读懂｜GLM 5.3 从火狐补丁反推攻击，每版约花 1000 美元

Epoch AI 用开放权重的 GLM 5.3 攻下 6 个 Firefox 版本，每版边际花费约 1000 美元；攻击还依赖一个未公开漏洞，Mozilla 已改发布做法。

补丁公开到推送给用户之间的那几天，开放权重模型现在也能把它反推成可用的攻击。

据 Epoch AI 10 月 29 日发布的报告，Z.ai（智谱）8 月发布的开放权重模型 GLM 5.3，在离线环境里自主做出了针对 6 个 Firefox 版本的攻击网页。用户打开页面，本机文件就被读出并发给攻击者。环境搭好后，每攻下一个版本的边际花费约 1000 美元。

林测的判断是：前沿实验室把顶尖的网络能力先交给防守方，只管住了「找漏洞」这一环。防守方修出的补丁一旦公开，落后几代的开放模型就能顺着补丁找回漏洞。

离线运行，每版边际花费约 1000 美元

据 Epoch AI 的报告，被测的是 9 月 17 日至 10 月 26 日发布的 6 个 Firefox 版本，从 156.0 到 158.0.1，6 个全部成功。

测试有几条约束：

花费要分开看。Epoch 在 Firefox 上的总投入超过 10 万美元接口费，包括搭建离线环境和前期试验。约 1000 美元是环境搭好之后、每多攻一个版本的边际花费，按接口价计算。

Firefox 的安全修复本来会伪装成普通改动，不写明漏洞细节。报告说，GLM 5.3 读代码就分辨出了哪些改动是安全修复。

这组结果的边界比标题里的数字窄。

Epoch 写明，每一次成功都串了两个漏洞：一个来自补丁空窗，用来控制网页进程；另一个是尚未公开的沙箱漏洞，模型每次都重新找到了它。Mozilla 已在 10 月 27 日发布的 Firefox 159.0 里修掉后者，Epoch 还没复测新版本。

攻击做到的是读取文件，没有做到任意执行代码。用同一套方法打 Chrome，Epoch 花了约 10 万美元，至今没成功。

Mozilla 的 Bobby Holley 10 月 29 日发表的博文给出另一面。他写道，Firefox 自 2 月起借助 Anthropic 和 OpenAI 的前沿模型查漏洞，修复数量是 2025 年同期的七倍多。

他的看法是，攻击方能拿到的模型落后好几代，它们能在 Firefox 里找到的那一层漏洞，已经基本被清理干净。

我们接受这一点：靠开放模型从零挖 Firefox 的新漏洞，眼下难度很大。但 Holley 在同一篇里也承认，GLM 5.3 能利用最初由更强模型发现的漏洞的修复。

前沿实验室的做法是把顶尖的网络能力先给防守方。Epoch 的报告提到 Glasswing、Daybreak 这类计划，对其余用户则严格限制。

问题在于，防守方修得越多，公开的补丁也越多。补丁本身就标出了漏洞的位置。这是分析推断，依据是 Holley 关于 GLM 5.3 利用更强模型所发现漏洞之修复的说法，以及 Epoch 6 个版本全部成功的结果。

Mozilla 的应对都落在发布流程上：发版周期缩到每周一次；回归测试在修复上线前保密，因为没有测试时 GLM 5.3 的成功率低得多；扫描每一个新提交。

它还计划错开不同防线补丁的空窗期，让网页进程漏洞和沙箱漏洞的修复不同时处在空窗里，但承认这要花时间。

据 The Decoder 的报道，研究者更担心路由器固件和手机系统这类更新慢的软件，用户暴露在空窗里的时间长得多。

模型线上，下一个变量已经排上日程。Epoch 写道，Kimi K3.1 Pro 计划在 11 月上旬开放权重，有限的基准数据显示它在攻击类任务上可能强于 GLM 5.3，但 Epoch 还没测过。

如果 Epoch 在 Firefox 159.0 上复测失败，更强的开放模型也做不出同样的攻击，这个判断就要收窄到「Firefox 那一段特定的空窗」。在那之前，用 Firefox 的读者至少应把浏览器更新到 159.0 或更新的版本。