Sicherheitspatches sollen Software sicherer machen, doch Epoch AI hat gezeigt, dass sie Angreifern auch als To-do-Liste dienen können. Der Angreifer war in diesem Fall ein offenes KI-Modell, GLM 5.3, das pro Ziel zwischen 12 und 48 Stunden benötigte. Laut der gemeinnützigen Forschungsorganisation konnte das Modell eine beliebige lokale Datei von einem Rechner lesen, dessen Besitzer lediglich eine Webseite geöffnet hatte.
Der Versuchsaufbau
Forschende von Epoch AI richteten eine Umgebung ein, in der GLM 5.3 zwei Dinge erhielt. Zum einen war das die genaue Version des Firefox-Browsers, die angegriffen werden sollte. Zum anderen erhielt es Zugriff auf öffentliche Codeänderungen, die nach der Veröffentlichung dieser Version erschienen waren.
Der zweite Punkt ist der interessante. Fehlerbehebungen werden in öffentliche Repositories eingespielt, bevor sie bei den Nutzern ankommen. Wer die Änderungen liest, kann also erkennen, welche Sicherheitslücken geschlossen werden, während sie im ausgelieferten Browser noch bestehen.
Was das Modell selbstständig tat
Die Quelle beschreibt das Vorgehen als autonom, und die einzelnen Schritte waren alles andere als trivial:
- Korrekturen erkennen. Das Modell identifizierte, welche öffentlichen Änderungen Sicherheitspatches waren.
- Ziele auswählen. Es suchte die Schwachstellen heraus, deren Ausnutzung sich lohnte.
- Angriffsketten aufbauen. Es setzte mehrstufige Exploit-Ketten zusammen, statt sich auf einen einzelnen Fehler zu verlassen.
- Schutzmaßnahmen überwinden. Es umging mehrere Schutzebenen, darunter die Sandbox.
Am Ende konnte es jede beliebige lokale Datei lesen; dazu musste ein Opfer lediglich eine Seite besuchen.
Sechs von sechs
Der Angriff funktionierte bei allen sechs Firefox-Versionen, die zwischen dem 17. September und dem 26. Oktober 2026 veröffentlicht wurden. Für die Entwicklung benötigte das Modell jeweils 12 bis 48 Stunden. In jedem Fall entdeckte es eine zuvor nicht öffentlich bekannte Schwachstelle erneut und nutzte sie aus, um aus dem isolierten Rendering-Prozess auszubrechen.
Diese Sicherheitslücke ist inzwischen geschlossen. Mozilla wurde benachrichtigt, und die Korrektur wurde am 27. Oktober mit Firefox 159.0 ausgeliefert.
Chrome hielt stand – vorerst
Epoch AI konnte denselben Angriff auf Chrome nicht reproduzieren, obwohl die Organisation rund 100.000 US-Dollar für den Versuch ausgab. Das klingt beruhigend, bis man den Vorbehalt liest, den die Forschenden selbst äußern. Ein gescheiterter Versuch beweist nicht, dass Chrome sicher ist, und leistungsfähigere Modelle könnten dort durchkommen, wo dieses scheiterte.
Die Patch-Lücke
Die zentrale Warnung von Epoch AI lautet, dass das Problem nicht nur Firefox betrifft. Bei jedem Browser und ebenso bei jedem Projekt mit öffentlichem Quellcode und einem Veröffentlichungsplan gibt es eine Lücke zwischen dem Moment, in dem eine Korrektur sichtbar wird, und dem Moment, in dem sie die Endnutzer erreicht. Sichtbar werden kann sie etwa in einem öffentlichen Repository oder einem Beta-Build. Sobald die Korrektur sichtbar ist, kann ein Angreifer daraus einen funktionierenden Exploit entwickeln, noch bevor das Update auf irgendeinem Rechner ankommt.
Die Forschenden nennen ein weiteres Problem. Die Gewichte des Modells sind offen verfügbar, was bedeutet, dass jeder seine Schutzmechanismen entfernen und es ohne Einschränkungen betreiben kann. Ihrer Einschätzung nach zeigt die Studie, dass fortgeschrittene Cyberfähigkeiten nicht mehr abgeschotteten Laboren vorbehalten sind.
Was Epoch AI von Entwicklern fordert
Es gibt zwei Empfehlungen, und beide betreffen die Zeitplanung und die Zusammenstellung von Updates statt neuer Technologie:
- Das Zeitfenster verkleinern. Verkürzen Sie die Zeit zwischen der Veröffentlichung eines Patches und seiner Auslieferung an die Nutzer.
- Bündelung vermeiden. Schließen Sie nicht mehrere Schwachstellen auf einmal, wenn sie sich zu einer einzigen Angriffskette verknüpfen lassen.
Der zweite Punkt hat eine unbequeme Kehrseite. Ein sauber zusammengestelltes Release, das zusammenhängende Fehler gemeinsam behebt, ist eine völlig normale Praxis in der Softwareentwicklung, doch inzwischen kann ein Modell mit ein paar Tagen Zeit darin eine Landkarte erkennen.
Dass der Patch irgendwann öffentlich wird, stand ohnehin fest. Offen ist die Frage, wie lange er dort für jeden lesbar liegt, bevor das Update ankommt.