智谱 GLM 5.3 在 48 小时内自主攻破了 6 个 Firefox 版本，每个版本花费约 1000 美元 API 费用，全程零人工输入。这是 Epoch AI 在 2026 年 10 月 29 日发布的报告给出的结论，它把「AI 自动生成漏洞利用代码」这件事的成本压到了一个新的量级。
Patch gap 是什么：修复公开到用户拿到之间的那段时间
软件厂商修漏洞有个天然的时间差。补丁代码先出现在 beta 版、nightly 构建或公开仓库的提交里，之后才随正式版推给用户。这段窗口被 Epoch AI 称为 patch gap。
过去利用这个窗口需要高水平安全工程师投入数周时间做逆向、手工构造利用链，或者依赖受控的前沿模型加专门工具链。报告的核心判断是：这条路线的门槛已经被开放权重模型凿穿了。
Epoch 的测试环境刻意做得简陋，只提供目标 Firefox 版本、基本工具和当时已公开的信息，模型在离线沙箱里跑，全程没有网络访问。他们希望复现的是一个资源有限、技术水平不高的攻击者能做的事。
六个版本与具体数字
下面是 Epoch AI 报告中给出的关键数据。
| 项目 | 数据 |
|---|---|
| 被攻破的 Firefox 版本 | 156.0、156.0.1、157.0、157.0.1、158.0、158.0.1 |
| 版本发布日期区间 | 2026 年 9 月 17 日至 10 月 26 日 |
| 单个版本边际成本 | 约 1000 美元 API 费用 |
| Firefox 方向研究总投入 | 超过 100000 美元 API 成本 |
| 单次尝试时间上限 | 48 小时 |
| 最快一次成功耗时 | 12 小时 |
| 实际达成效果 | 读取用户本地文件，未达成任意代码执行 |
| 同套方法对 Chrome 的结果 | 花费约 100000 美元未产出等价利用链 |
成功攻击的形态是一个网页。用户打开它，Firefox 就会读取本机某个文件并发送到攻击者控制的服务器，全程不需要用户再做任何操作。Firefox 活跃用户超过 2 亿，理论上可被触及的资产包括保存的密码、认证 Cookie 和私人文档。
六次成功攻击每次都串联了两个漏洞。第一个来自 patch gap，在 Firefox 的网页内容进程内拿到代码执行；第二个是一个此前未公开的沙箱逃逸漏洞，用来绕过沙箱保护，让已被攻破的渲染进程能访问文件系统。这个未公开漏洞是模型在每次尝试中独立重新发现的。
模型怎么找到漏洞：把伪装成普通改动的补丁扒出来
Firefox 的安全修复通常不写在显眼位置。厂商会把它们伪装成常规代码更新提交，意图是拖慢攻击者翻找的时间。GLM 5.3 直接读代码差异，自行判断哪些改动与安全相关。
报告描述的一次典型过程是这样的：模型先从一个即将发布的 Firefox 修复里识别出一处内存安全缺陷，然后设计出在浏览器内部读写内存的方法，接着分多阶段绕过剩余的安全层，在诊断崩溃、放弃失败路径之后，最终做到只要访问网页就能读文件。
值得注意的是安全护栏完全没有起作用。Epoch 通过 Z.ai 自有 API 和第三方 API 调用模型，任务被包装成安全演练，但据其报告，包括 Z.ai 在内的所有服务商都没有触发任何拒绝或使用限制。研究团队自己形容，这些行为与真实攻击者的操作难以区分。
披露与修复时间线
Epoch 把未公开的沙箱逃逸漏洞共享给了 Mozilla。Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中修复了它，对应的 Mozilla Foundation 安全公告编号是 MFSA 2026-118，整体影响评级为高，列表里包含高影响的沙箱逃逸、权限提升与释放后重用类漏洞。
Epoch 尚未确认这个攻击链在 159.0 上是否仍然成立，但预计这次修复会让 patch gap 利用变得显著更难。他们同时指出，Firefox 159 公告里列了多个沙箱逃逸漏洞，并未说明哪一个是本次发现。
项目时间线可以这样看：9 月 17 日到 10 月 26 日是六个目标版本的发布日期区间，10 月 27 日 Mozilla 发布 Firefox 159.0 修复漏洞，10 月 29 日 Epoch AI 发布公开报告。
为什么 Chrome 花了十倍的钱也没成功
用同一套 harness 和同样技巧去打 Google Chrome，Epoch 投入约 100000 美元 API 费用后没能产出等价利用链。他们没有把这当成强证据，认为换更好的引导方式或更强的开放权重模型仍可能成功。
