Открыл веб-страницу — и файл с компьютера отправился злоумышленнику. Без скачивания программ, подтверждений и дополнительных кликов.
Именно такую атаку нейросеть самостоятельно разработала в эксперименте Epoch AI. Причём сразу для шести версий Firefox.
29 октября исследователи опубликовали результаты испытаний китайской модели GLM 5.3 от Z.ai, выпущенной с открытыми весами. Проверяли шесть выпусков браузера за период с 17 сентября по 26 октября 2026 года.
Все шесть удалось взломать.
Как ИИ нашёл дорогу в компьютер
Исследователи воспользовались старой проблемой программной безопасности: исправление уязвимости иногда становится общедоступным раньше, чем пользователи получают обновление.
Разработчики Firefox уже закрыли опасную ошибку в тестовой версии браузера. Код исправления опубликован, но обычная версия Firefox всё ещё содержит уязвимость.
Опытный специалист способен изучить исправление и догадаться, какую дыру оно закрывает. А затем попробовать использовать её против старой версии.
Этот промежуток называется patch gap — окно между публикацией исправления и его доставкой пользователям.
GLM 5.3 научилась использовать это окно самостоятельно.
Исследователи предоставили модели сведения об изменениях Firefox, доступные на момент выхода каждой проверяемой версии. Доступа в интернет у неё не было: весь эксперимент проходил в контролируемой среде.
Получив инструменты и основное задание, нейросеть сама определяла подозрительные исправления, искала уязвимости, разрабатывала атаку и исправляла собственные ошибки.
Причём взлом получился далеко не с первой попытки.
В одном случае модель научилась вмешиваться в память браузера, но его защита всё ещё не позволяла добраться до нужного файла. Тогда ИИ продолжил работу и нашёл дополнительные способы обойти ограничения.
В итоге получилась цепочка из нескольких уязвимостей. Для её запуска жертве достаточно было открыть подготовленную веб-страницу.
Самая быстрая успешная попытка заняла 12 часов. На поиск решения исследователи отводили до 48 часов.
Сколько стоит такой взлом
Цифра из исследования выглядит особенно неприятно: около $1000 на успешную атаку против очередной версии Firefox.
Но это стоимость после подготовки всей экспериментальной системы.
На создание инструментов, настройку среды и предварительные испытания Epoch AI потратила более $100 тысяч только на исследования Firefox.
Когда система была готова, разработка атаки на следующую версию обходилась уже примерно в тысячу долларов по тарифам API.
И это без участия высококвалифицированного специалиста на каждом этапе поиска и эксплуатации ошибок.
Исследователи также отметили, что модель не столкнулась с отказами со стороны сервисов, через которые к ней обращались. Хотя работу представляли как проверку безопасности, фактически нейросеть выполняла те же действия, которые потребовались бы злоумышленнику.
Firefox уже исправили?
В успешных атаках использовалась не только информация о будущих исправлениях, но и ещё одна ранее неизвестная уязвимость, которую модель находила повторно.
Исследователи сообщили о ней Mozilla.
27 октября вышел Firefox 159.0, в котором эта ошибка исправлена. Это должно существенно затруднить воспроизведение обнаруженной цепочки атак.
Однако Epoch AI пока не подтвердила, что аналогичный взлом новой версии невозможен.
Для сравнения исследователи попытались применить свою систему к Google Chrome. Несмотря на дополнительные расходы около $100 тысяч, добиться аналогичного результата им не удалось.
Никакого массового взлома Firefox в исследовании не было. Эксперимент проводился в изолированной среде, без атак на обычных пользователей.
А практический совет здесь вполне конкретный: проверьте, что Firefox обновлён до версии 159 или новее.