Epoch AI: Das offene Modell GLM 5.3 nutzt die Lücke zwischen ver­öf­fent­lichtem Sicher­heitsfix und Update gegen Firefox aus

Epoch AI hat GLM 5.3 auf Firefox angesetzt. Das Modell hat offene Gewichte, Z.ai hat es im August veröffentlicht, und jeder kann es ohne Beschränkung betreiben. Die Aufgabe lautete: eine Webseite bauen, die beim bloßen Besuch eine Datei vom Rechner des Besuchers liest und an den Angreifer schickt. Das gelang gegen alle sechs Firefox-Versionen, die zwischen dem 17. September und dem 26. Oktober erschienen sind. Dabei stand dem Modell jeweils nur das Wissen zur Verfügung, das am Tag der Veröffentlichung öffentlich war. Der Hebel ist die Patch Gap, also die Zeit zwischen dem Moment, in dem eine Sicher­heits­kor­rektur öffentlich wird, und dem, in dem sie bei den Nutzern ankommt. Bei einem Open-Source-Projekt wie Firefox liegen anstehende Änderungen schon vorher in den Beta- und Nightly-Zweigen des Codes, mit denen Entwickler neue Fehler aufspüren.

Eine Webseite, die Dateien vom Rechner holt

Epoch hat den Versuch so aufgebaut, dass er einen Angreifer mit wenig technischer Erfahrung und gewöhnlichen Ent­wick­ler­werk­zeugen nachstellt. Das Modell bekam die Firefox-Version des Opfers, einige einfache Werkzeuge und den Auftrag, Fehlerbehebungen zu untersuchen, die noch nicht in der stabilen Fassung stecken. Internetzugang hatte es keinen, damit Dritte unberührt bleiben. Die nötigen öffentlichen Informationen reichte das Team direkt herein. Alles Weitere erledigte GLM 5.3 ohne Eingriff eines Menschen. Es erkannte die anstehenden Sicher­heits­kor­rek­turen, obwohl diese als gewöhnliche Verbesserungen getarnt sind und die Schwachstelle dahinter verschweigen. Danach wählte es Lücken aus und baute daraus eine Angriffskette aus mehreren Stufen. In einem Durchlauf fand es über eine kommende Korrektur einen Fehler in der Spei­cher­si­cher­heit und konnte damit Speicher im Browser lesen und verändern. An der Zieldatei scheiterte es zunächst trotzdem, weil weitere Schutzschichten von Firefox im Weg standen. Das Modell wertete Abstürze aus, verwarf erfolglose Ansätze und setzte neu an, bis der Besuch der Seite für den Zugriff auf die Datei genügte. Das Team gab ihm bis zu 48 Stunden Zeit, der schnellste Versuch brauchte 12.

Bei allen Angriffen auf die jüngsten Versionen nutzte das Modell zusätzlich eine bis dahin unveröffentlichte Schwachstelle, die es bei jedem Versuch neu fand. Erst diese Lücke machte aus begrenzter Kontrolle über den Browser den Zugriff auf Dateien des Rechners. Epoch hat sie Mozilla gemeldet, und Firefox 159.0 vom 27. Oktober schließt sie. Was auf dem Spiel steht, zeigt die Verbreitung: Firefox hat mehr als 200 Millionen aktive Nutzer. Mit einem solchen Angriff lassen sich im Browser gespeicherte Passwörter lesen, Anmelde-Cookies stehlen und private Dateien einsehen.

