重要点
- エポックAIの研究者たちは、一般に利用可能なAIモデルGLM 5.3が、公開されるセキュリティ修正がユーザーに届く前に、自動的にFirefoxを利用できることを示した。
- モデルは、隠されたセキュリティ修正と連鎖する脆弱性を、以前に公開されていない欠陥と結びつけて認識し、ユーザーが単にウェブページを訪問しただけで、ブラウザの保護機構を回避してローカルファイルを読み取ることができた。
- テスト環境が整った後、FirefoxのバージョンごとにAPI料金として約1,000ドルかかった。研究者たちは、同様の「パッチのギャップ」リスクがソフトウェア業界全体に及ぶ可能性があると警告している。
Epoch AIの研究者たちは、自由に利用可能なAIモデルが、セキュリティパッチの公開と提供の間の時間を利用してFirefoxユーザを攻撃することができると示しています。1回の攻撃にかかるコストは約1,000ドルです。
"パッチギャップ"とは、セキュリティパッチがコード上で確認できるものの、まだユーザーに届いていない状態のことです。Epoch AIの研究者たちは、中国のオープンウェイトモデルのGLM 5.3が、9月17日から10月26日の間にリリースされた6つのFirefoxバージョンを通じてこのギャップを利用し、成功した攻撃ごとに約1,000ドルのAPI料金をかけていたことを発見しました。Anthropicは以前、GLM 5.3はMythosとほぼ同じレベルでエクスプロイトを作成できると報告していました。
テスト中、モデルは訪問者のコンピュータからローカルファイルを読み取り、Firefoxユーザーがページを開く瞬間に攻撃者のサーバーに送信できるウェブページを構築しました。2億人の活動中のFirefoxユーザーがいるため、攻撃者は保存されたパスワード、認証クッキー、プライベート文書にアクセスすることができたでしょう。
Z.aiも他のAPIプロバイダーも、研究者がGLM 5.3を利用してエクスプロイト開発を行った際に、何らかのセキュリティガードや拒否措置を引き起こさなかった。研究者たちはこのタスクをセキュリティ演習と位置づけたものの、彼らの行動は「実際のユーザを標的とする試みと区別がつかない」と述べている。
人間の入力なしで、モデルは完全なエクスプロイチェーンを構築した
研究者たちは、限られたリソースを持つ低スキル攻撃者が達成可能なものを近似するように、自ら設計した環境を用意したと述べています。彼らは、ターゲットとなるFirefoxのバージョン、基本的なツール、そしてオフライン環境で利用可能な情報を提供しました。パッチのギャップを調査するための基本指示を受けた後、モデルは自律的に動作し、今後のセキュリティ修正、脆弱性の選定、そして複数段階の攻撃チェーンを構築しました。
報告によると、Firefoxのセキュリティ修正は、攻撃者を遅らせるための通常の改善として隠されていました。GLM 5.3はその手口を見抜き、どのコード変更がセキュリティに関連するかを特定しました。
あるケースで、モデルは今後の修正を通じてメモリセキュリティのバグを発見し、ブラウザのメモリを読み取ったり変更したりする方法を開発した。Firefoxのセキュリティ層が対象ファイルへのアクセスを遮断すると、モデルは初期の攻撃手法にいくつかの追加ステップを連結して、残りの防御を突破した。最速で成功した攻撃には12時間がかかったが、研究者たちはモデルに最大48時間の時間を与えた。
現行のFirefoxバージョンに対するすべての成功した攻撃において、GLM 5.3はこれまで未知であった脆弱性に依存していました。このモデルは各試行で独立して再発見し、ブラウザのサンドボックス保護を回避し、コンピュータから直接ファイルを読み取ることができました。
チームはその調査結果をMozillaに公開し、Mozillaは2026年10月27日にリリースされたFirefox 159.0にその脆弱性を修正した。研究者たちは、新バージョンに対して同様の攻撃が有効かどうかは確認していないが、このパッチによりそれらが「少なくとも大幅に困難になる」と疑っている。
同じ設定と手法をGoogle Chromeに対して適用した結果、チームは同等のエクスプロイトを実現することなく約10万ドルのAPI料金を費やした。研究者たちは、これがChromeの免疫性を確立したわけではないと警告している。より効果的な手法やより高性能なモデルが成功する可能性がある。彼らは限定的なベンチマークデータを示し、最近発表されたKimi K3.1 Proが攻撃的なサイバータスクにおいてGLM 5.3を上回る可能性があると指摘しているが、彼ら自身は実験を行っていない。
すべてのソフトウェアベンダーは同じリスクに直面する
パッチギャップはFirefoxだけの問題ではありません。Epoch AIの研究者によると、この問題はソフトウェア業界全体に存在し、ブラウザ、モバイルオペレーティングシステム、ルーターファームウェアに見られます。オープンソースプロジェクトは特に脆弱です。なぜなら、そのすべてのコードが公開されているからです。しかし、クローズドソースのソフトウェアも危険です。 アントロピックは、ソースコードにアクセスしない状態でもWindowsのパッチギャップを利用できるMythosモデルを持っていることを既に示しており、AIモデルはコンパイルされたソフトウェアを自動的に解読し、セキュリティ修正を特定する能力が着実に向上している。
報告によると、2026年9月にChromeを標的としたパッチギャップ型のエクスプロイトが発生した。同じ月に、あるベンダーは2つの重要な脆弱性に対するパッチの共同リリースより6時間以上前に、修正されたPHPバージョンを公開した。外部の報道を引用して、研究者たちはこの早期公開が、正式リリース前に数千件のエクスプロイト試行につながった可能性があると指摘している。その後、その数は直ちに数百万件にまで増加した。
ユーザーが頻繁にアップデートしないソフトウェア、例えばルーターファームウェアやモバイルオペレーティングシステムについて、チームは特に懸念しています。なぜなら、ほとんどのユーザーが長期間にわたって危険にさらされるからです。
迅速な更新は有効ですが、構造的なギャップを解消することはできません
リスクを減らすために、研究者たちはセキュリティ修正を発売準備が整うまで秘密にしておき、ベータ版から一般公開へ移行することを早急に行うことを推奨している。FirefoxやGoogle Chromeは既に毎週のアップデートを発行していると彼らは指摘している。また、開発者には、複数の脆弱性が連携可能な場合には、同時に多くの脆弱性に対してパッチを適用することを避けるよう助言している。
研究者たちによると、防御者により強力なクローズドモデルへのアクセスを提供するだけでは、構造的な問題は解決されないという。公開されたコードに修正が見つかると、攻撃者は根本的な脆弱性につながる。AnthropicのClaude Mythos Previewは、AIサイバー機能における大きな進歩であった。2026年4月、Frontier Labsは制限されたアクセスや、Glasswingや、Daybreakのようなプログラムを通じて、防御者に早期アクセスを提供する対応を行った。
自由に利用可能なオープンウェイトモデルがより高度になっていくにつれて、攻撃能力はどのゲートキーパーの制御範囲を超えて広がっている。研究者たちは次のように述べている。「これらの結果は、高度なサイバー機能の拡散の証拠だと私たちは考えている。他の多くのソフトウェアもおそらく同様のパッチギャップ攻撃に対して脆弱である可能性があり、より高度なオープンウェイトモデルが発表されるにつれてその数は増加すると予想される。」
出典：Epoch.ai