L’institut de recherche Epoch AI a publié le 30 octobre un rapport : GLM 5.3, le modèle que Zhipu AI a ouvert en août, a écrit de manière autonome, lors de l’expérience, des programmes d’attaque contre Firefox, et les 6 versions stables de Firefox sorties entre le 17 septembre et le 26 octobre ont toutes été compromises.
L’effet de l’attaque est le suivant : l’utilisateur ouvre une page web malveillante dans Firefox et, sans aucun clic, des fichiers locaux sont lus et envoyés à l’attaquant. Les indices de vulnérabilité exploités par le modèle provenaient de correctifs de sécurité que Mozilla avait déjà rendus publics mais qui n’avaient pas encore été déployés dans la version stable.
Comment la fenêtre de correctif est exploitée
Epoch qualifie ce type d’attaque d’exploitation de la « fenêtre de correctif » (patch gap) : dès qu’un correctif de sécurité d’un projet open source est poussé dans le dépôt public, un attaquant peut comparer les modifications pour en déduire où se situe la faille, alors que la version stable utilisée par le grand public ne reçoit le correctif qu’un peu plus tard.
L’expérience simulait volontairement un attaquant aux ressources limitées et au niveau moyen, et pour chaque version le modèle ne recevait que les informations publiques disponibles à ce moment-là. Chaque tentative durait au maximum 48 heures, et la réussite la plus rapide a pris environ 12 heures. Dans un cas, le modèle a d’abord ouvert une brèche à partir de l’entrée de correction d’une faille mémoire ; lorsque les protections de Firefox ont bloqué l’accès aux fichiers, il a lui-même enchaîné plusieurs étapes supplémentaires.
Sur les versions les plus récentes, l’attaque est allée plus loin : le modèle a combiné une vulnérabilité de la fenêtre de correctif avec une autre, non encore divulguée. Cette dernière a été corrigée dans Firefox 159.0, sorti le 27 octobre. Dans son rapport, Epoch cite le bulletin de sécurité Mozilla mfsa2026-118 et ne donne pas de numéros CVE.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(En utilisant GLM 5.3 de cette façon, nous n’avons déclenché aucune garde-fou ni aucun refus de la part d’un fournisseur, y compris Zhipu AI.)
Le rapport ne mentionne aucune réaction de Zhipu AI.
Des résultats différents pour Firefox et Chrome
La même méthode appliquée à Chrome n’a pas abouti, alors qu’Epoch y a aussi consacré environ 100 000 dollars de calcul. Les chercheurs insistent : il ne faut pas y voir une preuve solide que Chrome serait plus sûr, car avec de meilleurs prompts ou un modèle ouvert plus puissant, le résultat pourrait être différent.
Côté coûts, la seule partie de l’étude consacrée à Firefox a coûté plus de 100 000 dollars de frais d’API, l’essentiel servant à monter l’environnement de test hors ligne et aux essais préliminaires ; une fois l’environnement prêt, chaque version attaquée a coûté environ 1 000 dollars.
Par rapport aux modèles fermés, la différence cette fois est que les poids du modèle sont publics. Mythos d’Anthropic a lui aussi été utilisé auparavant pour chercher des vulnérabilités ; le rapport indique que Mythos sait décompiler des binaires Windows pour lire le contenu des correctifs, mais pour les modèles fermés, des mécanismes de contrôle et de refus côté fournisseur peuvent faire barrage. Les poids de GLM 5.3, eux, peuvent être téléchargés par n’importe qui et exécutés en local, hors de portée des protections du fournisseur. Le rapport précise aussi que les poids de Kimi K3.1 Pro devraient être publiés début novembre, et que les premiers tests suggèrent qu’il pourrait être plus performant que GLM 5.3 pour ce type de travail.
Recommandations et limites des chercheurs
Epoch formule trois recommandations : ne pas rendre publics les correctifs de sécurité avant qu’ils soient prêts à être déployés ; accélérer encore le passage de la version bêta à la version stable ; et ne pas corriger d’un coup plusieurs vulnérabilités pouvant être chaînées. Firefox et Chrome publient désormais chacun une version par semaine, et les chercheurs estiment que ce rythme pourrait rester insuffisant.
Le rapport a aussi des limites nettes. Toutes les expériences ont été menées dans un environnement de simulation hors ligne monté par les chercheurs eux-mêmes, sans attaquer aucun utilisateur sur un réseau réel ; les taux de réussite sont comptés par version, sans analyse sur un échantillon plus large ; et les auteurs indiquent explicitement qu’ils ne tirent aucune conclusion sur la façon dont les modèles ouverts modifieront l’équilibre entre attaque et défense sur le réseau. La capacité des modèles ouverts à décompiler les binaires de logiciels fermés pour lire les correctifs n’a pas été testée cette fois.
Sources : rapport de recherche d’Epoch AI (vérification des versions concernées, de la durée par tentative et du coût d’API) ; CocoLoop ; bulletin de sécurité de Mozilla (vérification de l’entrée de correction dans Firefox 159.0).