Forscher von Epoch AI zeigen, dass ein frei verfügbares KI-Modell die Zeitlücke zwischen Veröffentlichung und Auslieferung von Sicherheitspatches ausnutzen kann, um Firefox-Nutzer anzugreifen. Die Kosten pro Exploit: rund 1.000 Dollar.
Im Kern geht es um die sogenannte "Patch Gap": das Zeitfenster, in dem ein Sicherheitsfix zwar öffentlich im Code sichtbar ist, aber noch nicht an die Endnutzer ausgeliefert wurde. Laut den Forschern von Epoch AI konnte das chinesische Open-Weight-Modell GLM 5.3 diese Lücke bei sechs Firefox-Versionen ausnutzen, die zwischen dem 17. September und dem 26. Oktober veröffentlicht wurden. Die Kosten pro erfolgreichem Angriff lagen bei etwa 1.000 Dollar an API‑Gebühren. Zuvor berichtete Anthropic, dass GLM 5.3 in der Lage ist, Exploits in etwa auf dem Niveau von Mythos zu schreiben.
Das Modell erstellte im Test eine Webseite, die beim bloßen Besuch durch einen Firefox-Nutzer lokale Dateien vom Computer des Besuchers auslesen und an einen Angreifer-Server senden konnte. Kein weiteres Zutun des Nutzers war erforderlich. Angesichts von über 200 Millionen aktiven Firefox-Nutzern hätten Angreifer damit potenziell Zugriff auf gespeicherte Passwörter, Authentifizierungs-Cookies und private Dokumente erhalten können.
Weder Z.ai noch andere API-Anbieter lösten Sicherheitsvorkehrungen oder Ablehnungen aus, als die Forscher GLM 5.3 für die Exploit-Entwicklung einsetzten. Die Forscher rahmten die Aufgabe als Sicherheitsübung, doch ihre Aktionen waren laut eigenem Bekunden "nicht unterscheidbar von denen eines echten Angreifers".
Autonome Exploit-Entwicklung ohne menschliches Eingreifen
Die Forscher gestalteten ihr Setup laut eigener Aussage bewusst so, dass es einen technisch wenig versierten Angreifer mit begrenzten Ressourcen simuliert. Das Modell erhielt lediglich grundlegende Anweisungen, die Patch Gap zu untersuchen, und arbeitete danach vollständig autonom. Es identifizierte bevorstehende Sicherheitsfixes, wählte Schwachstellen aus und baute mehrstufige Exploit-Ketten eigenständig auf.
Mozilla verschleiert Sicherheitspatches absichtlich als gewöhnliche Verbesserungen, um Angreifer zu verlangsamen. GLM 5.3 durchschaute diese Tarnung und erkannte trotzdem, welche Codeänderungen sicherheitsrelevant waren.
In einem dokumentierten Fall fand das Modell über einen bevorstehenden Fix einen Memory-Safety-Fehler und entwickelte eine Methode, um Speicher im Browser zu lesen und zu manipulieren. Als Firefoxs Sicherheitsschichten den Zugriff auf die Zieldatei dennoch blockierten, kombinierte das Modell den initialen Exploit mit mehreren weiteren Stufen, um die verbleibenden Schutzmaßnahmen zu umgehen. Der schnellste erfolgreiche Angriff dauerte 12 Stunden, maximal räumten die Forscher dem Modell 48 Stunden ein.
Bei allen erfolgreichen Angriffen auf aktuelle Firefox-Versionen nutzte GLM 5.3 zusätzlich eine bisher unveröffentlichte Schwachstelle, die das Modell bei jedem Versuch selbst wiederfand. Diese erlaubte es, die Sandbox-Schutzmechanismen des Browsers zu umgehen und tatsächlich Dateien vom Computer zu lesen.
Mozilla reagiert, Chrome bleibt vorerst verschont
Die Forscher kontaktierten Mozilla im Rahmen einer Responsible Disclosure. Mozilla hat daraufhin am 27. Oktober Firefox 159.0 veröffentlicht, das die zuvor unbekannte Schwachstelle schließt. Ob ähnliche Angriffe auf die neue Version weiterhin möglich sind, ist laut den Forschern noch nicht bestätigt, dürfte aber "zumindest erheblich schwieriger" sein.
