TL;DR ：研究机构 Epoch AI 10 月 29 日发布实验报告：Z.ai 的开源权重模型 GLM 5.3 仅凭「已公开但还没推送到用户」的安全修复（补丁窗口/patch gap），全自主造出了「访问即中招」的网页，攻破了 9 月 17 日到 10 月 26 日之间发布的全部六个 Firefox 版本，单个版本攻击成本约 1000 美元、最快 12 小时完成。Mozilla 已于 10 月 27 日在 Firefox 159.0 中修复了攻击链依赖的一个未公开漏洞。这事的真正分量不在 Firefox，在于它第一次系统性地证明：开源权重模型 + 公开的修复代码 = 自动化的漏洞生产线。
做安全的人对「补丁窗口」（patch gap）都不陌生：修复代码先进了代码库，普通用户还要等几天甚至几周才收到更新------这段时间里，公开的 diff 就是一张「漏洞地图」。以前这张地图只有资深漏洞工程师用得动，毕竟从一行修复反推出可用 exploit，是几周工作量起步的手艺。
现在这张地图有了新的读者。Epoch AI 的实验就是想回答一个问题：一个随便谁都能下载的开源模型，能不能独立看懂这张地图、并把漏洞造出来？
想查原始出处？参考来源在这：
实验是怎么做的？
Epoch 的设定刻意模仿「一个技术一般、预算有限的攻击者」能做到什么：
- 环境：Ubuntu 26.04 默认安全设置 + 官方发布的 Firefox，全程离线沙盒------不给模型联网，避免误伤真人，公开信息由研究者直接投喂；
- 输入 ：目标 Firefox 版本号、基础工具，以及该版本发布时点已经公开的信息（防止用后来才发现的漏洞作弊）；
- 指令：只有一句方向性提示------去检查那些「已发布但还没合入稳定版」的 bug fix；
- 然后：完全放手。模型自己识别哪些改动是安全补丁、自己挑漏洞、自己组装 exploit 链。
结果：6 个版本（156.0 到 158.0.1）全部沦陷。每个版本最多给 48 小时，最快一次只用 12 小时。成品是一个网页------Firefox 用户访问后，浏览器读取本地文件并传给攻击者，全程不需要任何额外点击。也就是说，理论上可以偷走你存在浏览器里的密码、Cookie 和电脑里的私人文件。
成本是这次实验最扎眼的数字：研究总投入（含搭环境和预实验）超过 10 万美元 API 费，但流水线跑通之后，每攻破一个新版本的边际成本只要约 1000 美元。为什么这么便宜？看下一节。
它到底强在哪？
这次攻击有意思的不是单个漏洞，而是模型的「工程能力」：
- 看穿了反制措施。Mozilla 为了拖慢攻击者，故意把安全修复伪装成普通改进发布、不写漏洞细节。GLM 5.3 照样读代码读出「这几处是安全补丁」------混淆对人类有效，对一个能通读整个 diff 的模型基本失效。
- 自己排障。一次尝试中，模型从即将发布的修复里定位到一个内存安全缺陷，写出了读写浏览器内存的方法，结果被 Firefox 的安全机制挡住。它没有放弃，而是把初始 exploit 和好几个附加阶段组合起来，一路诊断崩溃、换路径、迭代，直到「打开网页就能读文件」。
- 链式组合 。每个成功的攻击都是「patch gap 漏洞拿到浏览器进程内代码执行 + 一个未公开漏洞绕过沙箱读文件」的组合拳。更微妙的是：那个未公开漏洞是模型每次尝试都独立重新发现的------研究者把它负责任披露给了 Mozilla，10 月 27 日的 Firefox 159.0 已经修掉。
为什么「零人工」还要打个引号？因为公平地说：环境和目标都是研究者配的，10 万美元的前期投入也没算进那 1000 美元里。但反过来讲，对真实攻击者来说这些是一次性成本------搭好一次，之后每个新版本都是流水线价。这正是「边际成本」这个词在这里如此刺眼的原因。
还有两个值得留意的细节：全程没有触发任何提供商的安全护栏（包括 Z.ai 自己）；对 Chrome 的同类攻击倒是没成功------但 Epoch 自己也不认为这是安全性的证据，换个引导方式或换个更强的开源模型（比如刚发布的 Kimi K3.1 Pro）都可能改写结局。
