Tổ chức nghiên cứu Epoch AI ngày 30/10 công bố một báo cáo: GLM 5.3, mô hình Zhipu AI (Zhipu) mở mã nguồn hồi tháng 8, đã tự viết chương trình tấn công nhắm vào Firefox trong thí nghiệm, và cả 6 bản Firefox chính thức phát hành từ ngày 17/9 đến ngày 26/10 đều bị chiếm quyền.
Kết quả tấn công là: người dùng chỉ cần mở một trang web độc hại bằng Firefox, không cần bất kỳ cú nhấp chuột nào, tệp cục bộ sẽ bị đọc và gửi cho kẻ tấn công. Manh mối lỗ hổng mà mô hình dùng đến từ các bản vá bảo mật Mozilla đã công khai nhưng chưa được đẩy lên bản chính thức.
Khoảng trống bản vá bị lợi dụng thế nào
Epoch gọi kiểu tấn công này là khai thác «khoảng trống bản vá» (patch gap): khi một bản sửa lỗi bảo mật của dự án mã nguồn mở được commit lên kho mã công khai, kẻ tấn công có thể đối chiếu phần thay đổi để suy ngược ra lỗ hổng nằm ở đâu, trong khi bản chính thức người dùng thông thường đang dùng phải một thời gian sau mới nhận được bản sửa.
Thí nghiệm cố ý mô phỏng một kẻ tấn công có nguồn lực hạn chế, trình độ trung bình, và mỗi phiên bản chỉ cung cấp cho mô hình những thông tin công khai có được tại thời điểm đó. Mỗi lần thử kéo dài tối đa 48 giờ, lần thành công nhanh nhất mất khoảng 12 giờ. Trong một lần, mô hình trước tiên dựa vào bản ghi sửa một lỗ hổng bộ nhớ để mở đầu cuộc tấn công; khi cơ chế bảo vệ của Firefox chặn việc truy cập tệp, nó tự nối thêm vài mắt xích tiếp theo.
Các cuộc tấn công ở những phiên bản gần đây còn tiến thêm một bước: mô hình kết hợp một lỗ hổng thuộc khoảng trống bản vá với một lỗ hổng khác chưa công khai. Lỗ hổng sau được sửa trong Firefox 159.0 phát hành ngày 27/10. Báo cáo của Epoch trích dẫn bản tin bảo mật Mozilla mfsa2026-118 và không liệt kê mã CVE.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(Khi dùng GLM 5.3 theo cách này, chúng tôi không kích hoạt bất kỳ cơ chế bảo vệ hay từ chối nào của bất kỳ nhà cung cấp nào, kể cả Zhipu AI.)
Báo cáo không đề cập đến phản hồi của Zhipu AI về vấn đề này.
Kết quả trên Firefox và Chrome khác nhau
Cùng phương pháp áp dụng cho Chrome không thành công, dù Epoch cũng đã bỏ ra khoảng 100.000 USD chi phí tính toán cho Chrome. Các nhà nghiên cứu đặc biệt lưu ý rằng không thể coi đây là bằng chứng mạnh cho thấy Chrome an toàn hơn: đổi sang prompt tốt hơn, hoặc dùng mô hình mã nguồn mở mạnh hơn, kết quả có thể khác.
Về chi phí, riêng phần nghiên cứu Firefox đã tốn tổng cộng hơn 100.000 USD phí API, phần lớn dùng để dựng môi trường kiểm thử ngoại tuyến và thử sai giai đoạn đầu; sau khi môi trường sẵn sàng, mỗi phiên bản bị tấn công tốn khoảng 1.000 USD.
So với các mô hình nguồn đóng, điểm khác biệt lần này là trọng số của mô hình được công khai. Mythos của Anthropic trước đây cũng từng được dùng để tìm lỗ hổng; báo cáo nhắc rằng Mythos có thể dịch ngược tệp nhị phân Windows để đọc nội dung bản vá, nhưng với mô hình nguồn đóng, nhà cung cấp vẫn có cơ chế kiểm duyệt và từ chối để chặn. Trọng số của GLM 5.3 ai cũng có thể tải về chạy cục bộ, các lớp bảo vệ phía nhà cung cấp không với tới. Báo cáo cũng cho biết trọng số của Kimi K3.1 Pro dự kiến được công bố vào đầu tháng 11, và các thử nghiệm ban đầu cho thấy mô hình này có thể làm loại việc này tốt hơn GLM 5.3.
Khuyến nghị và giới hạn của nhóm nghiên cứu
Epoch đưa ra ba khuyến nghị: chưa công khai bản sửa bảo mật cho đến khi sẵn sàng phát hành; đẩy nhanh hơn nữa việc chuyển từ bản thử nghiệm lên bản chính thức; và không vá cùng lúc nhiều lỗ hổng có thể được nối chuỗi khai thác. Firefox và Chrome hiện đều phát hành hằng tuần, và các nhà nghiên cứu cho rằng tốc độ này có thể vẫn chưa đủ.
Báo cáo cũng có những giới hạn rõ ràng. Mọi thí nghiệm đều được thực hiện trong môi trường mô phỏng ngoại tuyến do nhóm nghiên cứu tự dựng, không tấn công bất kỳ người dùng nào trên mạng thật; tỷ lệ thành công được thống kê theo từng phiên bản, chưa có phân tích trên mẫu lớn hơn; các tác giả cũng nói rõ họ không đưa ra kết luận về việc mô hình mã nguồn mở sẽ thay đổi cục diện tấn công và phòng thủ mạng như thế nào. Việc mô hình mã nguồn mở có thể dịch ngược tệp nhị phân của phần mềm nguồn đóng để đọc bản vá hay không thì lần này chưa được kiểm tra.
Nguồn tham khảo: báo cáo nghiên cứu của Epoch AI (đối chiếu phạm vi phiên bản bị ảnh hưởng, thời lượng mỗi lần thử và chi phí API); CocoLoop; bản tin bảo mật của Mozilla (đối chiếu bản ghi sửa lỗi trong Firefox 159.0).