Die Schranke lag bisher beim Zugang zu Spitzenmodellen

Die Patch Gap ist als Schwäche lange bekannt, und sie findet sich in Browsern, Betriebssystemen für Telefone und der Firmware von Routern. Bisher galt: Wer sie ausnutzen wollte, brauchte viel Zeit und Fachwissen oder Zugang zu Spitzenmodellen mit fortgeschrittenen Fähigkeiten für Angriffe. Hinzu kam, dass ein so gebauter Exploit nur funktioniert, bis das Update ankommt, und manche Angreifer ihre Aufmerksamkeit deshalb lieber anderswo einsetzen. Entsprechend wenige versuchten es. Seit Anthropic im April 2026 Claude Mythos Preview vorgestellt hat, steht fest, dass Spitzenmodelle Lücken in produktiver Software finden und ausnutzen können. Die großen Labore antworteten mit einer Zugangsstrategie: Verteidiger bekommen über Projekte wie Glasswing und Daybreak früh Zugriff, alle anderen nur stark eingeschränkt. Dahinter steht die Rechnung, dass Verteidiger die Lücken schließen, bevor Angreifer sie finden. Die Patch Gap entzieht sich dieser Rechnung, denn sie öffnet sich erst, nachdem die Korrektur geschrieben ist. Für Modelle mit offenen Gewichten gilt die Zugangsschranke außerdem von vornherein nicht. Epoch schließt daraus, dass solche Modelle einen großen Teil dieser Arbeit oder sogar alles selbst erledigen, und erwartet, dass sich die Lage mit besseren offenen Modellen verschärft.

Rund 1.000 Dollar je Firefox-Version

Insgesamt gab Epoch für die Firefox-Versuche mehr als 100.000 Dollar an API-Kosten aus. Darin stecken der Aufbau einer realistischen Umgebung ohne Internet und die Vorversuche. Stand die Umgebung einmal, wurde jede weitere Version billig und verlässlich: rund 1.000 Dollar zu API-Preisen, mit Abonnements womöglich weniger. Ein Angreifer, den das Risiko eines autonomen Agenten mit Internetzugang nicht kümmert, spart sich die abgeschottete Sandbox und kommt noch billiger davon. Das Team rief das Modell über die API von Z.ai und über Drittanbieter auf und rahmte die Aufgabe als Sicherheitsübung. Ansonsten war das Vorgehen von einem echten Angriff nicht zu unterscheiden. Bei keinem Anbieter, auch bei Z.ai nicht, löste es eine Schutzmaßnahme oder eine Ablehnung aus. Epoch vermutet, dass auch geschlossene Software angreifbar ist, sobald ein Modell den Inhalt anstehender Sicher­heits­än­de­rungen vor der Auslieferung einsehen kann. Als Beispiele für die Verbreitung nennt der Bericht Patch-Gap-Exploits gegen Chrome im September 2026. Im selben Monat veröffentlichte ein Anbieter gepatchte Fassungen von PHP mehr als sechs Stunden vor der abgestimmten Freigabe.

Chrome hielt stand, Kimi K3.1 Pro ist ungeprüft

Gegen Google Chrome gelang mit derselben Umgebung und Kosten von rund 100.000 Dollar bis zur Veröffentlichung kein vergleichbarer Angriff. Epoch wertet das ausdrücklich als schwachen Hinweis: Mit geschickterer Anleitung oder stärkeren offenen Modellen könnte es anders ausgehen. Ein Kandidat dafür ist Kimi K3.1 Pro. Das Modell ist seit dem 23. Oktober über die API seines Herstellers erreichbar, die Gewichte sollen Anfang November folgen, und erste Benchmarks deuten auf stärkere Angriffs­fä­hig­keiten als bei GLM 5.3 hin. In den Versuchen kam es nicht vor. Offen bleibt auch, ob die Angriffe gegen Firefox 159.0 noch gelingen. Epoch hält es für deutlich schwieriger, hat es aber nicht geprüft. Zum Kräfteverhältnis zwischen Angriff und Verteidigung äußert sich der Bericht nicht. Er hält fest, dass offene Modelle auch Verteidigern helfen, denen der Zugang zu den beschränkten Spitzenmodellen fehlt.

Einordnung

Für Unternehmen und private Nutzer folgt daraus vor allem eine Frage an die eigene Update-Praxis: Solange ein Browser nach einer veröffentlichten Korrektur auf dem alten Stand bleibt, steht genau dieses Fenster offen. Automatische Updates und ein zeitnaher Neustart des Browsers verkürzen es, eine zentrale Verteilung mit langer Wartezeit verlängert es. Warum offene Gewichte jede Zugangsschranke eines Anbieters aufheben, erklärt Nutzung und Anpassung von LLMs, Kapitel 02.