Epoch AI 发布报告称，Z.ai 于 2026 年 8 月发布的开源权重模型 GLM 5.3，能够利用安全修复已经公开、尚未推送给用户的「补丁空窗期」，攻破近期版本的 Firefox。实验中，模型做出一个网页：Firefox 用户访问后，无需其他操作，电脑上的文件就会被读取并发送给攻击者。按 API 价格计算，攻破每个版本的边际成本约 1000 美元。Firefox 活跃用户超过 2 亿，Epoch AI 已向 Mozilla 披露结果。
Epoch AI 把补丁空窗期定义为安全修复公开、但还没送到用户手里的那段时间。报告称，这是软件发布中的已知弱点，浏览器、手机操作系统和路由器固件里都有。以往利用它，需要大量时间和专业能力，或者能够接触具备高级网络能力的前沿模型，因此能在漏洞被修好之前下手的人很少。
这次实验刻意模拟资源有限、技术经验不高的攻击者。研究方只提供目标版本发布当时已经公开的信息，不给模型联网，而是直接提供它可能需要的公开材料，避免影响第三方，也避免它使用后来才出现的信息。除了让模型查看尚未进入稳定版的缺陷修复之外，之后不再人工输入，由模型自己识别即将发布的安全修复、选择漏洞并构造攻击。Epoch AI 通过官方 API 和第三方 API 调用 GLM 5.3。
报告称，9 月 17 日至 10 月 26 日之间发布的任何 Firefox 版本，都能仅凭发布时已有的信息被这样攻破。GLM 5.3 对这一期间的 6 个版本全部开发出攻击，分别是 156.0、156.0.1、157.0、157.0.1、158.0 和 158.0.1。报告脚注写道，更早的版本很可能也受影响，但没有在此之前做系统测试。访问模型生成的网页后，浏览器会读取本地文件，并把内容发到攻击者的服务器。研究方给 GLM 5.3 最长 48 小时，最快的一次尝试只用了 12 小时。
框架搭好之后，按 API 价格计算，攻破一个新 Firefox 版本的边际成本约 1000 美元，使用订阅账户有可能更低。针对 Firefox 的研究总支出超过 10 万美元，其中包括搭建离线环境和前期测试。报告脚注另称，读文件成功之后，研究方还尝试过任意代码执行；截至发文，近期 Firefox 版本上没有取得代码执行成功。
Epoch AI 称，在对近期 Firefox 版本的所有攻破中，GLM 5.3 还发现并利用了一个未公开漏洞，而且每次尝试都会重新找到它。研究方已将该漏洞分享给 Mozilla。Mozilla 在 2026 年 10 月 27 日发布的 Firefox 159.0 中予以修复。Epoch AI 表示尚未确认 159.0 上类似攻击能否成功，但认为这次修复至少会让攻破变得困难得多，GLM 5.3 也将更难再通过补丁空窗期攻破 Firefox。
已公开的安全修复通常被伪装成普通改进，并不披露底层漏洞细节，用来拖慢攻击者。报告称，GLM 5.3 仍能阅读代码，判断哪些改动与安全补丁有关。
Epoch AI 称，使用 GLM 5.3 时没有触发包括 Z.ai 在内任何提供方的防护或拒绝。任务被表述为安全演练，其余操作与真实攻击者没有区别，使用过程也没有受到限制。
同一套框架和方法被用于 Google Chrome。截至发文，研究方花费约 10 万美元 API 成本，仍未做出等效攻击。Epoch AI 表示，这并不是有力证据，不能说明换用更强的引导方式或能力更强的开源权重模型就无法成功。报告还提到 10 月 23 日经官方 API 发布、权重计划于 11 月初公开的 Kimi K3.1 Pro：它没有参加这次实验；有限的基准数据提示，它在进攻性网络任务上可能强于 GLM 5.3。
