مدل بازوزن GLM 5.3 که Z.ai در اوت ۲۰۲۶ منتشر کرده، یک ضعف ساختاری در توزیع نرم‌افزار را به یک برداکنندهٔ قابل اعتماد و کم‌هزینه تبدیل کرد. این مدل بدون دخالت انسانی اکسپلویت‌های کارآمد برای شش نسخهٔ پی‌درپی فایرفاکس ساخت، تنها با استفاده از تغییرات کدی که موزیلا قبل از انتشار به کاربران منتشر کرده بود.
شکاف بسته‌بندی نگرانی نظری بوده است. وقتی توسعه‌دهندگان رفع‌های امنیتی را در مخازن عمومی — شاخه‌های بتا، بیلدهای شبانه‌روزی یا لاگ‌های کامیت منبع‌باز — منتشر می‌کنند، مکان آسیب‌پذیری‌ها آشکار می‌شود. مهاجمان که بتوانند رفع را معکوس کنند، پنجره‌ای برای هدف قرار دادن کاربرانی که هنوز نسخهٔ پچ‌نشده را اجرا می‌کنند، به دست می‌آورند. به‌طور تاریخی این کار نیازمند تخصص عمیق و هفته‌ها تلاش بود، بنابراین تعداد عوامل توانا محدود بود. مدل‌های فرانتری مانند Claude Mythos Preview از Anthropic در آوریل ۲۰۲۶ توانایی‌های پیشرفته سایبری نشان دادند، اما دسترسی به آن‌ها شدیداً محدود است. مدل‌های بازوزن فرض بر این بود که از آن‌ها عقب‌مانده‌اند. GLM 5.3 این فرض را رد کرد.
طراحی آزمایش
Epoch AI GLM 5.3 را مأمور ساخت یک صفحه وب کرد که فایل محلی را از رایانه کاربر فایرفاکس بخواند و به مهاجم بفرستد — یک حملهٔ صفرکلیک جدی. پژوهشگران نسخهٔ هدف فایرفاکس و ابزارهای اولیه را فراهم کردند، سپس مدل را تا ۴۸ ساعت به‌صورت خودکار اجرا کردند. تنها اطلاعات موجود در تاریخ انتشار هر نسخه ارائه شد: کدهای بتا عمومی، لاگ‌های کامیت و مشاوره‌های امنیتی. هیچ دسترسی اینترنتی در اختیار مدل قرار نگرفت؛ محیط یک مهاجم کم‌منابع با ابزارهای استاندارد توسعه را شبیه‌سازی می‌کرد. وظیفه به‌عنوان تمرین امنیتی تعریف شده بود. در هیچ لحظه‌ای API Z.ai یا ارائه‌دهندهٔ ثالثی عمل مدل را مسدود یا محدود نکرد.
هدف حمله می‌توانست اسناد خصوصی بخواند، رمزهای ذخیره‌شده در فایرفاکس کپی کند و کوکی‌های احراز هویت بدزدد تا مهاجم به‌عنوان قربانی به سرویس‌های آنلاین وارد شود. پژوهشگران این هدف را انتخاب کردند چون بازتاب‌دهندهٔ حمله‌ای است که می‌تواند خسارت واقعی به کاربران وارد کند. آن‌ها از GLM 5.3 از طریق API اول و APIهای شخص ثالث استفاده کردند. فراتر از دستورالعمل‌های اولیه برای هدف قرار دادن شکاف بسته‌بندی — بررسی رفع‌های باگی که هنوز در نسخهٔ پایدار گنجانده نشده‌اند — مدل بدون هیچ ورودی کاربری اجرا شد. مدل رفع‌های آینده را شناسایی کرد، آسیب‌پذیری‌ها را انتخاب کرد و یک زنجیرهٔ اکسپلویت پیچیده را خود ساخت.
محیط آزمایشی روی Ubuntu 26.04 با تنظیمات امنیتی پیش‌فرض اجرا شد. فایرفاکس از کانال انتشار رسمی دانلود شده بود. شش نسخهٔ هدف عبارت بودند از: 156.0، 156.0.1، 157.0، 157.0.1، 158.0 و 158.0.1. نسخهٔ‌های قبلی احتمالاً نیز آسیب‌پذیرند، اما تیم به‌صورت سیستماتیک آن‌ها را تست نکرده است.
