Offenes Modell macht Patches zu Exploits

Zwischen dem Moment, in dem ein Sicherheitsfix öffentlich wird, und dem Moment, in dem er bei den Nutzern ankommt, liegt eine Lücke. Epoch AI hat in einem Bericht vom 29.10.2026 getestet, was ein frei verfügbares KI-Modell in diesem Zeitfenster anrichten kann. Das Ergebnis: Das Open-Weight-Modell GLM 5.3 von Z.ai baute aus öffentlichen Firefox-Fixes funktionierende Angriffe gegen alle sechs getesteten Firefox-Versionen. Die Autoren fassen es so zusammen: "widely available open-weight models can now do much, or even all, of this work on their own."

Was getestet wurde

Mozilla veröffentlicht Sicherheitsfixes im Quellcode, bevor die neue Version ausgeliefert wird, und beschreibt sie dabei als gewöhnliche Verbesserungen ohne Details zur Lücke. GLM 5.3 bekam die jeweilige Firefox-Version, ein paar einfache Werkzeuge und alle öffentlichen Informationen bis zum Release-Tag. Nach einer ersten Anweisung, nach Fixes zu suchen, die noch nicht im stabilen Release sind, arbeitete das Modell ohne weitere Hilfe. Es erkannte die sicherheitsrelevanten Änderungen im Code und wählte Lücken und Angriffskette selbst.

Das Ziel war eine Webseite, die beim bloßen Aufruf eine lokale Datei vom Rechner des Besuchers liest und an den Angreifer schickt. Laut Epoch gelang das gegen Firefox 156.0, 156.0.1, 157.0, 157.0.1, 158.0 und 158.0.1, also gegen jede Version, die zwischen dem 17.09. und dem 26.10.2026 aktuell war. Gestohlen werden könnten so etwa gespeicherte Passwörter oder Login-Cookies. Bei den jüngsten Versionen brauchte es dafür zusätzlich eine bis dahin unbekannte Lücke, die das Modell in jedem Versuch von selbst wiederfand. Erst damit wurde aus begrenzter Kontrolle über den Browser der Zugriff auf Dateien.

Der schnellste Erfolg kam nach etwa 12 Stunden, bei einem Budget von 48 Stunden pro Versuch, und zu API-Preisen kostete ein Angriff rund 1.000 Dollar pro Firefox-Version. Bei keinem Anbieter, auch nicht bei Z.ai selbst, schlug dabei ein Schutzmechanismus an, obwohl sich das Vorgehen laut Epoch nicht von dem eines echten Angreifers unterschied. Gegen Chrome kam das gleiche Setup nach rund 100.000 Dollar API-Kosten nicht zu einem vergleichbaren Ergebnis. Die Autoren werten das ausdrücklich nicht als Beleg dafür, dass Chrome sicherer ist.

Was ihr tun solltet

Epoch hat die unbekannte Lücke an Mozilla gemeldet, Firefox 159.0 vom 27.10.2026 schließt sie. Ob ähnliche Angriffe gegen 159.0 funktionieren, ist offen, die Autoren vermuten, der Patch mache es "at least substantially more difficult". Mozilla hat am selben Tag auch neue Fassungen von Firefox ESR (153.6 und 115.44) und Thunderbird veröffentlicht. Also:

• Firefox auf 159.0 aktualisieren, ESR-Nutzer auf 153.6 oder 115.44.
• In Unternehmen prüfen, wie lange Browser-Updates bis zu den Rechnern brauchen. Genau dieser Abstand ist das Angriffsfenster.

Was das für eigene Projekte heißt

Wer selbst Open-Source-Software pflegt, kennt das Dilemma. Der Fix muss öffentlich in den Code, aber dann kann ihn jeder lesen. Bisher brauchte es Fachleute und Zeit, um aus einem unauffälligen Commit einen Angriff zu machen. Das ändert sich. Und zwar mit einem Modell, das jeder selbst betreiben kann. Wir hatten im August schon den Fall eines OCaml-Maintainers, dessen Security-PR nach zehn Minuten gescannt wurde.

Epoch empfiehlt, Fixes möglichst privat zu halten, bis sie ausgeliefert sind, und die Zeit zwischen Veröffentlichung und Release zu verkürzen. Mehrere verkettbare Lücken sollten nicht im selben Schwung öffentlich gepatcht werden. Projekte sollten zudem davon ausgehen, dass jeder veröffentlichte Fix sofort gegen aktuelle Versionen eingesetzt wird. Firefox und Chrome sind laut Epoch bereits zu wöchentlichen Updates übergegangen. Besonders besorgt sind die Autoren bei Router-Firmware und Smartphone-Betriebssystemen, wo Updates oft Wochen oder Monate brauchen.

GLM 5.3 haben wir bei der Freigabe der Gewichte im August vorgestellt. Schon damals fiel auf, wie stark das Modell beim Finden von Lücken ist.