correcciones de seguridad hasta que estén listas para distribuirse; acelerar aún más el paso de la versión de pruebas a la estable; y no corregir de una sola vez varias vulnerabilidades que puedan encadenarse. Firefox y Chrome publican ahora versiones cada semana, y los investigadores creen que incluso ese ritmo podría seguir siendo insuficiente.
El informe también tiene límites claros. Todos los experimentos se realizaron en un entorno de simulación sin conexión montado por los propios investigadores, sin atacar a ningún usuario en redes reales; las tasas de éxito se cuentan por versión, sin un análisis con muestras mayores; y los autores afirman expresamente que no extraen conclusiones sobre cómo cambiarán los modelos abiertos el equilibrio entre ataque y defensa en la red. Si los modelos abiertos pueden descompilar los binarios de software cerrado para leer parches no se probó en esta ocasión.
Fuentes: informe de investigación de Epoch AI (contraste del alcance de versiones afectadas, duración por intento y coste de API); CocoLoop; aviso de seguridad de Mozilla (contraste del registro de corrección en Firefox 159.0).