GLM-5.3 nutzte Firefox-Patch-Lücken für automatisierte Exploitketten

Was mit einer „Patch-Lücke“ gemeint ist

Eine Patch-Lücke entsteht, wenn eine Sicherheitskorrektur bereits in öffentlich zugänglichem Code enthalten ist, aber noch nicht in der regulären Version der Software angekommen ist. Das kann etwa passieren, wenn Änderungen zuerst in Beta- oder Nightly-Versionen sichtbar werden und erst später allgemein verteilt werden. Eine Korrektur kann dabei als gewöhnliche Codeverbesserung erscheinen; ein Angreifer, der Änderungen vergleicht und analysiert, kann dennoch versuchen, ihren Sicherheitsbezug zu erkennen. [1] [2]

Das Prinzip betrifft nicht nur Firefox. Epoch verweist auf Browser, mobile Betriebssysteme und Router-Firmware als weitere Softwarebereiche, in denen eine Korrektur vor ihrer breiten Auslieferung sichtbar werden kann. Besonders relevant ist das für Produkte, die Nutzer oder Organisationen nur selten aktualisieren: Dort kann die Zeit zwischen öffentlichem Hinweis und wirksamem Schutz länger ausfallen. [1] [2]

Autonomer Ablauf, aber kein Versuch ohne menschliche Vorbereitung

Epoch beschreibt das Setup als bewusst einfach gehalten: Die Forscher stellten die jeweilige Firefox-Version, grundlegende Werkzeuge und öffentlich verfügbare Informationen bereit. Das Modell erhielt eine anfängliche Anweisung, die noch nicht ausgelieferten Sicherheitskorrekturen zu untersuchen. Danach habe es Schwachstellen ausgewählt und die Exploitkette ohne weitere menschliche Eingriffe entwickelt. [1] [2]

Die Formulierung „ohne menschliche Eingabe“ ist deshalb einzuordnen. Menschen richteten die Umgebung ein, wählten das Ziel aus und gaben den Auftrag; die behauptete Autonomie bezieht sich auf die anschließende Entwicklung innerhalb dieses Versuchs. Nach Angaben von Epoch war die Umgebung offline, und die Forschenden begrenzten die verfügbare Information auf den jeweiligen Veröffentlichungszeitpunkt. [1] [4]

Für jeden Angriff durfte das Modell bis zu 48 Stunden arbeiten. Der schnellste erfolgreiche Versuch benötigte laut Epoch zwölf Stunden. Die Versuche wurden über APIs ausgeführt und als Sicherheitsübung gerahmt; Epoch berichtet, dass weder Z.ai noch andere genutzte API-Anbieter eine Ablehnung oder Schutzmaßnahme auslösten. Das ist eine Beobachtung aus diesem konkreten Versuchsaufbau und keine Aussage über alle Nutzungsbedingungen oder jede mögliche Anfrage an diese Anbieter. [1] [2]

Vom Browserfehler bis zum Zugriff auf lokale Dateien

Nach Darstellung der Forscher bestand die Angriffskette aus mehreren Stufen. Zunächst nutzte GLM-5.3 eine durch die bevorstehende Korrektur erkennbare Schwachstelle, um einen Einstieg in den Browserprozess für Webinhalte zu erhalten. In einem beschriebenen Fall erkannte das Modell einen Speicherfehler und entwickelte eine Methode, Browser-Speicher zu lesen und zu verändern. [1] [4]

Dieser erste Zugriff reichte nicht aus, um beliebige Dateien auf dem Rechner zu lesen: Browser-Sandboxen sollen gerade verhindern, dass kompromittierte Webinhalte auf das übrige System zugreifen. Epoch zufolge fand das Modell zusätzlich eine zuvor unveröffentlichte Schwachstelle und setzte sie wiederholt ein, um diese Schutzgrenze zu überwinden. Die Forscher berichten, dass eine präparierte Webseite dann lokale Dateien auslesen und an einen Angreiferserver senden konnte, sobald ein Nutzer die Seite aufrief. Weitere Interaktionen seien dafür nicht erforderlich gewesen. [1] [2]

Epoch nennt als mögliche Folgen den Zugriff auf gespeicherte Passwörter, Authentifizierungs-Cookies und private Dokumente. Das sind mögliche Auswirkungen des berichteten Dateizugriffs, keine von den Quellen belegten Fälle eines tatsächlichen Datendiebstahls bei Firefox-Nutzern. Die Unterscheidung ist wesentlich: Die Forscher demonstrierten einen technischen Angriff in einer Testumgebung, nicht eine erfolgreiche Kampagne gegen reale Organisationen. [1] [2]

