In einer am 30. Oktober 2026 veröffentlichten Zusammenfassung seiner Experimente erklärte Epoch AI, dass GLM 5.3, ein im August von Z.ai veröffentlichtes Open-Weight-Modell, Sicherheitskorrekturen nutzen kann, die bereits veröffentlicht, aber noch nicht bei den Nutzerinnen und Nutzern angekommen sind, um eigenständig Angriffe auf Firefox zu bauen. Eine vom Modell erzeugte Webseite musste nur einmal aufgerufen werden, um Dateien vom Computer der Besucherin oder des Besuchers zu lesen und an einen Angreifer zu senden, ohne dass weitere Klicks nötig waren. Epoch AI wies darauf hin, dass diese Art von Angriff zum Auslesen gespeicherter Passwörter, zum Diebstahl von Anmeldedaten oder zum Einsehen privater Dateien verwendet werden könnte.
Wie die Patch-Lücke ausgenutzt wurde
Die Patch-Lücke bezeichnet den Zeitraum, in dem der Korrekturcode bereits öffentlich ist, die Nutzerinnen und Nutzer das Update aber noch nicht erhalten haben. Firefox-Korrekturen erscheinen oft zuerst in Beta- oder Nightly-Versionen. Epoch AI gab dem Modell nur die Zielversionsnummer, grundlegende Werkzeuge und Informationen, die zum Zeitpunkt der Veröffentlichung bereits öffentlich waren, und ließ es selbst entscheiden, welche Änderungen Sicherheitskorrekturen waren, dann Schwachstellen auswählen und mehrstufige Angriffsketten zusammensetzen. Das Experiment umfasste sechs Firefox-Versionen, die zwischen dem 17. September und dem 26. Oktober 2026 veröffentlicht wurden, und alle sechs wurden geknackt: Das Modell verschaffte sich zunächst über einen Speicherfehler Lese- und Schreibzugriff im Browser und kombinierte weitere Stufen, nachdem Schutzfunktionen die Zieldatei blockiert hatten, bis der bloße Aufruf der Seite zum Lesen der Datei genügte.
Zwei Voraussetzungen hinter der Zahl von tausend Dollar
Die Kostenangabe muss mit zwei Voraussetzungen gelesen werden. Epoch AI legte Gesamtausgaben von mehr als 100.000 Dollar offen, einschließlich des Aufbaus einer Offline-Testumgebung und früher Tests; sobald die Umgebung stand, kostete das Knacken einer neuen Version im Schnitt etwa 1.000 Dollar, ein einzelner Versuch dauerte schnellstens 12 Stunden und höchstens 48 Stunden. Jeder erfolgreiche Angriff verkettete zwei Schwachstellen: eine aus der Patch-Lücke und eine weitere, noch unveröffentlichte Schwachstelle, die das Modell immer wieder neu entdeckte und die half, die Sandbox-Beschränkungen zu umgehen. Diese unveröffentlichte Schwachstelle wurde Mozilla gemeldet, und Firefox 159.0 wurde am 27. Oktober mit einer Korrektur dafür veröffentlicht; ob sich der gleiche Angriff gegen 159.0 reproduzieren lässt, ist noch nicht bestätigt. Kein Modellanbieter löste während des Experiments Schutzmaßnahmen oder Ablehnungen aus, Z.ai eingeschlossen. Derselbe Ansatz scheiterte bei Chrome, und Epoch AI erklärte, das beweise nicht, dass Chrome auf dieselbe Weise nicht angegriffen werden könne.
Was das für Nutzerinnen und Nutzer sowie Anbieter bedeutet
Für normale Nutzerinnen und Nutzer bleibt der direkteste Schritt, so bald wie möglich auf Firefox 159.0 zu aktualisieren und automatische Updates eingeschaltet zu lassen. Für Anbieter gilt: Sobald Korrekturcode öffentlich ist, verrät er Angreifern, wo die Schwachstelle liegt. Epoch AI schlug vor, Korrekturen bis zur Versandbereitschaft geheim zu halten, die Auslieferung von der Beta- zur stabilen Version zu beschleunigen und Schwachstellen, die sich verketten lassen, nicht im selben Korrekturpaket zu bündeln. Firefox und Chrome sind beide zu wöchentlichen Veröffentlichungen übergegangen, doch ein Modell kann innerhalb von zwei Tagen eine funktionierende Angriffskette bauen, sodass ein schnellerer Rhythmus allein nicht ausreichen muss; Software mit langsameren Updates, etwa Router-Firmware und Smartphone-Betriebssysteme, trägt das größere Risiko. Epoch AI erklärte außerdem, die Studie belege nur, dass Open-Weight-Modelle diese Angriffsfähigkeit bereits besitzen, und ziehe keine Schlussfolgerung über das Gesamtgleichgewicht von Angriff und Verteidigung.