Parallel versuchten die Forscher, mit derselben Methodik Google Chrome zu kompromittieren. Trotz API-Kosten von rund 100.000 Dollar gelang dies bisher nicht. Die Forscher betonen jedoch, dass dies kein starker Beleg dafür sei, dass Chrome immun ist: Bessere Elicitation-Methoden oder leistungsfähigere Modelle könnten zum Erfolg führen. Sie verweisen auf das kürzlich angekündigte Kimi K3.1 Pro, das laut begrenzten Benchmarkdaten GLM 5.3 bei offensiven Cyberaufgaben übertreffen könnte.
Bedrohung betrifft die gesamte Softwareindustrie
Die Patch Gap ist kein Firefox-spezifisches Problem. Laut den Epoch-AI-Forschern existiert sie breit in der Softwareindustrie: bei Browsern, Handy-Betriebssystemen und Router-Firmware. Open-Source-Projekte sind besonders verwundbar, da ihr gesamter Code öffentlich einsehbar ist. Doch auch Closed-Source-Software ist betroffen: Anthropic hat bereits demonstriert, dass sein Modell Mythos die Patch-Gap bei Windows ausnutzen kann, ohne dass der Quellcode öffentlich verfügbar war. KI-Modelle werden zunehmend besser darin, kompilierte Software zu dekompilieren und so Sicherheitsfixes auch ohne Quellcode zu identifizieren.
Die Forscher verweisen auf konkrete Vorfälle: Im September 2026 wurden Patch-Gap-Exploits gegen Chrome beobachtet. Im selben Monat veröffentlichte ein Anbieter gepatchte PHP-Builds mehr als sechs Stunden vor der koordinierten Veröffentlichung der Patches für zwei kritische Schwachstellen. Die vorzeitige Veröffentlichung könnte zu Tausenden Exploit-Versuchen vor dem offiziellen Release beigetragen haben; unmittelbar danach stieg deren Zahl auf Millionen.
Besonders besorgt zeigen sich die Forscher bei Software, die Nutzer selten aktualisieren, etwa Router-Firmware oder Handy-Betriebssysteme. Hier sei das Zeitfenster der Verwundbarkeit für die meisten Nutzer deutlich größer.
Schnellere Updates allein lösen das Problem nicht
Als Gegenmaßnahmen empfehlen die Forscher, Sicherheitsfixes bis zur Auslieferung privat zu halten und die Zeitspanne zwischen Beta und allgemeinem Release zu verkürzen. Sowohl Firefox als auch Google Chrome haben bereits begonnen, wöchentliche Updates auszuliefern. Zudem sollten Entwickler vermeiden, mehrere Schwachstellen gleichzeitig zu patchen, wenn diese miteinander verkettet werden können.
Der bloße Zugang von Verteidigern zu stärkeren geschlossenen Modellen löse das strukturelle Problem nicht, betonen die Forscher. Denn sobald ein Fix im öffentlichen Code sichtbar sei, zeige er Angreifern, wo die Schwachstellen liegen. Anthropics Claude-Mythos-Preview hatte im April 2026 einen Sprung bei KI-Cyberfähigkeiten markiert.
Frontier-Labs reagierten mit eingeschränktem Zugang und Programmen wie Glasswing und Daybreak, die Verteidigern Frühzugang gewähren. Doch mit der wachsenden Leistungsfähigkeit frei verfügbarer Open-Weight-Modelle diffundieren diese Fähigkeiten nun in die Breite. Die Frontier-Labore sind also die Gatekeeper für Verteidigung, aber nicht mehr für Angriffe. Viele Softwareprojekte seien wahrscheinlich bereits verwundbar, und die Bedrohung werde mit der Veröffentlichung leistungsfähigerer Open-Weight-Modelle weiter zunehmen.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