Mozilla schloss eine Schwachstelle – der Status danach blieb offen

Epoch teilte die zuvor unveröffentlichte Schwachstelle nach eigenen Angaben Mozilla mit. Mozilla behob sie in Firefox 159.0, das am 27. Oktober 2026 erschien. Epoch hatte zum Zeitpunkt der Veröffentlichung seiner Ergebnisse noch nicht bestätigt, ob vergleichbare Angriffe gegen diese Version weiterhin funktionieren; die Forscher erwarteten lediglich, dass die Korrektur den Angriff deutlich erschwert. [1] [2]

Damit ist die Patch-Lücke nicht automatisch vollständig geschlossen. Die Meldung unterscheidet zwischen der behobenen, bislang unbekannten Schwachstelle und den Sicherheitskorrekturen, die das Modell als Einstieg für seine Exploitkette analysierte. Ob der Angriff nach der Mozilla-Korrektur noch gelingt oder welche weiteren Schutzmaßnahmen erforderlich wären, lässt sich aus den verfügbaren Angaben nicht ableiten. [1] [2]

Auch beim Vergleich mit Chrome ist Zurückhaltung geboten. Epoch berichtet, mit denselben Methoden und einem Aufwand von rund 100.000 US-Dollar an API-Kosten keinen vergleichbaren Exploit gegen Google Chrome erzeugt zu haben. Die Forschenden werten das ausdrücklich nicht als Nachweis, dass Chrome gegen solche Angriffe immun ist: Bessere Anweisungen oder leistungsfähigere Modelle könnten zu anderen Ergebnissen führen. [1] [2]

Kosten und Aussagekraft der Versuche

Epoch beziffert die API-Kosten auf etwa 1.000 US-Dollar je kompromittierter Firefox-Version, sobald das Testsystem eingerichtet war. Diese Zahl beschreibt somit die Nutzung des Modells im vorbereiteten Versuchsablauf, nicht den gesamten Aufwand für Forschung, Aufbau der Testumgebung oder eine mögliche reale Angriffskampagne. Sie ist zudem eine Schätzung der Forschenden und kein allgemein gültiger Preis für vergleichbare Exploits. [1] [2] [4]

Die Kostenangabe ist für die Risikobewertung relevant, weil sie auf eine sinkende Ressourcenschwelle hindeuten kann. Sie belegt aber nicht, dass jeder Akteur mit rund 1.000 US-Dollar einen funktionierenden Angriff gegen beliebige Software herstellen könnte. Epochs Ergebnisse beziehen sich auf die getesteten Firefox-Versionen, den konkreten Informationsstand und die eigens vorbereitete Umgebung. [1] [2]

Eine separate Analyse von Anthropic liefert einen weiteren, aber nicht gleichzusetzenden Hinweis auf die Fähigkeiten des Modells. Das Unternehmen berichtet, GLM-5.3 habe in seinem ExploitBench-Test in 50 von 410 Versuchen vollständige Exploits entwickelt; bei Claude Mythos Preview seien es 56 von 410 gewesen. In einem weiteren, internen Benchmark erzielte GLM-5.3 laut Anthropic vollständige Kontrollflussübernahmen in vier Prozent der getesteten Aufgaben. Diese Ergebnisse betreffen andere Tests und bestätigen nicht unabhängig den konkreten Firefox-Angriff von Epoch. [3]

Offene Modellgewichte verändern die Schutzfrage

GLM-5.3 wird als Open-Weight-Modell verbreitet. Anders als bei einem ausschließlich über eine kontrollierte API verfügbaren System können veröffentlichte Modellgewichte heruntergeladen und in eigenen Umgebungen betrieben oder verändert werden. Anthropic hebt in seiner Analyse hervor, dass GLM-5.3 frei heruntergeladen werden kann; zugleich unterscheidet das Unternehmen zwischen den offen verfügbaren Gewichten und Modellen, deren Nutzung auf geprüfte Anwender beschränkt ist. [3]

Anthropic berichtet außerdem von Tests, in denen sich Schutzmechanismen von GLM-5.3 mit einfachen Methoden umgehen ließen. In simulierten Szenarien reagierte das Modell laut dem Unternehmen in 64 Prozent der Fälle auf eine irreführende Sicherheitsübung-Erzählung und in 92 Prozent der Fälle auf vorangestellte Denkhinweise; bei einer von Anthropic veränderten Modellvariante lag der Wert bei 100 Prozent. Das sind Ergebnisse aus Anthropics eigener Testumgebung und nicht Messwerte aus Epochs Firefox-Experiment. Sie verdeutlichen jedoch, dass Schutzmaßnahmen einer API und Kontrolle über herunterladbare Gewichte unterschiedliche Herausforderungen darstellen. [3]

