Речь о «patch gap» — промежутке между публикацией исправления и его доставкой пользователям. В открытых проектах исправление видно в бетах и nightly задолго до стабильного релиза. Раньше превратить его в эксплойт было долго и дорого, теперь, по выводам Epoch AI, это под силу широко доступной открытой модели.
Эксперимент
Исследователи дали GLM 5.3 от Z.ai (вышла в августе) задачу: сделать страницу, которая при открытии в Firefox читает локальный файл и отправляет его атакующему. Модель работала автономно, без доступа к интернету — ей передавали только информацию, доступную на момент выхода целевой версии. Никаких подсказок по конкретным уязвимостям не было.
Результат: скомпрометированы все шесть релизов Firefox с 17 сентября по 26 октября — 156.0, 156.0.1, 157.0, 157.0.1, 158.0 и 158.0.1. В каждом случае модель сама находила исправления, выбирала уязвимости и строила многостадийную цепочку, обходящую защиту браузера. Быстрейшая попытка заняла 12 часов из отведённых 48. Маржинальная стоимость — около $1 000 на версию, хотя на весь проект ушло больше $100 000.
Непубличная уязвимость
Во всех успешных атаках модель дополнительно находила и использовала ещё не раскрытую уязвимость, которая позволяла обойти песочницу. Epoch AI сообщила о ней Mozilla, и та закрыла её в Firefox 159.0 27 октября. Проверить, работает ли атака на 159.0, исследователи пока не успели, но ожидают, что станет существенно сложнее.
Отказов и срабатывания защит не было ни в API Z.ai, ни у сторонних провайдеров. Аналогичные попытки против Chrome не удались даже при затратах около $100 000, но авторы не считают это доказательством невозможности. Kimi K3.1 Pro они не тестировали.
Что это значит
Патч-гэп — структурная проблема, а не баг конкретного браузера. Помогают более быстрые релизы, сокрытие исправлений до выкладки и отказ от одновременного патча уязвимостей, которые можно сцепить. Firefox и Chrome уже перешли на еженедельные обновления.
The issue is the “patch gap” — the interval between a fix becoming public and reaching users. In open projects, the fix is visible in betas and nightlies long before a stable release. Turning it into an exploit used to take time and expertise; Epoch AI now finds a widely available open-weight model can do much of that work.
The experiment
The researchers asked GLM 5.3 from Z.ai (released in August) to build a page that, when opened in Firefox, reads a local file and sends it to an attacker. The model ran autonomously with no internet access — it received only information available at the time of the target release. It got no hints about specific vulnerabilities.
The result: all six Firefox releases from 17 September to 26 October were compromised — 156.0, 156.0.1, 157.0, 157.0.1, 158.0 and 158.0.1. In each case the model identified the fixes, selected vulnerabilities and built a multi-stage chain that bypassed browser protections. The fastest attempt took 12 of the 48 hours allowed. Marginal cost was about $1,000 per version, though the whole project cost more than $100,000.
The unpublished vulnerability
Every successful attack also relied on an undisclosed flaw the model rediscovered on its own, which let it escape the sandbox. Epoch AI reported it to Mozilla, which fixed it in Firefox 159.0 on 27 October. The researchers have not yet confirmed whether attacks still work on 159.0 but expect it to be substantially harder.
There were no refusals or safeguard triggers through Z.ai’s API or third-party providers. Similar attempts against Chrome failed even after about $100,000 in spend, which the authors do not treat as proof it is impossible. Kimi K3.1 Pro was not tested.
What it means
The patch gap is a structural problem, not a bug in one browser. Faster releases, keeping fixes private until shipping, and avoiding simultaneous patches for chainable flaws all help. Firefox and Chrome already ship weekly updates.