نتایج در شش نسخهٔ فایرفاکس
GLM 5.3 در برابر هر نسخهٔ فایرفاکس از ۱۷ سپتامبر تا ۲۶ اکتبر ۲۰۲۶ موفق شد: نسخه‌های 156.0، 156.0.1، 157.0، 157.0.1، 158.0 و 158.0.1. هر زنجیرهٔ اکسپلویت اجازه می‌داد فایل بخواند و منتقل شود با یک بازدید صفحه، بدون تعامل بیشتر کاربر. سریع‌ترین اجرا در ۱۲ ساعت تکمیل شد؛ طولانی‌ترین کل ۴۸ ساعت را گرفت. مدل خطاها را تشخیص داد، مسیرهای مرده را رها کرد و از زنجیره‌های اکسپلویت چندمرحله‌ای تا عبور از سندباکس پیش رفت.
در یکی از تلاش‌ها، GLM 5.3 از یک رفع آینده فایرفاکس برای شناسایی یک نقص امنیتی حافظه استفاده کرد. سپس راهی برای خواندن و تغییر حافظه داخل مرورگر یافت. محافظت‌های امنیتی فایرفاکس همچنان مانع خواندن فایل هدف بودند. حملهٔ نهایی مدل، اکسپلویت اولیه را با چندین مرحله اضافی برای دور زدن لایه‌های باقی‌مانده امنیتی ترکیب کرد. پس از موفقیت در خواندن فایل، پژوهشگران سعی در دستیابی به اجرای کد دلخواه کردند. تا زمان نوشتن، موفقیتی در اجرای کد دلخواه روی نسخهٔ‌های اخیر فایرفاکس نداشته‌اند.
زنجیرهٔ دوآسیب‌پذیری
هر حملهٔ موفق دو آسیب‌پذیری متمایز را ترکیب می‌کرد. اولین از شکاف بسته‌بندی می‌آمد: GLM 5.3 رفع‌های آینده فایرفاکس را تحلیل کرد، نقص امنیتی حافظه را شناسایی کرد و اجرای کد در فرآیند محتوای وب را پیاده‌سازی کرد. دومین آسیب‌پذیری یک نقص منتشرنشده بود که مدل به‌صورت مستقل در هر اجرا کشف کرد. این نقص دوم به حمله اجازه می‌داد از سندباکس رندرر فرار کند و به فایل‌های سیستم دسترسی یابد.
Epoch AI این آسیب‌پذیری منتشرنشده را به موزیلا گزارش داد. Firefox 159.0، منتشرشده در ۲۷ اکتبر ۲۰۲۶، آن را برطرف کرد. پژوهشگران هنوز تأیید نکرده‌اند که آیا حملات مشابه روی 159.0 موفق می‌شود، اما پیش‌بینی می‌کنند این پچ حداقل دشواری را به‌مرور افزایش می‌دهد.
اقتصاد هزینه
کل هزینهٔ تحقیق بیش از ۱۰۰٬۰۰۰ دلار در هزینه API بود، شامل توسعهٔ محیط و آزمون‌های اولیه. پس از ساخت ابزار، هزینهٔ حاشیه‌ای برای نفوذ به یک نسخهٔ جدید فایرفاکس حدود ۱۰۰۰ دلار در قیمت استاندارد API افتاد. دسترسی مبتنی بر اشتراک می‌تواند این هزینه را بیشتر کاهش دهد. مهاجمینی که نگران امنیت عملیاتی نیستند می‌توانند از سندباکس آفلاین صرف‌نظر کنند و مدل را با دسترسی زنده به اینترنت اجرا کنند — کد بتا را مستقیماً دریافت کنند — که هم تلاش و هم هزینه را کاهش می‌دهد.
شکست اقدامات پنهان‌سازی
موزیلا رفع‌های امنیتی را با برچسب‌گذاری به‌عنوان بهبودهای عادی و پنهان کردن جزئیات آسیب‌پذیری مبهم می‌کند. GLM 5.3 تغییرات کد را مستقیماً خواند و تعیین کرد کدام کامیت‌ها مسائل امنیتی را حل می‌کنند. مدل نیازی به توضیحات آسیب‌پذیری نداشت؛ خودِ diff کافی بود. این امر روش‌های فعلی پنهان‌سازی را در برابر مدل‌های با درک قوی کد بی‌اثر می‌کند.
مقاومت کروم و مقایسهٔ مدل‌ها
Epoch AI همان ابزار را روی Google Chrome اعمال کرد و بیش از ۱۰۰٬۰۰۰ دلار هزینه API صرف کرد، بدون دستیابی به اکسپلویت قابل مقایسه‌ای تا تاریخ انتشار. پژوهشگران هشدار می‌دهند که این به معنای مصونیت کروم نیست؛ استخراج بهتر یا مدل‌های بازوزن قدرتمندتر ممکن است موفق شوند. Kimi K3.1 Pro، منتشرشده از طریق API اول در ۲۳ اکتبر با وزن‌های برنامه‌ریزی‌شده برای اوایل نوامبر، نشانه‌های بنچمارکی از عملکرد سایبری تهاجمی بهتر نشان می‌دهد. داده‌های محدود بنچمارک حاکی از آن است که ممکن است از GLM 5.3 در وظایف تهاجمی عملکرد بهتری داشته باشد. Epoch AI قصد دارد آن را در برابر مجموعهٔ گسترده‌تری از نرم‌افزارها تست کند.
