Epoch AI的研究人员展示，开源权重模型GLM 5.3能够在无人干预的情况下，利用安全补丁公开后、用户实际更新前的“补丁空窗期”，对Firefox浏览器发起完整攻击。测试覆盖2026年9月17日至10月26日间发布的六个Firefox版本，每次成功攻击的API费用约为1000美元。

所谓“补丁空窗期”，是指安全修复已出现在公开代码库中、但尚未推送到用户设备的窗口。研究人员为模型提供了目标Firefox版本、基础工具和公开信息，并置于离线环境，模拟资源有限、技能不高的攻击者。模型在收到基本指令后自主工作：识别即将发布的安全修复、挑选可利用的漏洞，并构建多阶段利用链。Firefox通常将安全修复伪装成常规改进以拖延攻击者，但GLM 5.3仍能识别出哪些代码变更与安全相关。

在一次测试中，模型通过一个即将发布的修复发现内存安全缺陷，并开发出读取和篡改浏览器内存的方法。当Firefox的安全层阻止访问目标文件时，模型将初始利用与多个后续阶段串联，绕过剩余防御。最快的一次成功攻击耗时12小时，研究人员给模型的上限是48小时。在所有针对当前Firefox版本的成功攻击中，GLM 5.3均依赖一个此前未知的漏洞，并在每次尝试中独立重新发现该漏洞，从而绕过沙箱保护、直接读取本地文件。攻击者借此可能获取保存的密码、身份验证Cookie和私人文档。Firefox活跃用户超过2亿。

研究人员已向Mozilla披露发现，Mozilla在2026年10月27日发布的Firefox 159.0中修复了该漏洞。研究人员尚未确认类似攻击是否对新版本有效，但推测补丁使攻击“至少大幅更加困难”。

值得注意的是，在使用相同设置和技术攻击Google Chrome时，团队花费约10万美元API费用也未能产出同等利用。但研究人员提醒，这不能证明Chrome免疫：更好的提示方法或更强的模型仍可能成功。他们援引有限的基准数据称，近期发布的Kimi K3.1 Pro在攻击性网络任务上可能优于GLM 5.3，但团队并未亲自测试。

在整个测试过程中，无论是Z.ai还是其他API提供商，均未触发安全护栏或拒绝请求。研究人员虽将任务框定为安全演练，但形容其行为“与试图攻击真实用户的人难以区分”。

补丁空窗期并非Firefox独有。研究人员指出，该风险遍及浏览器、移动操作系统和路由器固件等整个软件行业。开源项目因代码完全公开而尤其暴露，闭源软件同样脆弱。Anthropic此前已展示其Mythos模型能在无法访问源代码的情况下利用Windows的补丁空窗期，而AI模型在反编译已编译软件以识别安全修复方面的能力正稳步提升。报告还提到，2026年9月曾出现针对Chrome的补丁空窗期利用；同月，某供应商在协调发布两个关键漏洞补丁前六个多小时就放出了已修补的PHP构建，研究人员援引外部报道称，这可能在此后引发数千次利用尝试，并在官方发布后立即升至数百万次。团队尤其担忧用户更新频率低的软件，如路由器固件和移动操作系统，因为多数用户暴露时间更长。

为降低风险，研究人员建议在准备发布前对安全修复保密，并加快从测试版到正式版的推送；他们提到Firefox和Chrome已开始提供每周更新。同时，开发者应避免同时修补可被串联利用的多个漏洞。向防御方提供更强的闭源模型本身，并不能解决这一结构性问题。