דוח: מודל פתוח הפך תיקוני אבטחה של Firefox לניצולים מלאים, בלי עזרה אנושית

לפי דוח של חוקרי Epoch AI, מודל בינה מלאכותית זמין לכל בנה מתקפות מלאות נגד הדפדפן Firefox, בלי שום מעורבות אנושית. המודל הוא GLM 5.3, מודל open-weight סיני, כלומר מודל שהמשקלים שלו פתוחים לציבור. הוא תקף שש גרסאות של Firefox שיצאו בין 17 בספטמבר ל-26 באוקטובר, בעלות של כ-1,000 דולר בעמלות API לכל מתקפה מוצלחת. הממצאים דווחו ב-The Decoder, ולא אומתו כאן באופן עצמאי.

מה זה "פער התיקון"

המחקר עוסק במה שמכונה patch gap, או "פער התיקון". זה פרק הזמן שבו תיקון אבטחה כבר גלוי בקוד, אבל עדיין לא הגיע למחשבים של המשתמשים. בפרויקט קוד פתוח כמו Firefox, כל שינוי בקוד פומבי. מי שמזהה שינוי מסוים כתיקון אבטחה יכול להבין ממנו איפה נמצאת הפרצה, ולנצל אותה לפני שהעדכון מותקן.

לפי הדוח, מוזילה מסווה את תיקוני האבטחה כשיפורים שגרתיים כדי להאט תוקפים. GLM 5.3 לא הוטעה, וזיהה אילו שינויים נוגעים לאבטחה.

איך זה עבד

החוקרים מספרים שבנו את הניסוי כך שידמה תוקף בעל כישורים נמוכים ומשאבים מוגבלים. המודל קיבל את גרסת Firefox שהייתה המטרה, כלים בסיסיים ומידע פומבי, בסביבה מנותקת מהרשת. אחרי הנחיה בסיסית לחקור את פער התיקון הוא עבד לבד: איתר תיקונים צפויים, בחר חולשות ובנה שרשראות ניצול רב-שלביות.

התוצאה הייתה דף אינטרנט שקורא קבצים מקומיים מהמחשב של המבקר ושולח אותם לשרת של התוקף, ברגע שמשתמש Firefox טוען את הדף. בכל המתקפות המוצלחות נגד הגרסאות העדכניות, המודל נשען על חולשה שלא הייתה ידועה עד אז ושאותה גילה מחדש בכל ניסיון. החולשה הזו אפשרה לו לעקוף את ה-sandbox, מנגנון הבידוד של הדפדפן. המתקפה המהירה ביותר נמשכה 12 שעות, מתוך מגבלה של 48 שעות.

עם יותר מ-200 מיליון משתמשים פעילים ב-Firefox, תוקפים יכלו לכאורה להשיג גישה לסיסמאות שמורות, לעוגיות אימות ולמסמכים פרטיים. החוקרים דיווחו למוזילה, והחולשה תוקנה ב-Firefox 159.0, שיצא ב-27 באוקטובר 2026. לדבריהם הם לא בדקו אם מתקפות דומות עובדות נגד הגרסה החדשה, אבל הם מעריכים שהתיקון הופך אותן ל"קשות יותר באופן משמעותי, לכל הפחות".

אף אחד לא עצר

לפי הדוח, לא Z.ai ולא ספקי API אחרים הפעילו מנגנוני הגנה או סירבו לבקשות במהלך פיתוח הניצולים. החוקרים אמנם הציגו את המשימה כתרגיל אבטחה, אבל הם עצמם מתארים את הפעולות שלהם כ"בלתי ניתנות להבחנה מאלו של מי שמנסה לתקוף משתמשים אמיתיים".

בניסוי מקביל נגד Google Chrome, עם אותם כלים ושיטות, הצוות הוציא כ-100,000 דולר בעמלות API בלי להגיע לניצול שקול. החוקרים מדגישים שאין בכך הוכחה ש-Chrome חסין: שיטות הפעלה טובות יותר או מודלים חזקים יותר עשויים להצליח. הם מציינים נתוני מבחני ביצועים (benchmark) מוגבלים, שלפיהם Kimi K3.1 Pro, שהוכרז לאחרונה, עשוי לעלות על GLM 5.3 במשימות סייבר התקפיות. את Kimi K3.1 Pro עצמו הם לא בדקו.

למה זה חשוב

לפי הדוח, הבעיה לא מוגבלת ל-Firefox. פער התיקון קיים בכל תעשיית התוכנה: בדפדפנים, במערכות הפעלה לנייד ובקושחה של נתבים. פרויקטי קוד פתוח חשופים במיוחד כי כל הקוד שלהם גלוי, אבל גם תוכנה סגורה פגיעה. אנתרופיק כבר הראתה שהמודל שלה, Mythos, מסוגל לנצל את פער התיקון ב-Windows בלי גישה לקוד המקור. אנתרופיק גם דיווחה בעבר ש-GLM 5.3 כותב ניצולים ברמה דומה בערך לזו של Mythos. לפי הדוח, כבר בספטמבר 2026 היו מתקפות שניצלו את פער התיקון נגד Chrome.

המשמעות, ככל הנראה, היא שהעלות והמיומנות שנדרשות כדי להפוך תיקון אבטחה פומבי לנשק ירדו מאוד. אם מודל פתוח עושה זאת בכ-1,000 דולר ובתוך שעות, ספקי תוכנה כנראה יצטרכו לקצר את הזמן בין פרסום התיקון להתקנתו אצל המשתמשים. סביר גם שתתחדש השאלה מה בכלל חושף תיקון שמתפרסם לפני שהעדכון זמין. למשתמשים המסקנה פשוטה יותר: כדאי להתקין עדכוני דפדפן מיד כשהם יוצאים.