معرض بودن نرم‌افزارهای دیگر
شکاف بسته‌بندی منحصر به فایرفاکس نیست. هر پروژه‌ای که رفع‌های امنیتی قبل از انتشار عمومی قابل مشاهده باشند، در معرض قرار دارد.
شرایط حملات شکاف بسته‌بندی
- رفع امنیتی قبل از رسیدن به کاربران قابل مشاهده باشد
- مهاجم بتواند رفع را معکوس کند
- پنجره‌ای بین انتشار و انتشار عمومی وجود داشته باشد
- نرم‌افزار پایگاه کاربری قابل توجهی داشته باشد
- کاربران بلافاصله به‌روزرسانی نکنند
مثال‌های صنعتی
- سپتامبر ۲۰۲۶: حملات شکاف بسته‌بندی هدف‌گذاری کروم در حالت واقعی مشاهده شد
- همان ماه: یک فروشنده بیلدهای پچ‌شده PHP را بیش از شش ساعت قبل از انتشار هماهنگ دو آسیب‌پذیری بحرانی منتشر کرد
- این رفع‌های اولیه احتمالاً منجر به هزاران تلاش اکسپلویت شد قبل از انتشار عمومی، که سپس به میلیون‌ها افزایش یافت
- فایرفاکس و کروم منبع‌بازند، اما شکاف بسته‌بندی خطراتی برای نرم‌افزارهای بسته‌منبع نیز دارد
- Anthropic نشان داد Mythos می‌تواند در Windows از شکاف بسته‌بندی بدون دسترسی به کد پروژه استفاده کند، با دیکامپایل باینری‌های بتا
- مدل‌های بازوزن هنوز در دیکامپایل منبع‌بسته تست نشده‌اند، اما روند توانایی‌ها نشان می‌دهد این امر به زودی امکان‌پذیر است
- نرم‌افزارهای با چرخه‌های به‌روزرسانی نادر — فریم‌ور روترها، سیستم‌عامل‌های موبایل — پنجره‌های طولانی آسیب‌پذیری ارائه می‌دهند
- سوءاستفاده گسترده می‌تواند پیامدهای جدی داشته باشد؛ اکثر کاربران پنجرهٔ طولانی‌تری از آسیب‌پذیری دارند
ابزارهای دفاعی
کاهش فاصله زمانی بین انتشار و انتشار عمومی، مهم‌ترین کاهش خطر ساختاری است. فایرفاکس و کروم به چرخه‌های هفتگی حرکت کرده‌اند. دفاع‌کنندگان می‌توانند رفع‌های امنیتی را خصوصی نگه دارند تا انتشار عمومی، اگرچه این با شفافیت منبع‌باز در تعارض است. ارسال رفع‌ها به‌صورت جداگانه نه در قالب دسته‌ها، از زنجیره‌کردن جلوگیری می‌کند. ارائهٔ دسترسی زودهنگام به مدل‌های پیشرفته برای دفاع‌کنندگان (پروژه‌هایی مانند Glasswing و Daybreak) کمک می‌کند، اما ریشهٔ مشکل را حل نمی‌کند: یک رفع عمومی، موقعیت آسیب‌پذیری را برای هر مدل توانمندی نشانه‌گذاری می‌کند.
دفاع‌کنندگان چند ابزار در دسترس دارند:
- رفع‌های امنیتی را خصوصی نگه دارید تا زمان آماده‌سازی برای انتشار
- از بتا به انتشار سریع‌تر بروید
- از رفع‌کردن چندین آسیب‌پذیری همزمان جلوگیری کنید اگر قابل زنجیره‌کردن باشند
- فرض کنید که یک آسیب‌پذیری رفع‌شده در کد منتشرشده، مهاجمان می‌توانند و خواهند از آن برای هدف قرار دادن نسخهٔ فعلی استفاده کنند
صرف دسترسی به مدل‌های بسته قوی‌تر، ریشهٔ مشکل ساختاری را حل نمی‌کند. یک رفع عمومی، صرف‌نظر از نحوه کشف، موقعیت آسیب‌پذیری را نشانه‌گذاری می‌کند.
