Kutatás · The Decoder ·
A GLM 5.3 modell önállóan támadott Firefoxot a javítási rés idején
Az Epoch AI kutatói szerint egy szabadon elérhető AI-modell emberi segítség nélkül épített támadókódot a Firefox ellen a javítások megjelenése és telepítése közötti időszakban.
Az Epoch AI kutatói kimutatták, hogy a szabadon elérhető, kínai nyílt súlyú modell, a GLM 5.3 önállóan használ ki biztonsági réseket a Firefoxban a javítási rés idején. A javítási rés az az időszak, amikor a biztonsági javítás már látható a nyilvános kódban, de még nem jutott el a felhasználókig; a vizsgálat hat, 2026. szeptember 17. és október 26. közötti Firefox-kiadást érintett.
Egy-egy sikeres támadás API-díja nagyjából 1000 dollár volt, a modell pedig emberi bemenet nélkül, legfeljebb 48 óra alatt épített többlépcsős támadási láncot. A kutatók szerint egy weboldal betöltésekor a támadók hozzáférhettek volna a látogató gépén lévő fájlokhoz, így a mentett jelszavak és sütik is veszélybe kerülhettek a több mint 200 millió aktív Firefox-felhasználó között. A Z.ai és az API-szolgáltatók egyike sem jelzett biztonsági korlátot vagy elutasítást.
A Mozilla a Firefox 159.0 kiadásával, október 27-én javította a modell által minden esetben újra felfedezett sebezhetőséget. A kutatók nem tesztelték, hogy az új verzió ellen működik-e a támadás, de szerintük legalább jelentősen nehezebb lesz. Ugyanezzel a módszerrel a Chrome ellen kb. 100 000 dollár API-költséggel hasonló támadókód nem született, ez azonban nem jelenti, hogy a böngésző immunis.
Miért fontos neked?
A rendszergazdáknak és a biztonsági csapatoknak a ritkán frissülő eszközöknél érdemes felülvizsgálniuk a frissítési gyakorlatot. A kutatók szerint a javítások nyilvánosságra kerülése után nő a kockázat, a Chrome-ra vonatkozóan viszont nincs bizonyíték sikeres támadásra.
Az eredeti megnyitása (The Decoder)
Eredeti cím: Open-weight model GLM 5.3 built full Firefox exploit chains with zero human input in under 48 hours
Címkék: kiberbiztonság, nyílt modell, böngésző