Un modello di intelligenza artificiale a pesi aperti, GLM 5.3 della cinese Z.ai, è riuscito a compromettere sei versioni consecutive di Firefox. Per ciascuna ha speso circa 1.000 dollari. Lo studio è stato condotto da Epoch AI, organizzazione di ricerca non profit che studia l’evoluzione dell’IA e sviluppa benchmark come FrontierMath. Mozilla ha corretto con una patch la vulnerabilità inedita messa in luce dalla ricerca. Il dato rilevante per chiunque usi un browser: la falla secondaria è stata chiusa con Firefox 159.0 il 27 ottobre. Quindi chi non ha ancora aggiornato il browser fa bene a farlo subito.
Un modello IA sfonda sei versioni di Firefox con 1.000 dollari
GLM 5.3 è un modello IA a pesi aperti, cioè con pesi scaricabili e utilizzabili da chiunque, rilasciato ad agosto da Z.ai. Nello studio di Epoch AI dedicato al modello, il modello IA usato per hackerare Firefox ha compromesso le versioni del browser dalla 156.0 alla 158.0.1, uscite tra il 17 settembre e il 26 ottobre. Secondo i ricercatori, anche le versioni precedenti sarebbero probabilmente vulnerabili, anche se non verificate in modo sistematico.
Il costo dell’impresa è stato di circa 1.000 dollari per ogni versione violata. Il tentativo più rapido ha richiesto 12 ore sulle 48 concesse allo studio. Un modello open da 1.000 dollari ha bucato sei versioni di Firefox.
Come funziona l’attacco: il patch gap e la catena di due falle
L’attacco sfrutta il cosiddetto “patch gap”, l’intervallo tra la pubblicazione di una correzione di sicurezza nel codice e il suo arrivo sui computer degli utenti. Nei progetti open source come Firefox le modifiche compaiono nei rami “beta” e “nightly” prima della versione stabile. Il modello ha saputo riconoscere le correzioni di sicurezza anche se presentate come normali miglioramenti.
Partendo da quelle, GLM 5.3 ha costruito in autonomia una pagina web che alla sola visita legge un file dal computer e lo invia all’attaccante. Un tipo di falla che, secondo i ricercatori, consentirebbe di sottrarre password salvate nel browser e cookie di autenticazione.
Per arrivare al file, il modello ha dovuto concatenare due vulnerabilità distinte. Quella ricavata dal patch gap permetteva di eseguire codice all’interno del processo che visualizza le pagine web. Una seconda falla, mai resa pubblica e riscoperta dal modello a ogni tentativo, serviva a superare la sandbox. Questo sistema di isolamento impedisce a un processo compromesso di accedere al disco. Il modello ha riscoperto da solo una falla mai resa pubblica. I test sono stati condotti su Ubuntu 26.04, con impostazioni di sicurezza predefinite. Firefox era stato scaricato dal sito ufficiale.
La risposta di Mozilla e i limiti dei filtri di sicurezza
Epoch AI ha segnalato la seconda vulnerabilità a Mozilla, che l’ha corretta con Firefox 159.0 il 27 ottobre. Per contenere i rischi, i ricercatori hanno lavorato su un’istanza cloud isolata, senza accesso alla rete e con un sistema di monitoraggio quasi in tempo reale; in un’occasione hanno sospeso tutte le esecuzioni dopo che alcuni agenti, a causa di ambienti mal configurati, avevano compiuto azioni fuori dalla sandbox, senza attività malevole né accessi alla rete.
Gli esperimenti sono stati condotti con la versione standard di GLM 5.3. Il modello era usato attraverso l’API di Z.ai e quelle di altri fornitori. Le richieste erano presentate come un’esercitazione di sicurezza e in nessun caso sono state bloccate. Secondo Epoch AI, anche filtri più severi avrebbero un’efficacia limitata. Chiunque scarichi i pesi di un modello open può crearne una versione modificata, privata dei meccanismi di rifiuto. Può quindi usarla senza alcuna protezione. In questi esperimenti i filtri di sicurezza non hanno bloccato nessuna richiesta.
Chrome resiste, il prossimo obiettivo è Kimi K3.1 Pro
Lo stesso metodo applicato a Chrome non ha prodotto risultati, nonostante circa 100.000 dollari spesi in chiamate API. Si tratta di un divario di costi notevole rispetto alle vulnerabilità trovate su Firefox. Il prossimo modello che i ricercatori di Epoch AI intendono provare è Kimi K3.1 Pro, i cui pesi dovrebbero essere pubblicati a inizio novembre.
Fonti:
Punti chiave
Da ricordare
- GLM 5.3 di Z.ai ha compromesso sei versioni di Firefox, dalla 156.0 alla 158.0.1, con circa 1.000 dollari per ciascuna.
- L'attacco sfrutta il patch gap: l'intervallo tra la correzione di sicurezza nel codice e il suo arrivo sugli utenti.
- Il modello ha concatenato due falle: una dal patch gap per eseguire codice nel processo di rendering e una inedita per superare la sandbox.
- Mozilla ha corretto la falla con Firefox 159.0 il 27 ottobre: aggiornare il browser resta la contromisura immediata.
- Nessuna richiesta è stata bloccata dai filtri di sicurezza, e secondo Epoch AI filtri più severi sarebbero poco efficaci sui modelli open.
- Su Chrome lo stesso metodo non ha funzionato nonostante circa 100.000 dollari in chiamate API; il prossimo test sarà su Kimi K3.1 Pro.