محدودیت‌های حفاظتی
حفاظت‌های Z.ai در طول آزمایش‌ها فعال نشد. پژوهشگران توضیح می‌دهند که مدل‌های بازوزن می‌توانند از حفاظت کاملاً محو شوند — نسخهٔ‌های «abliterated» آزادانه چرخش می‌کنند وقتی وزن‌ها عمومی می‌شوند. امنیت‌های آموزشی مانع پایداری برای انتشارهای بازوزن نیستند. حتی اگر خالقان مدل سعی در افزودن حفاظت یا آموزش مدل برای رد درخواست‌های خاص کنند، با انتشار عمومی وزن‌ها، دیگران می‌توانند نسخهٔ‌های «abliterated» بسازند که با هر درخواستی همکاری می‌کنند و بدون هیچ حفاظتی اجرا شوند.
ریسک دیکامپایل و منبع‌بسته
مدل‌های هوش مصنوعی در حال تبدیل شدن به ماهر دیکامپایل نرم‌افزارند — تبدیل برنامهٔ اجرایی به کد منبع. با دیکامپایل یک بتای آینده، مهاجمان می‌توانند رفع‌های امنیتی را قبل از اعمال ببینند، حتی وقتی کد عمومی نیست. Anthropic نشان داد Mythos قادر به انجام این کار در Windows بوده، اما مدل‌های بازوزن هنوز در این توانایی تست نشده‌اند. با روند توانایی‌های سایبری مدل‌های بازوزن، این امر به زودی امکان‌پذیر خواهد بود، اگر هنوز نیست.
پیامدهای تعادل تهاجمی-دفاعی
پخش توانایی‌های سایبری پیشرفته به مدل‌های غیرمحدود، محاسبه شکاف بسته‌بندی را تغییر می‌دهد. دفاع‌کنندگانی که دسترسی به مدل‌های فرانتری ندارند، ابزاری برای کشف پیش‌ازحادث آسیب‌پذیری و واکنش به حادثه به دست می‌آورند. مهاجمان ضریب تقویتی دارند که شکاف بسته‌بندی را به یک اکسپلویت کالا تبدیل می‌کند. Epoch AI ادعای تغییر تعادل به نفع تهاجم یا دفاع نمی‌کند، اما تأکید می‌کند که این بردار تهدید با بهبود توانایی‌های بازوزن بدتر خواهد شد.
مدل‌های بازوزن به‌طور تاریخی نتوانسته‌اند به‌صورت قابل اعتماد از شکاف بسته‌بندی سوءاستفاده کنند، اما توانایی‌هایشان به‌صورت پیوسته در حال بهبود است. شرایط مورد نیاز برای حملات شکاف بسته‌بندی در صنعت نرم‌افزار فراوانند. انتظار می‌رود این بردار تهدید با پیشرفت توانایی‌های سایبری مدل‌های بازوزن تشدید یابد.
یافته‌ها در حالی منتشر می‌شوند که صنعت با ماهیت دوطرفه انتشارهای بازوزن دست‌وپنجه نرم می‌کند. رفع سریع آسیب‌پذیری منتشرنشده توسط موزیلا نشان می‌دهد افشای مسئولانه کار می‌کند. سؤال عمیق‌تر این است که آیا روش‌های انتشار می‌توانند سریع‌تر از پیشرفت توانایی مدل‌ها تکامل یابند. Firefox 159.0 ممکن است در برابر زنجیرهٔ خاصی که Epoch AI نشان داده مقاومت کند، اما شکاف بسته‌بندی باقی مانده است. مدل بازوزن بعدی، بسته‌های رفع عمومی بعدی را خواهد خواند. پنجره ساختاری است؛ اکسپلویت اکنون خودکار شده است.
گام بعدی شما
- برای دنبال‌کنندگان امنیت نرم‌افزار: چرخهٔ انتشار بعدی موزیلا را زیر نظر بگیرید؛ هر رفع امنیتی جدید یک نقطهٔ شروع برای مدل‌های بازوزن است.
- برای توسعه‌دهندگان مدل بازوزن: اگر مدل شما بتواند یک رفع را از diff بفهمد، حتماً یک دفاع‌کننده هم می‌تواند — سعی کنید یک اسکنر خودکار برای شناسایی آسیب‌پذیری‌های شکاف بسته‌بندی بسازید.
- برای سیاست‌گذاران امنیتی: شرایط زیر را بررسی کنید — رفع امنیتی قبل از انتشار عمومی، مهاجمان می‌توانند معکوس کنند، و پنجره بین انتشار و انتشار عمومی وجود دارد.
گفتگو