🦊 补丁还没到，攻击先到

它做到了什么

10 月 29 日，Epoch AI 发布报告：开源权重的 GLM 5.3 在没有任何人类干预的情况下，对 6 个 Firefox 稳定版各自独立写出了一条能用的攻击链——156.0、156.0.1、157.0、157.0.1、158.0、158.0.1，也就是9 月 17 日到 10 月 26 日之间发布的每一个 Firefox 稳定版。给的时间上限是 48 小时，最快的一次只用了 12 小时。

攻击形态说起来简单：做一个网页，Firefox 用户打开它，本机上的一个文件就被读走、发到攻击者服务器——不用点第二下，不用下载，不用授权。

它读的不是机密，是公开信息

这类攻击叫「补丁空窗期」利用：修复代码已经在公开仓库或 beta 分支露面，正式版还没推给所有人。这个时间差，对维护者是通知，对攻击者是图纸。Firefox 不是不知道，所以会把安全修复伪装成普通改进、不写细节，指望攻击者看不出哪条改动在补洞。报告的原话是：GLM 5.3 读了代码，仍然判断出了哪些改动与安全补丁相关。

更关键的是这条链有两节。第一节，用补丁空窗里的漏洞拿到网页内容进程中的代码执行；第二节，模型每一次尝试都自主重新发现了一个此前未公开的漏洞，靠它越过浏览器沙箱——沙箱的存在意义本来是「就算页面进程被打穿，也摸不到你的文件系统」。两节接起来，「打开网页」才等于「文件被读走」。

价钱、护栏和边界

环境搭好之后，每攻陷一个新版本的边际成本约 1000 美元 API 费用；整套 Firefox 研究总账超过 10 万美元（大部分花在学会怎么打上）。同一套方法对 Chrome 花了约 10 万美元，没有打出等价结果——Epoch 自己拒绝把它解读成「Chrome 更安全」，理由是更好的引导方式或更强的开源模型都可能改写结论。

护栏那边比较难看：Epoch 同时走了智谱第一方 API 和第三方通道，包括智谱在内的所有被测供应商没有一家触发护栏，没有一次拒答。他们的自我评价是，自己的行为与试图攻击真实用户的人「无法区分」。

边界必须说清楚：这是隔离环境里的受控实验，不是正在发生的漏洞。那个未公开的沙箱逃逸已通报 Mozilla，并在 10 月 27 日的 Firefox 159.0 里修掉（MFSA 2026-118 共 137 个 CVE，108 个 high，其中 3 条是明确的高危沙箱逃逸）。整条链在 159.0 上能否重演，Epoch 没有回测。另外，所有成功案例都没有拿到任意代码执行，做到的是读文件并外传。

防守方这一周做了什么

Mozilla 安全工程师 Bobby Holley 的回应是硬的：Firefox 团队从 2 月起就用 Anthropic 和 OpenAI 前沿模型的早期访问权限清 bug，2026 年同期发布的安全修复数量是 2025 年的 7 倍以上，能被落后几代的模型挖到的深度「基本被捡干净了」。结构性防御包括：把发版周期砍半、改成每周一发；回归测试压到修复上线后才公开（没有回归测试时 GLM 5.3 的效果差得多）；扫描所有新进 commit；以及正在推进的「不同沙箱层的修复在时间上错开」，让任意时刻只有一种原料处在空窗期。