Патчи безопасности призваны делать ПО безопаснее, но Epoch AI показала, что они могут служить ещё и списком задач для атакующего. В этом случае атакующим была открытая ИИ-модель GLM 5.3, которой потребовалось от 12 до 48 часов на каждую цель. По данным некоммерческой исследовательской организации, модель могла прочитать произвольный локальный файл на компьютере, владелец которого всего лишь открыл веб-страницу.
Условия эксперимента
Исследователи Epoch AI создали среду, в которой GLM 5.3 получала две вещи. Первая — точный номер версии браузера Firefox, которую нужно было атаковать. Вторая — доступ к общедоступным изменениям кода, появившимся после выхода этой версии.
Именно второй пункт особенно интересен. Исправления попадают в открытые репозитории раньше, чем доходят до пользователей. Поэтому любой, кто изучает изменения, может увидеть, какие уязвимости устраняются, пока в выпущенной версии браузера они ещё остаются.
Что модель сделала самостоятельно
В источнике эта работа описана как автономная, а её этапы были далеко не тривиальными:
- Поиск исправлений. Модель определила, какие общедоступные изменения были патчами безопасности.
- Выбор целей. Она отобрала уязвимости, которыми стоило заняться.
- Построение цепочек. Она собрала многоэтапные цепочки эксплуатации, а не полагалась на единственную ошибку.
- Обход защиты. Она обошла несколько уровней защиты, включая песочницу.
В результате для чтения любого локального файла было достаточно, чтобы жертва посетила веб-страницу.
Шесть из шести
Атака сработала на всех шести релизах Firefox, вышедших с 17 сентября по 26 октября 2026 года. Каждый раз разработка занимала у модели от 12 до 48 часов. Во всех случаях она заново обнаруживала и эксплуатировала ранее не обнародованную уязвимость, позволявшую выйти за пределы изолированного процесса рендеринга.
С тех пор эту уязвимость устранили. Mozilla уведомили о проблеме, и 27 октября исправление вышло в Firefox 159.0.
Chrome устоял — пока
Epoch AI не удалось воспроизвести такую же атаку на Chrome, даже потратив на попытку около 100 000 долларов. Это звучит обнадёживающе, пока не прочитаешь оговорку самих исследователей. Неудачная попытка не доказывает, что Chrome безопасен, а более совершенные модели могут преодолеть защиту там, где эта не смогла.
Разрыв между публикацией патча и обновлением
Главное предупреждение Epoch AI: проблема касается не только Firefox. У любого браузера — и вообще у любого проекта с общедоступным кодом и графиком релизов — есть временной разрыв между моментом, когда исправление становится видимым, и моментом, когда оно доходит до конечных пользователей. Исправление может появиться в открытом репозитории или в бета-сборке. Как только оно становится доступным для изучения, атакующий может превратить его в рабочий эксплойт ещё до того, как обновление попадёт на чей-либо компьютер.
Исследователи указывают и на вторую проблему. У модели открытые веса, а значит, любой может убрать её защитные механизмы и запускать её без ограничений. По их мнению, исследование показывает, что продвинутые возможности в киберсфере больше не являются прерогативой закрытых лабораторий.
К чему Epoch AI призывает разработчиков
Рекомендаций две, и обе касаются сроков и группировки исправлений, а не новых технологий:
- Сократите окно. Уменьшите время между публикацией патча и его доставкой пользователям.
- Не объединяйте исправления. Не закрывайте сразу несколько уязвимостей, если их можно связать в одну цепочку.
Во втором пункте есть неприятный нюанс. Аккуратный релиз, в котором связанные ошибки исправляются вместе, — совершенно обычная инженерная практика, но теперь модель, у которой в запасе есть несколько дней, может прочитать его как карту.
Патч в любом случае рано или поздно стал бы общедоступным. Открытым остаётся вопрос: как долго он будет доступен для изучения любому желающему, прежде чем выйдет обновление.