各方什么反应？
- Mozilla（被影响方）：截至发稿没有公开声明，但行动先于表态------10-27 的 Firefox 159.0 修复了攻击链依赖的未公开漏洞，官方安全公告评级 high。159.0 之后攻击是否还行，Epoch 没测，「应该会困难得多」是他们的原话，不是定论。
- Z.ai（模型方）：未公开回应。
- Hacker News 社区：最热门的视角是「对称性」------开源权重模型让攻击者拿到自动化漏洞生产线的同一时刻，防御者也拿到了同款能力，社区至少拥有了以前没有的对等筹码。这个观点跟 Epoch 报告里「给防御方更强的闭源模型解决不了结构性问题」形成了有趣的对照：一边说对称是安慰，一边说对称是希望。
- 克制派媒体（Inferama、Rubric 等）专门做了口径校准：这是特定环境、特定版本的可行性证明，不等于天下 Firefox 全都危险；「无人工输入」指的是跑起来之后，不等于无人配置。这些限定都成立，但不改变主干事实。
顺带一提，还有二手报道称 Anthropic 的 ExploitBench 上 GLM-5.3 跑出 12.2% 的 exploit 成功率、GLM-5.3-Flash 小模型用约 20 美元 API 费链接了 Chrome V8 已知漏洞------这些数字只在二手引用里出现，原始报告未直接给出，看个趋势就好，别当精确事实引用。
这事跟你有什么关系？
如果你只是 Firefox 用户：把浏览器升到 159.0 或更新版本，这事对你基本翻篇------但「更新慢的软件风险窗口最长」这句话现在有了新的分量，路由器固件、老操作系统是同一个逻辑的重灾区。
如果你是做软件发布的：Epoch 给的建议很具体，值得抄------
- 安全修复尽量私密合入，别让修复代码在公开仓库里等发布窗口；
- 加快 beta 到正式版的推送节奏（Firefox 和 Chrome 都已开始每周发版）；
- 避免同时修复多个可被链接的漏洞------同时公开的修复等于把组合拳套路一并送给攻击者。
如果你是开源权重模型的从业者或决策者：这才是这次实验真正的爆点。一个下载了 130 万次的模型，社区可以做出去掉护栏的「abliterated」版本，出了问题无法召回。闭源模型出安全问题是厂商的工程问题，开源权重模型出安全问题是结构问题------这次是 Firefox 和一个负责任的研究机构接住了，下次呢？
把话说明白：这次事件里，站点站得住的事实是「六个版本被攻破、成本 1000 美元、Mozilla 已修关键链路」；有争议的是攻防收益到底倒向哪边；没证实的是 159.0 之后的攻防态势和那些二手基准数字。但方向已经足够清楚------「补丁公开 = 攻击指引」从安全圈的老生常谈，变成了可以用信用卡预算自动化执行的流程。留给整个行业的窗口，比留给 Firefox 的补丁窗口，还要紧。
参考来源
- Epoch AI：Open-weight AI models can exploit the patch gap（一手实验报告，2026-10-29）
- Epoch AI Substack 镜像（同上，含完整方法学）
- the-decoder：Open-weight model GLM 5.3 built full Firefox exploit chains with zero human input（2026-10-30）
- Unite.AI：Epoch AI Reports Open-Weight GLM 5.3 Exploits Firefox Patch Gap（2026-10-29）
- Inferama：GLM-5.3 and Firefox's patch gap --- what Epoch AI tested（解读校准，2026-10-30）
- Hacker News 社区讨论（舆论切面）