Z.ai hatte bei der Vorstellung von GLM-5.3 selbst auf eine unerwartet stark entwickelte Fähigkeit zur Schwachstellensuche und Exploitentwicklung hingewiesen. Die Benchmarks in diesem Beitrag stammen vom Modellanbieter und sind daher als Anbieterangaben zu verstehen; sie sind kein unabhängiger Nachweis für die Firefox-Ergebnisse. Zusammen mit den später berichteten Versuchen von Epoch und Anthropic zeigen sie, dass Cyberfähigkeiten bei der Entwicklung des Modells ein ausdrücklich behandeltes Thema waren. [5] [1] [3]

Konsequenzen für Patch- und Sicherheitsmanagement

Für Unternehmen liegt die unmittelbare Bedeutung weniger in einem einzelnen Firefox-Fehler als im Zeitfenster zwischen einer öffentlich sichtbaren Korrektur und ihrer flächendeckenden Installation. Wenn Modelle Codeänderungen schnell analysieren und mehrere Fehler zu einer Kette verbinden können, wird eine langsame Verteilung von Sicherheitsupdates zu einem relevanteren betrieblichen Risiko. Das ist eine Schlussfolgerung aus den von Epoch beschriebenen Versuchen, kein Beleg dafür, dass alle Anbieter oder Produkte gleichermaßen angreifbar sind. [1] [2]

Epoch empfiehlt, Sicherheitskorrekturen möglichst bis zur Versandbereitschaft vertraulich zu halten und die Zeit von Beta- bis zur allgemeinen Freigabe zu verkürzen. Die Forschenden verweisen außerdem darauf, mehrere Schwachstellen nicht gleichzeitig zu patchen, wenn sich diese miteinander verkettet ausnutzen lassen. Firefox und Chrome hätten bereits begonnen, wöchentliche Updates bereitzustellen; das kann die Zeit bis zur allgemeinen Auslieferung verringern, beseitigt den strukturellen Zielkonflikt zwischen Tests, Koordination und schneller Veröffentlichung aber nicht automatisch. [1]

Für Sicherheitsverantwortliche folgt daraus, dass Update-Tempo und tatsächliche Verteilung gemeinsam betrachtet werden sollten. Eine schnelle Veröffentlichung schützt eine Organisation nur dann zeitnah, wenn die betroffenen Systeme den Patch auch erhalten. Besonders zu prüfen sind nach der Logik der Untersuchung Browser, mobile Betriebssysteme und Netzwerkgeräte, deren Firmware in manchen Umgebungen seltener aktualisiert wird. Das ist eine betriebliche Einordnung der von Epoch benannten Risikobereiche, keine Behauptung, dass bestimmte Unternehmenssysteme bereits kompromittiert wurden. [1] [2]

Ein Warnsignal, aber kein Beleg für flächendeckende Angriffe

Die zentrale Aussage der Untersuchung ist eng zu fassen: Epoch zufolge konnte GLM-5.3 unter kontrollierten Bedingungen Patch-Lücken in sechs Firefox-Versionen ausnutzen und diese Angriffe mit einer zusätzlichen, zuvor unveröffentlichten Schwachstelle bis zum Zugriff auf lokale Dateien erweitern. Die Forscher melden eine Offenlegung an Mozilla und eine Korrektur in Firefox 159.0, haben die Wirksamkeit ähnlicher Angriffe gegen diese Version aber nicht abschließend überprüft. [1] [2]

Für Unternehmen ist der Befund deshalb ein Anlass, die eigene Patch-Verteilung und die Sichtbarkeit von Vorabversionen zu prüfen – nicht ein Grund, einen erfolgreichen Angriff auf die eigene Umgebung anzunehmen. Die weitergehende Sorge von Epoch, dass ähnliche Patch-Lücken auch andere Software betreffen könnten, ist eine Risikoeinschätzung der Forschenden. Wie viele Produkte tatsächlich betroffen sind und wie schnell Angreifer solche Fähigkeiten außerhalb der Testumgebung einsetzen können, zeigen die vorliegenden Quellen nicht. [1] [2]

Quellen

1. [1] Open-weight model GLM 5.3 built full Firefox exploit chains with zero human input in under 48 hours — https://the-decoder.com/open-weight-model-glm-5-3-built-full-firefox-exploit-chains-with-zero-human-input-in-under-48-hours (abgerufen am 2026-10-30)
2. [2] Epoch AI on X: "In recent experiments, we found that GLM 5.3 ... — https://x.com/EpochAIResearch/status/2115921730682404869 (abgerufen am 2026-10-30)
3. [3] GLM-5.3 and the spread of advanced cyber capabilities \ Anthropic — https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities (abgerufen am 2026-10-30)
4. [4] Epoch AI Reports Open-Weight GLM 5.3 Exploits Firefox Patch Gap – Unite.AI — https://www.unite.ai/epoch-ai-reports-open-weight-glm-5-3-exploits-firefox-patch-gap (abgerufen am 2026-10-30)
5. [5] GLM-5.3: Frontier Coding with Emergent Cyber Capabilities — https://z.ai/blog/glm-5.3 (abgerufen am 2026-10-30)