研究機構 Epoch AI 於 10 月 30 日發布報告：智譜 AI 在 8 月開源的 GLM 5.3，在實驗中自主寫出針對 Firefox 的攻擊程式，9 月 17 日到 10 月 26 日之間發布的 6 個 Firefox 正式版全數被攻破。
攻擊效果是：使用者用 Firefox 開啟一個惡意網頁，不需要任何點擊，本機檔案就會被讀出並傳給攻擊者。模型用到的漏洞線索，來自 Mozilla 已經公開、但尚未推送到正式版的安全修補。
修補空窗期是怎麼被利用的
Epoch 把這類攻擊稱作利用「修補空窗期」（patch gap）：開源專案的安全修補一旦提交到公開程式碼庫，攻擊者就能對照修改內容反推漏洞所在，而一般使用者手上的正式版要過一段時間才會收到修補。
實驗刻意模擬資源有限、技術普通的攻擊者，每個版本只提供模型當時能取得的公開資訊。每次嘗試最多 48 小時，最快的一次成功約花了 12 小時。其中一次，模型先利用一處記憶體漏洞的修補紀錄打開缺口，Firefox 的防護擋下檔案存取之後，它又自行串接了後續幾個環節。
最近幾個版本的攻擊更進一步：模型把一個修補空窗期漏洞和另一個尚未公開的漏洞串在一起使用。後者在 10 月 27 日發布的 Firefox 159.0 中修復。Epoch 在報告裡引用的是 Mozilla 安全公告 mfsa2026-118，沒有列出 CVE 編號。
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
（以這種方式使用 GLM 5.3 時，我們沒有觸發任何服務商的防護或拒絕，包括智譜在內。）
報告並未提及智譜對此的回應。
Firefox 和 Chrome 的結果不一樣
同樣的方法用在 Chrome 上沒有成功，Epoch 在 Chrome 上也花了約 10 萬美元的運算資源。研究人員特別提醒，這不能當成 Chrome 更安全的有力證據：換更好的提示詞，或換更強的開源模型，結果可能不同。
成本方面，Firefox 這部分研究總共花了超過 10 萬美元的 API 費用，大宗是建置離線測試環境和前期試錯；環境建好之後，每攻一個版本約 1000 美元。
和閉源模型相比，這次的不同之處在於模型權重是公開的。Anthropic 的 Mythos 先前也被用於漏洞挖掘，報告提到 Mythos 能反編譯 Windows 二進位檔來讀出修補內容，但閉源模型有服務商端的審查與拒絕機制可以把關。GLM 5.3 的權重任何人都能下載到本機執行，服務商層級的防護管不到。報告還提到，Kimi K3.1 Pro 的權重預計 11 月初釋出，早期測試顯示它做這類工作可能比 GLM 5.3 更強。
研究人員的建議與限制
Epoch 的建議有三點：安全修補在準備好推送之前先不公開；從測試版推到正式版的速度再快一些；不要一次修補多個可以串聯利用的漏洞。Firefox 和 Chrome 現在都是每週發版，研究人員認為這個速度可能仍然不夠。
這份報告也有明顯的界線。所有實驗都在研究人員自建的離線模擬環境中完成，沒有在真實網路中攻擊任何使用者；成功率依版本統計，沒有更大樣本的分析；作者也明確表示，不對開源模型將如何改變網路攻防格局下結論。開源模型能否反編譯閉源軟體的二進位檔來讀取修補內容，這次並未測試。
參考來源：Epoch AI 研究報告（核對受影響版本範圍、單次嘗試時長與 API 成本）；CocoLoop；Mozilla 安全公告（核對 Firefox 159.0 修復紀錄）。