Epoch AI ha sfruttato sei versioni di Firefox con GLM-5.3 durante la finestra di patch

Che cosa ha mostrato l’esperimento

Epoch AI ha pubblicato un esperimento in cui GLM-5.3, un modello open-weight sviluppato da Z.ai, è riuscito a costruire attacchi contro sei versioni recenti di Firefox. Il lavoro si è concentrato sulla finestra di patch: il periodo in cui una correzione di sicurezza è già visibile nel codice, ma non è ancora arrivata a tutti gli utenti attraverso una versione stabile.

Nei test, una pagina web creata dal modello poteva indurre il browser a leggere un file locale e inviarne il contenuto a un server, senza che chi visitava la pagina dovesse compiere altre azioni. È un risultato grave, ma circoscritto: dimostra ciò che è avvenuto negli ambienti e con le versioni sottoposte a test, non che qualsiasi installazione di Firefox, browser o sistema sia vulnerabile nello stesso modo.

Che cosa significa la finestra di patch

Una correzione può diventare visibile prima che il relativo aggiornamento sia disponibile al pubblico. Nei progetti open source, le modifiche nei rami di sviluppo o nelle versioni beta possono offrire indizi sui difetti che si stanno correggendo. Un aggressore che individua questi cambiamenti può provare a ricostruire il problema e preparare un attacco contro le versioni che non includono ancora la correzione.

La finestra non si chiude necessariamente quando viene pubblicato un aggiornamento: può restare aperta perché alcune persone o organizzazioni impiegano tempo a installarlo. L’esperimento di Epoch AI si è concentrato sull’intervallo tra la pubblicazione di informazioni sulle correzioni e la loro inclusione nella versione stabile, non sui tempi di aggiornamento dei singoli utenti. La distinzione è importante: il risultato riguarda un’opportunità di attacco, non una percentuale osservata di vittime.

Come si è svolto il test e che cosa significa «senza intervento»

Epoch AI ha indicato a GLM-5.3 quale versione di Firefox esaminare, gli ha fornito strumenti di base e informazioni pubbliche disponibili alla data di rilascio di ciascuna versione, quindi lo ha eseguito senza accesso a Internet. Una volta predisposto l’ambiente, il modello ha individuato modifiche legate alla sicurezza, selezionato i difetti e cercato di concatenare le fasi dell’attacco. Secondo il rapporto, durante l’esecuzione di ciascun tentativo non ha ricevuto indicazioni umane.

L’espressione «senza intervento umano» descrive dunque il lavoro del modello dopo che il gruppo aveva preparato il test e definito l’obiettivo. Non significa che il sistema abbia agito senza configurazione, senza risorse selezionate dai ricercatori o fuori da un ambiente di valutazione. Epoch AI dichiara di aver concesso fino a 48 ore per tentativo; il tentativo riuscito più rapido ha richiesto 12 ore. Anche la preparazione e i test preliminari hanno contribuito al costo complessivo.

La catena richiedeva una vulnerabilità aggiuntiva

Il rapporto non attribuisce gli attacchi soltanto alle informazioni ricavabili dalle correzioni pubbliche. Epoch AI afferma che, nei test sulle versioni recenti, GLM-5.3 ha trovato e utilizzato anche una vulnerabilità non ancora resa pubblica. Il gruppo ha segnalato il difetto a Mozilla, che lo ha corretto in Firefox 159.0, rilasciato il 27 ottobre 2026.

Questa dipendenza è essenziale per valutare il risultato. La ricerca mostra che il modello ha combinato gli indizi forniti da correzioni visibili con un altro difetto, necessario per superare le protezioni del browser e leggere file. Epoch AI non ha confermato se gli attacchi fossero ancora possibili in Firefox 159.0; ritiene che la correzione dovrebbe renderli molto più difficili, ma questa valutazione non equivale a una verifica successiva che escluda il rischio. Il rapporto non sostiene neppure che il modello abbia ottenuto l’esecuzione di codice arbitrario nelle versioni recenti.

Costi, Chrome e portata delle evidenze

Epoch AI stima che la ricerca abbia comportato oltre 100.000 dollari di costi API complessivi, includendo la creazione dell’ambiente e i test preliminari. Una volta predisposto il sistema e indirizzato il lavoro verso il problema, il costo marginale stimato per compromettere una nuova versione di Firefox è stato di circa 1.000 dollari. Non sono cifre universali: dipendono dai prezzi delle API e dalla configurazione dell’esperimento.

Il gruppo ha provato una procedura simile anche contro Google Chrome, spendendo circa 100.000 dollari senza ottenere un exploit equivalente. Questo non dimostra che Chrome sia immune: lo stesso rapporto avverte che altri metodi di test o modelli più capaci potrebbero portare a risultati diversi. La pubblicazione primaria documenta l’esperimento su Firefox; la valutazione di Anthropic su GLM-5.3 riguarda benchmark e test differenti e non costituisce una replica indipendente della catena di exploit contro Firefox.

Che cosa possono fare i responsabili del software

Epoch AI osserva che la finestra di patch può riguardare anche altri tipi di software quando i dettagli di una correzione diventano pubblici prima di raggiungere gli utenti. La pubblicazione cita browser, sistemi operativi per dispositivi mobili e firmware dei router come ambiti in cui i ritardi negli aggiornamenti possono essere rilevanti. Si tratta di una valutazione del rischio generale, non della dimostrazione sperimentale che GLM-5.3 abbia compromesso tutti questi prodotti.

Tra le misure proposte dal gruppo figurano mantenere riservate le correzioni di sicurezza finché la versione non è pronta per la distribuzione, ridurre il tempo tra le versioni di test e quelle stabili ed evitare di raggruppare correzioni che potrebbero essere concatenate in un attacco. Per utenti e amministratori, installare gli aggiornamenti di sicurezza disponibili riduce l’esposizione ai difetti già corretti; da solo, però, non elimina il rischio di vulnerabilità sconosciute e non garantisce che tutti i software siano aggiornati.

Continua a esplorare

Correzioni e trasparenza

Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.