Epoch AI ließ GLM-5.3 sechs Firefox-Versionen während der Patch-Lücke angreifen

Was das Experiment ergab

Epoch AI veröffentlichte ein Experiment, in dem GLM-5.3, ein Open-Weight-Modell von Z.ai, Angriffe gegen sechs aktuelle Firefox-Versionen entwickelte. Im Mittelpunkt stand die sogenannte Patch-Lücke: der Zeitraum, in dem eine Sicherheitskorrektur bereits im Code sichtbar ist, aber noch nicht über eine stabile Version alle Nutzer erreicht hat.

Eine vom Modell erstellte Webseite konnte den Browser dazu bringen, eine lokale Datei auszulesen und ihren Inhalt an einen Server zu senden, sobald jemand die Seite besuchte. Die beschriebenen Folgen sind schwerwiegend. Der Befund gilt jedoch für die getesteten Versionen und Versuchsbedingungen. Er zeigt nicht, dass jede Firefox-Installation, jeder Browser oder jedes Betriebssystem auf dieselbe Weise verwundbar ist.

Was mit der Patch-Lücke gemeint ist

Eine Sicherheitskorrektur kann öffentlich sichtbar werden, bevor das zugehörige Update allgemein verfügbar ist. Bei Open-Source-Projekten können Änderungen in Entwicklungszweigen oder Betaversionen Hinweise darauf geben, welche Fehler gerade behoben werden. Wer diese Änderungen erkennt, kann versuchen, das zugrunde liegende Problem zu rekonstruieren und einen Angriff gegen Versionen vorzubereiten, in denen die Korrektur noch fehlt.

Die Lücke endet nicht zwangsläufig mit der Veröffentlichung eines Updates: Einzelne Nutzer oder Organisationen installieren es womöglich erst später. Epoch AI untersuchte jedoch den Zeitraum zwischen der Veröffentlichung von Informationen zu Korrekturen und ihrer Aufnahme in eine stabile Version. Die Studie maß nicht, wie lange einzelne Nutzer bis zur Aktualisierung warten. Das ist wichtig: Der Befund beschreibt eine Angriffsmöglichkeit, keine tatsächlich beobachtete Zahl von Opfern.

Wie getestet wurde und was „ohne menschliches Eingreifen“ bedeutet

Epoch AI gab GLM-5.3 die zu untersuchende Firefox-Version vor, stellte grundlegende Werkzeuge und öffentlich verfügbare Informationen bereit, die zum Erscheinungszeitpunkt der jeweiligen Version vorlagen, und führte das Modell ohne Internetzugang aus. Nach der Einrichtung identifizierte das Modell sicherheitsrelevante Änderungen, wählte Schwachstellen aus und versuchte, mehrere Exploit-Schritte zu einer Kette zu verbinden. Laut Bericht erhielt es während eines einzelnen Versuchs keine weiteren menschlichen Anweisungen.

„Ohne menschliches Eingreifen“ beschreibt also die Arbeitsphase des Modells, nachdem das Team den Test vorbereitet und das Ziel festgelegt hatte. Es bedeutet nicht, dass das System ohne Einrichtung, ohne von Forschenden ausgewählte Ressourcen oder außerhalb einer Testumgebung arbeitete. Epoch AI gab dem Modell pro Versuch bis zu 48 Stunden. Der schnellste erfolgreiche Versuch dauerte 12 Stunden. Auch die Vorbereitung und vorläufige Tests flossen in die Gesamtkosten ein.

Für die Angriffskette war eine zusätzliche Schwachstelle nötig

Der Bericht führt die Angriffe nicht allein auf Informationen aus öffentlich sichtbaren Korrekturen zurück. Epoch AI zufolge fand und nutzte GLM-5.3 bei den Angriffen auf die getesteten neueren Versionen zusätzlich eine damals unveröffentlichte Schwachstelle. Das Team meldete den Fehler an Mozilla. Das Unternehmen behob ihn in Firefox 159.0, das am 27. Oktober 2026 erschien.

Diese zusätzliche Abhängigkeit ist entscheidend für die Bewertung des Ergebnisses. Die Untersuchung zeigt, dass das Modell Hinweise aus sichtbaren Korrekturen mit einem weiteren Fehler kombinierte, der nötig war, um Schutzmechanismen des Browsers zu überwinden und Dateien auszulesen. Epoch AI bestätigte nicht, ob Angriffe in Firefox 159.0 noch möglich waren. Das Team geht davon aus, dass die Korrektur sie erheblich erschweren sollte; das ist jedoch keine nachträgliche Prüfung, die ein verbleibendes Risiko ausschließt. Der Bericht behauptet außerdem nicht, dass GLM-5.3 bei den getesteten neueren Versionen beliebige Codeausführung erreicht habe.

Kosten, Chrome und Aussagekraft der Befunde

Epoch AI beziffert die gesamten API-Kosten der Forschungsarbeit auf mehr als 100.000 US-Dollar. Darin enthalten waren der Aufbau der Testumgebung und vorläufige Versuche. Nachdem diese Umgebung eingerichtet und das Modell auf das Problem ausgerichtet war, schätzte das Team die zusätzlichen Kosten für einen erfolgreichen Angriff auf eine weitere Firefox-Version auf rund 1.000 US-Dollar. Das sind keine allgemeingültigen Kostenwerte: Sie hängen unter anderem von den API-Preisen und der konkreten Versuchsanordnung ab.

Das Team erprobte ein ähnliches Verfahren auch gegen Google Chrome und gab dafür rund 100.000 US-Dollar aus, ohne einen vergleichbaren Exploit zu entwickeln. Das beweist nicht, dass Chrome immun ist. Epoch AI weist darauf hin, dass andere Anleitungen oder leistungsfähigere Modelle zu einem anderen Ergebnis führen könnten. Die Primärveröffentlichung dokumentiert das Firefox-Experiment. Anthropic untersuchte GLM-5.3 in anderen Benchmarks und Tests; diese Arbeit ist keine unabhängige Wiederholung der Firefox-Angriffe.

Was Softwareanbieter und Nutzer tun können

Epoch AI hält die Patch-Lücke auch bei anderen Softwarearten für relevant, wenn Korrekturen öffentlich werden, bevor Nutzer sie erhalten. Die Veröffentlichung nennt Browser, mobile Betriebssysteme und Router-Firmware als Bereiche, in denen verzögerte Aktualisierungen eine Rolle spielen können. Das ist eine allgemeine Risikoeinschätzung und kein experimenteller Nachweis, dass GLM-5.3 all diese Produkte kompromittiert hat.

Das Team schlägt unter anderem vor, Sicherheitskorrekturen bis zur Auslieferung der fertigen Version vertraulich zu halten, den Zeitraum zwischen Test- und stabilen Versionen zu verkürzen und Korrekturen nicht zusammenzufassen, wenn sich die behobenen Fehler zu einem Angriff verbinden lassen. Für Nutzer und Administratoren verringert die Installation verfügbarer Sicherheitsupdates die Gefährdung durch bereits behobene Fehler. Sie beseitigt jedoch weder das Risiko unbekannter Schwachstellen noch garantiert sie, dass sämtliche Software aktuell ist.

Weiter entdecken

Korrekturen und Transparenz

Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.