GLM 5.3, un modello open-weight rilasciato ad agosto da Z.ai, ha sfruttato il ‘patch gap’ di Firefox per creare exploit funzionanti — in modo autonomo, senza intervento umano. Fino a poco tempo fa, farlo richiedeva tempo, competenze avanzate e accesso a modelli frontier controllati.
Il patch gap è la finestra tra quando una correzione di sicurezza viene pubblicata e quando arriva agli utenti. Mozilla, come molti progetti open source, pubblica le modifiche al codice prima del rilascio ufficiale. GLM 5.3 ha usato questa finestra per costruire una pagina web che, una volta visitata, leggeva un file dal computer della vittima e lo spediva all’attaccante. Senza che l’utente dovesse fare altro che aprire la pagina.
Come ha funzionato l’attacco
I ricercatori di Epoch AI hanno testato GLM 5.3 su sei versioni di Firefox rilasciate tra settembre e ottobre, usando solo informazioni disponibili pubblicamente al momento del rilascio di ciascuna versione. Il modello ha ricevuto istruzioni minime: puntare al patch gap, ispezionare le correzioni non ancora integrate nella versione stabile. Poi è stato lasciato lavorare da solo.
Ha funzionato ogni volta.
GLM 5.3 ha identificato le correzioni in arrivo, selezionato le vulnerabilità da sfruttare e costruito catene di exploit complesse. In un caso ha trovato una falla di memory safety, sviluppato un modo per leggere e modificare la memoria del browser, poi — siccome le protezioni di Firefox bloccavano ancora l’accesso ai file — ha aggiunto ulteriori stage per aggirare i livelli di sicurezza rimanenti. Ha diagnosticato crash, abbandonato approcci fallimentari, iterato fino al successo.
Il tutto in un massimo di 48 ore. Il tentativo più veloce: dodici ore.
Mille dollari per compromettere Firefox
Il costo totale della ricerca ha superato i 100.000 dollari, includendo sperimentazione e test preliminari. Ma una volta messo a punto il setup, compromettere una nuova versione di Firefox è costato circa mille dollari in chiamate API. Con un account in abbonamento, probabilmente meno.
Gli attacchi sulle versioni più recenti hanno sfruttato anche una vulnerabilità non pubblicata che il modello ha riscoperto autonomamente in ogni tentativo. Epoch AI l’ha segnalata a Mozilla, che l’ha corretta con Firefox 159.0 rilasciato il 27 ottobre. Questo dovrebbe rendere più difficili gli exploit basati sul patch gap, ma i ricercatori non hanno ancora confermato se attacchi simili possano funzionare sulla nuova versione.
Chrome ha resistito. Per ora.
Dopo il successo su Firefox, i ricercatori hanno provato lo stesso setup su Google Chrome. Stessa configurazione, stesse tecniche, circa 100.000 dollari di tentativi. Nessun exploit funzionante, almeno al momento della scrittura. Non significa che Chrome sia immune, solo che non ci sono ancora riusciti. Con tecniche di elicitazione migliori, o con modelli più capaci come il Kimi K3.1 Pro annunciato di recente, le cose potrebbero cambiare.
Nessun guardrail è scattato
Durante tutti i test, i ricercatori hanno inquadrato il compito come ‘esercizio di sicurezza’. Le loro azioni erano indistinguibili da quelle di un attaccante reale. Eppure non hanno incontrato rifiuti, restrizioni o limitazioni da nessun provider, Z.ai incluso.
I modelli open-weight possono essere eseguiti senza guardrail per definizione. Anche se i creatori aggiungono protezioni o istruiscono il modello a rifiutare certe richieste, chiunque può creare versioni abliterate che eseguono qualsiasi comando, senza filtri.
Il patch gap esiste ovunque
Firefox non è un caso isolato. Le condizioni necessarie per attacchi di questo tipo esistono in gran parte dell’industria software: ogni volta che una correzione diventa visibile prima di raggiungere gli utenti, un attaccante può fare reverse engineering e trasformarla in exploit.
A settembre 2026 ci sono stati exploit patch-gap contro Chrome. Nello stesso mese, un vendor ha pubblicato build corrette di PHP più di sei ore prima del rilascio coordinato delle patch per due vulnerabilità critiche. Quelle patch anticipate potrebbero aver contribuito a migliaia di tentativi di exploit prima del rilascio pubblico, poi saliti a milioni subito dopo.
Non parliamo solo di software open source. Anthropic ha dimostrato che Mythos è capace di sfruttare il patch gap su Windows, senza che il codice del progetto sia pubblicamente disponibile. I ricercatori di Epoch non hanno testato esplicitamente GLM 5.3 su progetti closed-source, ma man mano che le capacità cyber degli open-weight migliorano, diventerà possibile. Presto, se non lo è già.
Router e smartphone: il problema è peggiore
La preoccupazione più grande riguarda software che gli utenti aggiornano meno frequentemente: firmware di router, sistemi operativi mobile. La finestra di vulnerabilità è molto più lunga, e un compromesso diffuso può avere conseguenze serie.
Affrontare questa minaccia richiederà probabilmente di ridurre il tempo in cui le correzioni restano pubbliche prima di essere integrate nella release generale. I ricercatori hanno creato exploit in due giorni, ma altri attaccanti potrebbero essere più veloci. Dare ai difensori accesso a modelli chiusi più potenti non risolve il problema strutturale: una correzione pubblica, indipendentemente da come viene trovata, segnala dove sono le vulnerabilità.
Sia Firefox che Chrome hanno iniziato a rilasciare aggiornamenti settimanali. Un’altra strada è mantenere private le correzioni di sicurezza fino al momento del rilascio. In ogni caso, bisogna assumere che una volta che una correzione è nel codice pubblicato, gli attaccanti useranno quella informazione per colpire la release corrente.
Diffusione di capacità cyber avanzate
Fino ad aprile 2026, quando Anthropic ha annunciato Claude Mythos Preview, capacità cyber di questo livello erano limitate a modelli frontier strettamente controllati. I laboratori AI hanno risposto dando ad alcuni difensori accesso anticipato a capacità avanzate, attraverso progetti come Glasswing e Daybreak, e limitando pesantemente l’accesso più ampio. La strategia: permettere ai difensori di identificare e correggere vulnerabilità prima che gli attaccanti possano sfruttarle.
I modelli open-weight cambiano l’equazione. Sono disponibili per chiunque, senza restrizioni, e le loro capacità migliorano costantemente. GLM 5.3 ha compromesso sei release recenti di Firefox con un setup deliberatamente basilare, senza intervento umano, a circa mille dollari per versione compromessa.
Epoch AI vede questi risultati come evidenza della diffusione di capacità cyber avanzate. Molti altri software sono probabilmente già vulnerabili ad attacchi patch-gap simili, e il numero crescerà man mano che vengono rilasciati modelli open-weight più capaci.
Firefox ha oltre 200 milioni di utenti attivi. Questo tipo di exploit può leggere password salvate nel browser, rubare cookie di autenticazione, accedere a informazioni private sul computer dell’utente. Non è roba teorica. È un rischio concreto, ora accessibile a chiunque abbia voglia di scaricare un modello ed eseguirlo.
