Un modello di intelligenza artificiale cinese a pesi aperti è riuscito a compromettere sei versioni consecutive di Firefox con una spesa di circa 1.000 dollari per ciascun tentativo. A rivelarlo è Epoch AI, organizzazione non profit che studia l'evoluzione dell'IA e sviluppa benchmark come FrontierMath, in uno studio dedicato a GLM 5.3, il modello rilasciato ad agosto dalla cinese Z.ai e liberamente scaricabile da chiunque.
Il patch gap come punto d'ingresso
Le versioni colpite vanno dalla 156.0 alla 158.0.1, uscite tra il 17 settembre e il 26 ottobre, e secondo i ricercatori anche quelle precedenti sarebbero probabilmente vulnerabili, pur non essendo state verificate in modo sistematico. L'attacco sfrutta il cosiddetto patch gap, ovvero l'intervallo tra la pubblicazione di una correzione di sicurezza nel codice e il suo effettivo arrivo sui computer degli utenti. Nei progetti open source come Firefox le modifiche compaiono nei rami beta e nightly prima della versione stabile, e il modello ha saputo riconoscere le correzioni anche quando presentate come normali miglioramenti.
Partendo da quegli indizi, GLM 5.3 ha costruito in autonomia una pagina web che alla sola visita legge un file dal computer e lo invia all'attaccante: una falla che, secondo i ricercatori, consentirebbe di sottrarre password salvate nel browser e cookie di autenticazione. I test sono stati condotti su Ubuntu 26.04 con le impostazioni di sicurezza predefinite e con Firefox scaricato dal sito ufficiale. Il tentativo più rapido ha richiesto 12 ore sulle 48 concesse allo studio da Epoch AI.
Due vulnerabilità concatenate e la patch di Mozilla
Per arrivare al file il modello ha dovuto concatenare due vulnerabilità distinte: quella ricavata dal patch gap gli permetteva di eseguire codice all'interno del processo che visualizza le pagine web, mentre una seconda falla, mai resa pubblica e riscoperta dal modello a ogni tentativo, serviva a superare la sandbox, il sistema di isolamento che impedisce anche a un processo compromesso di accedere al disco. Epoch AI ha segnalato quest'ultima a Mozilla, che l'ha corretta con Firefox 159.0 il 27 ottobre: aggiornare il browser è quindi fortemente consigliato a chi non l'avesse ancora fatto.
Un dettaglio tutt'altro che secondario: gli esperimenti sono stati condotti con la versione standard di GLM 5.3, usata sia tramite l'API di Z.ai sia attraverso quelle di altri fornitori, e in nessun caso le richieste, presentate come un'esercitazione di sicurezza, sono state bloccate. Secondo Epoch AI anche filtri più severi avrebbero un'efficacia limitata, perché chiunque scarichi i pesi di un modello open può crearne una versione privata dei meccanismi di rifiuto. Su Chrome lo stesso metodo non ha prodotto risultati, nonostante circa 100.000 dollari spesi in chiamate API. Il prossimo modello che i ricercatori intendono provare è Kimi K3.1 Pro, i cui pesi dovrebbero essere pubblicati a inizio novembre.
