O instituto de pesquisa Epoch AI publicou em 30 de outubro um relatório: o GLM 5.3, modelo que a Zhipu AI abriu em agosto, escreveu de forma autônoma, no experimento, programas de ataque contra o Firefox, e as 6 versões estáveis do Firefox lançadas entre 17 de setembro e 26 de outubro foram todas comprometidas.
O efeito do ataque é o seguinte: o usuário abre uma página maliciosa no Firefox e, sem nenhum clique, arquivos locais são lidos e enviados ao atacante. As pistas de vulnerabilidade usadas pelo modelo vieram de correções de segurança que a Mozilla já havia tornado públicas, mas que ainda não tinham chegado à versão estável.
Como a janela de correção é explorada
A Epoch chama esse tipo de ataque de exploração da «janela de correção» (patch gap): assim que uma correção de segurança de um projeto de código aberto é enviada ao repositório público, o atacante pode comparar as alterações e deduzir onde está a falha, enquanto a versão estável nas mãos dos usuários comuns só recebe o conserto algum tempo depois.
O experimento simulou de propósito um atacante com recursos limitados e habilidade mediana, e para cada versão o modelo recebeu apenas as informações públicas disponíveis naquele momento. Cada tentativa durou no máximo 48 horas, e o sucesso mais rápido levou cerca de 12 horas. Em um dos casos, o modelo primeiro abriu uma brecha usando o registro de correção de uma falha de memória; quando as defesas do Firefox bloquearam o acesso aos arquivos, ele mesmo encadeou várias etapas seguintes.
Nas versões mais recentes, o ataque foi além: o modelo combinou uma vulnerabilidade da janela de correção com outra ainda não divulgada. Esta última foi corrigida no Firefox 159.0, lançado em 27 de outubro. No relatório, a Epoch cita o boletim de segurança da Mozilla mfsa2026-118 e não lista números CVE.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(Ao usar o GLM 5.3 dessa forma, não acionamos nenhuma salvaguarda nem recusa de nenhum provedor, inclusive a Zhipu AI.)
O relatório não menciona qualquer resposta da Zhipu AI a respeito.
Firefox e Chrome tiveram resultados diferentes
O mesmo método não funcionou no Chrome, para o qual a Epoch também gastou cerca de 100 mil dólares em computação. Os pesquisadores fazem questão de alertar que isso não deve ser tomado como prova robusta de que o Chrome é mais seguro: com prompts melhores, ou com um modelo aberto mais forte, o resultado poderia ser outro.
Em custos, só a parte da pesquisa sobre o Firefox consumiu mais de 100 mil dólares em tarifas de API, a maior parte na montagem do ambiente de testes offline e em tentativas iniciais; com o ambiente pronto, cada versão atacada custou cerca de 1.000 dólares.
Em comparação com os modelos fechados, a diferença desta vez é que os pesos do modelo são públicos. O Mythos, da Anthropic, também já foi usado para encontrar vulnerabilidades; o relatório menciona que o Mythos consegue descompilar binários do Windows para ler o conteúdo de patches, mas nos modelos fechados há mecanismos de revisão e recusa do lado do provedor que podem barrar o uso. Os pesos do GLM 5.3 podem ser baixados por qualquer pessoa e executados localmente, fora do alcance das proteções do provedor. O relatório também menciona que os pesos do Kimi K3.1 Pro devem ser liberados no início de novembro, e que testes preliminares indicam que ele pode ser mais forte que o GLM 5.3 nesse tipo de trabalho.
Recomendações e limites apontados pelos pesquisadores
A Epoch faz três recomendações: não tornar públicas as correções de segurança antes de estarem prontas para distribuição; acelerar ainda mais a passagem da versão de teste para a estável; e não corrigir de uma só vez várias vulnerabilidades que possam ser encadeadas. Firefox e Chrome hoje lançam versões semanalmente, e os pesquisadores consideram que mesmo esse ritmo pode continuar insuficiente.
O relatório também tem limites claros. Todos os experimentos foram feitos em um ambiente de simulação offline montado pelos próprios pesquisadores, sem atacar nenhum usuário em redes reais; as taxas de sucesso são contadas por versão, sem análise com amostras maiores; os autores também afirmam expressamente que não tiram conclusões sobre como os modelos abertos mudarão o equilíbrio entre ataque e defesa na rede. Se modelos abertos conseguem descompilar binários de software fechado para ler patches não foi testado desta vez.
Fontes: relatório de pesquisa da Epoch AI (conferência das versões afetadas, da duração por tentativa e do custo de API); CocoLoop; boletim de segurança da Mozilla (conferência do registro de correção no Firefox 159.0).