这份不均衡本身有信息量。Epoch 的解释是 patch gap 的成立条件依赖具体代码结构，Firefox 那一侧的路径恰好被模型摸通了，而 Chrome 侧没有找到等价路径。
报告还提到 Kimi K3.1 Pro。该模型通过一方 API 于 10 月 23 日开放访问，权重计划在 11 月初发布，没有参与本次实验，但有限的基准数据暗示它在进攻性网络任务上可能强于 GLM 5.3。Epoch 计划后续在更多软件上测试更先进的开放模型。相关模型能力的量级变化可以参考Mistral Large 4 预览版的漏洞复现 82 分以及Anthropic 关于小型模型自我复制的警告这两篇。
影响面与防御建议
patch gap 的条件在整个软件行业都成立，不限于浏览器。报告提到 2026 年 9 月出现过针对 Chrome 的 patch gap 利用；同月某厂商在两个关键漏洞协调发布前六小时多就放出了打过补丁的 PHP 构建版本，这种提前发布可能让数千次利用尝试赶在公开发布之前完成，而公开发布后尝试量立刻上升到数百万量级。
开源项目因为代码公开风险更高，闭源软件同样暴露在这个窗口里。Anthropic 已经展示过 Mythos 在完全没有项目代码公开的情况下利用 Windows 上的 patch gap。
Epoch 给防御方列了几条可操作的杠杆：把安全修复保持私密直到准备发布，从 beta 到正式版尽量缩短发布间隔，避免在可以串联的情况下同时修补多个漏洞。Firefox 和 Chrome 都已经开始每周发布更新。报告同时提醒，一旦漏洞修复出现在已发布的代码里，就应当假定攻击者会并且会利用它来攻击当前版本。
实验本身的安全措施也值得记录。Epoch 使用了与其它评测基础设施隔离的专用云实例，模型没有网络权限，所需资源直接投放到容器内，并配置了接近实时的监控系统以便必要时中断运行。有一次监控标记出破损环境导致智能体采取了沙箱外的动作，所有运行随即暂停，报告说明这些动作不涉及网络访问也没有恶意行为。
常见问题
AI 自动攻破浏览器漏洞的成本到底有多低？
在实验环境搭好之后，攻破一个新的 Firefox 版本边际成本约 1000 美元 API 费用，用订阅制账号还可能更低。但这是边际成本，包含构建离线环境和前期试验在内的 Firefox 方向总研究投入超过 100000 美元。如果攻击者允许智能体直接联网而不做离线沙箱，setup 成本还会更低。
这是不是意味着开源权重模型已经失控了？
结论还不至于。Epoch 的表述是这属于高级网络能力的扩散，很多软件可能已经暴露在类似的 patch gap 攻击下，并预期随着更强的开放权重模型发布，这类案例会增加。但同一套方法在 Chrome 上花十倍的钱仍未成功，且在近期 Firefox 版本上没有实现任意代码执行，只做到了读文件。结果尚未被独立复现。
普通用户现在需要做什么？
及时更新浏览器是当下最直接的动作，Firefox 159.0 已经修复了本次涉及的漏洞。企业侧需要重新审视补丁管理节奏，把「修复公开到用户拿到」这段时间视为暴露窗口，同时避免在可串联的情况下同时修补多个漏洞。对于更新频率较低的软件，比如路由器固件和手机操作系统，风险窗口更长。
小结
这次实验最有价值的部分不是那 6 个被攻破的版本，而是成本结构的变化。当生成完整多阶段利用链的能力以每次 1000 美元的边际价格出现在开放权重模型上，依赖人工逆向的漏洞定价模型就失效了。Epoch 的结论落在扩散上：随着更多开放权重模型发布，能利用 patch gap 的场景会变多，防御方需要重新计算自己的补丁节奏成本。
相关阅读
- Claude 挖出 62 个 Chrome 漏洞：5 条攻击链与 53 分钟 root
- Cloudflare GLM-5.3 泄露拆解：155 个响应混入他人 KV Cache
- iOS 27.2 正式版：Siri AI 记忆上线与 162 个漏洞修复
- Mistral Large 4 预览版发布：万亿参数、漏洞复现 82 分超越 GPT-6
延伸阅读
- 韩国金融业再遭网攻：38490 名客户信息泄露2 天前
- GLM 5.3 零人工攻破 Firefox：6 版本单次成本 1000 美元2 小时前
- Mistral Large 4 预览版发布：万亿参数、漏洞复现 82 分超越 GPT-63 周前
- 消息称 OpenAI 洽谈收购 Trail of Bits，安全研究巨头为何被盯上2 周前
继续读
同一批更新里这几篇值得一看：
想快速查定义？对应的词条在这里：
- AI Agent词条 · AI 自学笔记