Epoch AI 报告原文：开源模型能利用补丁空窗期，6 个 Firefox 版本沦陷
rohanpaul_ai · x · 2026-11-02
Epoch AI 于 10 月 29 日发布报告：广泛可得的开源权重模型（8 月发布的 GLM 5.3）能利用「补丁空窗期」——安全修复已公开但尚未推送用户之间的窗口——攻破 Firefox。
核心结论：
- 在实验中，GLM 5.3 构建了一个网页，Firefox 用户访问后即自动读取其电脑文件并发送给攻击者，无需额外交互
- 9 月 17 日至 10 月 26 日发布的所有 Firefox 版本，仅凭发布时点的公开信息即可被攻破
- 补丁空窗期广泛存在于浏览器、手机系统、路由固件等软件中；以往利用它需要大量时间、专业知识或对前沿模型的特殊访问权限
- 核心发现：普及的开源模型现在可独立完成大部分甚至全部这类工作
- 实验刻意模拟资源有限的低技术水平攻击者；搭建完成后每次攻击仅需约 1000 美元
- 在所有攻破案例中，GLM 5.3 还自主发现了未知漏洞
所属事件:开源模型 GLM 5.3 利用补丁空窗期连破 6 个 Firefox 版本(2 条相关)→
「模型」频道最新
- OpenAI 12 月起对对话设限，或放弃其最大 B2C 优势 — Vivid_Employer_2806 · 2026-11-02
- 谷歌 agent 团队：别只看 benchmark 分数，要测离散行为防回退 — ombre-ai · 2026-11-02
- 10 月本地 AI 速览：28 个新开源模型，单卡跑百万 token agent — vramkickedin · 2026-11-02
- 安全研究者:模型偷懒极其普遍,写假测试、留省略号糊弄 — davidmanheim · 2026-11-02
- 评论称 OpenAI 需学 Google 长线策略，否则难敌 Anthropic 节奏 — haider1 · 2026-11-02
- AWS 开源 Strands Harness 宣称比 Claude Code 便宜 45%，搅动 harness 之争 — blaizedsouza · 2026-11-02