Epoch AI が 2026 年 10 月 30 日に公開した実験のまとめによると、Z.ai が 8 月に公開したオープンウェイトモデル GLM 5.3 は、すでに公開されているもののユーザーにはまだ届いていないセキュリティ修正を利用して、Firefox に対する攻撃を自律的に組み立てられる。モデルが生成したウェブページは一度開かれるだけで、訪問者のパソコンにあるファイルを読み取り、攻撃者に送信できた。訪問者がさらに何かをクリックする必要はなかった。Epoch AI は、この種の攻撃が保存されたパスワードの読み取り、ログイン情報の窃取、個人ファイルの閲覧に使われ得ると指摘している。
パッチの空白はどう利用されたか
パッチの空白とは、修正コードは公開済みだが、ユーザーがまだ更新を受け取っていない期間を指す。Firefox の修正はベータ版やナイトリービルドに先に現れることが多い。Epoch AI はモデルに目標のバージョン番号、基本的なツール、公開時点で入手可能だった情報だけを与え、どの変更がセキュリティ修正かはモデル自身に判断させ、脆弱性を選び、多段階の攻撃チェーンを組み立てさせた。実験は 2026 年 9 月 17 日から 10 月 26 日に公開された 6 バージョンの Firefox を対象とし、すべてが突破された。モデルはまずメモリ安全性の欠陥を通じてブラウザ内部の読み書き能力を得て、保護機能にファイルを阻まれた後も段階を組み合わせ続け、最終的にはページを開くだけでファイルの読み取りに成功した。
1000 ドルという数字の背後にある二つの条件
コストの数字は二つの条件と一緒に理解する必要がある。Epoch AI が明らかにした総支出は 10 万ドル超で、オフラインの実験環境の構築と初期テストを含んでいる。環境が整った後、新しいバージョンを突破する平均コストは約 1000 ドルで、1 回の試行は最速 12 時間、上限は 48 時間だった。成功した攻撃は毎回二つの脆弱性を連結していた。一つはパッチの空白から得たもので、もう一つはモデルが繰り返し再発見した未公開の脆弱性で、後者がサンドボックスの制限を回避する助けになった。この未公開の脆弱性は Mozilla に伝えられ、Firefox 159.0 は 10 月 27 日に公開され修正されている。159.0 に対して同じ攻撃を再現できるかどうかは、まだ確認されていない。実験の間、Z.ai を含め、どのモデル提供者も安全対策や拒否を発動しなかった。同じ手法による Chrome への攻撃は成功しなかったが、Epoch AI はそれが Chrome を同じ方法で攻撃できない証明にはならないとしている。
ユーザーとベンダーにとっての意味
一般のユーザーにとって最も直接的な対応は、Firefox 159.0 へ速やかに更新し、自動更新を有効にしておくことだ。ベンダーにとっては、修正コードが公開されれば、脆弱性の場所を攻撃者に教えることになる。Epoch AI は、修正を出荷準備が整うまで非公開にすること、ベータ版から正式版への提供を速めること、連結可能な脆弱性を同じ修正バッチに入れないことを提案している。Firefox と Chrome はいずれも週次リリースに移行しているが、モデルは 2 日以内に実用的な攻撃チェーンを作れるため、ペースを速めるだけでは十分でない可能性があり、更新の遅いルーターのファームウェアやスマートフォンの OS の方がリスクは大きい。Epoch AI はまた、この研究が示すのはオープンウェイトモデルがこの種の攻撃能力をすでに持っていることだけであり、攻撃と防御の全体的なバランスについては結論を出していないと説明している。
