研究机构 Epoch AI 10 月 29 日发布报告：Z.ai 8 月发布的开放权重模型 GLM 5.3，能从已公开但还没推送给用户的 Firefox 安全修复中找出对应漏洞，自主串成多段利用链，做出一个网页——Firefox 用户只要打开它，本地文件就会被读取并发到攻击者服务器。9 月 17 日到 10 月 26 日之间发布的六个 Firefox 版本全部被攻破。
置信度：高（95） · 事件时间 2026-10-29
理由
- “补丁空窗期”（修复已出现在公开代码里、但还没到用户手上）是已知弱点，过去要很多时间和专业知识，或要用访问受限的前沿模型才能利用。报告称：现在任何人都能下载的开放模型就能独立完成；研究者通过 Z.ai 官方 API 和第三方 API 调用，以安全演练名义下任务，没有触发任何一家的防护或拒答。
- 研究者称：搭好环境后，攻破每个新版本的边际成本约 1000 美元 API 费用；给了 48 小时上限，最快一次 12 小时。Firefox 把安全修复伪装成普通改进，GLM 5.3 仍然认了出来；每次成功攻击都还用到一个未公开的沙箱绕过漏洞，模型每次都自己重新找到了它。
- 同样的方法对 Chrome 花了约 10 万美元仍未成功，研究者强调这不说明 Chrome 安全；他们提到 10 月 23 日上线 API 的 Kimi K3.1 Pro 在攻击类测试上可能更强，但没有测试。
用法
- Firefox 用户更新到 10 月 27 日发布的 159.0 或更新版本，它修补了那个未公开漏洞。软件维护者可以看报告的建议：安全修复在准备发布前不公开、缩短测试版到正式版的时间、不要同时修补能被串联利用的多个漏洞。报告全文在 epoch.ai。
风险
- 研究者还没确认 159.0 是否仍能被类似方法攻破，只说“至少会难得多”。
- 实验在离线沙箱中进行，研究者自己提供了公开信息和工具，前期搭建环境的总花费超过 10 万美元；“每版本约 1000 美元”只算边际成本。
- GLM 5.3 的开发方 Z.ai 和 Mozilla 对报告的回应没有公开。