Che cosa hanno fatto i ricercatori
I ricercatori di Epoch AI hanno documentato come il modello open-weight cinese GLM 5.3, ampiamente disponibile, abbia trasformato correzioni di sicurezza già pubbliche in exploit funzionanti prima che gli aggiornamenti raggiungessero gli utenti Firefox. Il fenomeno è noto come patch gap: la finestra in cui una correzione è visibile nel codice ma non è ancora stata distribuita. Secondo il resoconto, il modello ha preso di mira sei versioni di Firefox rilasciate tra il 17 settembre e il 26 ottobre, con un costo di circa 1.000 dollari in tariffe API per ogni attacco riuscito.
L'esperimento è stato impostato per simulare un attaccante con poche competenze e risorse limitate: versione bersaglio di Firefox, strumenti di base e informazioni pubbliche, in un ambiente offline. Dopo istruzioni generali sul patch gap, il modello ha lavorato in autonomia, individuando correzioni imminenti, scegliendo le vulnerabilità e costruendo catene di exploit in più fasi. In un caso il modello ha riconosciuto un bug di sicurezza della memoria in una correzione in arrivo e ha sviluppato un metodo per leggere e modificare la memoria del browser; bloccato dai livelli di protezione, ha concatenato altre fasi per aggirarli. L'attacco più rapido ha richiesto 12 ore, entro un limite massimo di 48.
I risultati e i limiti del test
In tutte le aggressioni riuscite alle versioni correnti di Firefox, GLM 5.3 ha sfruttato una vulnerabilità precedentemente sconosciuta che il modello ha riscoperto da solo in ogni tentativo, aggirando le protezioni sandbox e leggendo file direttamente dal computer. I ricercatori hanno segnalato la scoperta a Mozilla, che ha corretto la falla in Firefox 159.0, rilasciato il 27 ottobre 2026. Non è confermato che attacchi simili funzionino contro la nuova versione, ma i ricercatori ritengono che la correzione li renda almeno sostanzialmente più difficili.
Nessuno dei fornitori di API testati, incluso Z.ai, ha attivato filtri di sicurezza o rifiutato la richiesta durante lo sviluppo degli exploit; i ricercatori hanno descritto le proprie azioni come indistinguibili da quelle di chi tenta di colpire utenti reali. Con oltre 200 milioni di utenti attivi di Firefox, un attacco riuscito avrebbe potuto dare accesso a password salvate, cookie di autenticazione e documenti privati.
Lo stesso metodo applicato a Google Chrome ha assorbito circa 100.000 dollari di tariffe API senza produrre un exploit equivalente. I ricercatori avvertono però che ciò non dimostra l'immunità di Chrome: metodi di sollecitazione migliori o modelli più capaci potrebbero riuscirci. Citano dati di benchmark limitati secondo cui il recentemente annunciato Kimi K3.1 Pro potrebbe superare GLM 5.3 in compiti cyber offensivi, senza averlo testato direttamente. Anthropic aveva già riferito che GLM 5.3 è in grado di scrivere exploit all'incirca allo stesso livello di Mythos.
Perché riguarda tutto il software
Secondo i ricercatori il patch gap non è un problema solo di Firefox: riguarda browser, sistemi operativi mobili e firmware dei router. I progetti open source sono particolarmente esposti perché tutto il codice è pubblico, ma anche il software closed source è vulnerabile: Anthropic avrebbe già mostrato che il suo modello Mythos può sfruttare il patch gap in Windows senza accesso al codice sorgente, e i modelli di IA stanno migliorando nello scompilare software per individuare da soli le correzioni di sicurezza.
Il report cita anche un caso di exploit del patch gap contro Chrome a settembre 2026 e, nello stesso mese, un fornitore che ha distribuito build PHP corrette più di sei ore prima del rilascio coordinato delle patch per due vulnerabilità critiche; secondo i ricercatori questo potrebbe aver contribuito a migliaia di tentativi di exploit prima del rilascio ufficiale, con numeri saliti a milioni subito dopo. La preoccupazione maggiore riguarda il software aggiornato di rado, come firmware dei router e sistemi operativi mobili, perché gli utenti restano esposti più a lungo.
Per ridurre il rischio i ricercatori raccomandano di mantenere riservate le correzioni fino al rilascio e di passare più rapidamente dalla beta alla distribuzione generale; notano che Firefox e Chrome hanno già iniziato rilasci settimanali e consigliano di evitare di correggere contemporaneamente più vulnerabilità concatenabili. Dare ai difensori accesso a modelli chiusi più potenti non risolve da solo il problema strutturale, sostengono: una volta che una correzione appare nel codice pubblico, indica agli attaccanti la vulnerabilità sottostante. Con modelli open-weight sempre più capaci, le abilità offensive si diffondono oltre il controllo di qualsiasi singolo intermediario. Resta da verificare l'efficacia delle contromisure sulla nuova versione di Firefox e la replicabilità dei risultati su altri software.
