一千美元、十二小时：开源模型把「补丁窗口」从技术活变成了流水线

一千美元，十二小时，一个谁都能下载的开源模型，在没有人类插手的情况下攻破了 Firefox。研究机构 Epoch AI 在 10 月 29 日发布的报告里给出的这两个数字，改变了「补丁窗口期」这道经典安全课题的成本结构。

先交代实验设置。主角是智谱 Z.ai 今年 8 月发布的开源权重模型 GLM 5.3，权重公开，谁都能下载来跑。研究者给它一台离线沙箱、一句话方向的任务描述，让它去看 Firefox 公开代码仓库里那些已经合并、但还没推送给用户的安全修复，然后放它自己跑。每个版本限时 48 小时，人不插手。

结果：9 月 17 日到 10 月 26 日之间发布的六个 Firefox 版本，全部被攻破。最快一次只用了 12 小时，单版本边际成本约 1000 美元 API 费用。攻击效果是实打实的：用户只要打开一个网页，攻击者就能读走这台电脑上的文件，包括浏览器里存着的密码和登录凭证，全程无需用户再做任何点击。

🕳️ 补丁窗口：答案公开、考卷未收的这段日子

这件事的关键词叫补丁窗口（patch gap）。软件有漏洞，开发者写好修复代码，代码合并进公开仓库，还要经过编译、测试与推送，才真正到达你的设备。中间这段日子里，修复的「答案」已经明明白白写在公开仓库里：哪里改了、为什么改，怎么触发，懂行的人都看得懂。

这个窗口存在了几十年，为什么没出大事？因为「看懂漏洞在哪」和「写出一个稳定能用的攻击」是两码事。把修复代码变成可用的攻击链，过去需要顶尖安全研究员熬上几天甚至几周，人力成本高到多数攻击者干不起。手艺门槛是那块缓冲垫，垫着所有拖着不更新的用户。

现在垫子没了。Epoch 特意把实验设计成「一个资源有限的低水平攻击者」能做到的样子：只用各版本发布时已公开的信息，API 走通用渠道，全程不需要任何特权访问。在这个设定下，六个版本全部失守。

🔗 攻击链自己长出来的部分

更值得细看的细节在攻击链的第二环。六个版本的全部成功攻击里，GLM 5.3 都额外找到并利用了一个当时尚未公开的漏洞，用它完成了沙箱逃逸——从被攻破的浏览器页面跨进用户的文件系统。这个漏洞是模型在反复倒推补丁的过程中自己挖出来的，每次尝试都独立复现了一遍。Epoch 把它通报给 Mozilla，Mozilla 在 10 月 27 日发布的 Firefox 159.0 里修掉了。

Mozilla 的应对清单也值得记录：发布周期砍半，改为每周发版；把回归测试保密到修复正式上线（Epoch 发现 GLM 5.3 没有回归测试辅助时效果明显变差）；扫描每个新提交；把关联修复拆开发布，让攻击链的每一环不会同时躺在窗口里。这些全是承认威胁真实存在的动作。

⚖️ 三条边界，把恐慌压回实验范围

其一，这是沙箱里的自报结果。 Epoch 在离线环境里跑的实验，报告由 Epoch 自己发布，尚无独立复现。同样的方法打 Chrome，烧了约 10 万美元也没做出同等效果的攻击，多层防御仍在起作用。Firefox 159.0 上这招还灵不灵，报告自己也没确认。

其二，全程零拒答这件事要分开看。 Epoch 声明实验全程没有触发任何服务商的安全防护或拒绝，任务虽包装成安全演练，行为与真实攻击者无法区分。但开源权重的语境下，拒绝训练本来就是可剥离的——权重公开，护栏只是礼貌，不是控制。这一点对所有的开源安全策略都是压力测试。

其三，受影响的是流程，不是某一家。 补丁窗口广泛存在：浏览器有，手机操作系统有，路由器固件也有。开源项目因为代码公开尤其暴露，但闭源软件只要修复内容在发布前可能被看到，同样在射程内。Epoch 给厂商的建议是三条：修复保密到正式发布，缩短从测试版到正式版的时间，可串联的漏洞不要同时修。给用户的建议只有一条，朴实且紧迫：及时更新。

🧭 为什么这件事的分量比一次漏洞展示重

过去两年的 AI 安全叙事里，「前沿模型能挖漏洞」的展示不少，但主角都是封闭托管的前沿模型，访问被严格限制，叙事落点是「labs 在管住自己的模型」。这份报告把主角换成了一个可下载的开源权重模型，成本从「特权访问」变成了一千美元一件。防线的设计前提跟着变了：限制少数实验室的模型访问，挡不住一个公开的权重文件。

Mozilla 自己的回应没回避。Mozilla 的 Bobby Holley 写道，补丁窗口攻击是几十年老威胁，过去门槛在速度和手艺，现在模型把门槛削掉了，Mozilla 已经看到先进模型能利用某些漏洞的证据。他也提出了另一面：攻击者拿得到的模型落后于前沿几代，能挖的漏洞大多已被挖净。两句话都成立，真实图景在两者之间。

【判断】这份报告真正的结论不是「Firefox 不安全」，是「修复公开到推送落地之间的每一天，从此都要按攻击者已在场来计算」。补丁管理的 SLA，该从周级改到天级了。

参考来源：

• Epoch AI: Open-weight models and the patch gap, 2026-10-29
• Mozilla Firefox 159.0 安全公告与 Bobby Holley 回应，2026-10-27
• iSec News / AI Insiders / AI & Tech News 对报告的多方转述，2026-10-30
• 什么值得买社区中文解读《AI 自己攻破六个版本 Firefox》，2026-11

#AI安全 #开源模型 #GLM #网络安全