オープンウェイトAIモデルはパッチギャップを悪用できる

AIは、ユーザーがアップデートを受け取る前に、セキュリティ修正を悪用可能なエクスプロイトに変えることができる

概要

Z.aiが8月にリリースした広く利用可能なオープンウェイトモデルであるGLM 5.3は、公開されたもののまだユーザーに配信されていないセキュリティ修正を利用して、Mozilla Firefoxブラウザの最近のバージョンにおける脆弱性を特定し、悪用することができます。修正が公開されてからユーザーに届くまでの期間は、「パッチギャップ」として知られています。

私たちの実験では、GLM 5.3はこのギャップを利用してウェブページを作成しました。このページを訪問したFirefoxユーザーは、訪問者のコンピュータからファイルを読み取り、攻撃者に送信することが、それ以上のユーザー操作なしで可能でした。具体的には、9月17日から10月26日の間にリリースされたFirefoxのバージョンは、リリース時に利用可能な情報のみを使用して、このように侵害される可能性があることがわかりました。

パッチギャップはソフトウェアリリース慣行における既知の弱点であり、ブラウザ、電話のオペレーティングシステム、ルーターのファームウェアなど、多くのソフトウェアに広く存在します。これを悪用するには、以前は多大な時間と専門知識、または高度なサイバー能力を持つ最先端モデルへの特別なアクセスが必要だったため、修正される前にこれらの脆弱性を標的にできる攻撃者はほとんどいませんでした。

私たちの中心的な発見は、広く利用可能なオープンウェイトモデルが、現在ではこの作業の多く、あるいはすべてを独自に行えるということです。私たちは、限られたリソースを持つ比較的洗練されていないアクターが達成できることを模倣するように、意図的にセットアップを設計しました。各バージョンのリリース時に利用可能な情報のみを使用しました。セットアップが完了すると、各Firefoxバージョンを正常に攻撃するためのコストは、わずか約1,000ドルでした。

最近のFirefoxリリースに対するすべての侵害において、GLM 5.3は、パッチギャップを通じて発見されたものと組み合わせて、未公開の脆弱性も発見し、使用しました。私たちはMozillaチームに連絡し、発見事項を開示し、緩和策について議論しました。Mozillaはその後、Firefoxの新バージョン（159.0、2026年10月27日リリース）をリリースし、以前は未公開だった脆弱性を修正しました。これにより、GLM 5.3がパッチギャップ経由でFirefoxを侵害することがより困難になるはずです。

オープンソースプロジェクトは、コードが公開されているため、この種​​の攻撃に対して特に脆弱ですが、モデルがリリース前にセキュリティ変更の内容を見つけることができるあらゆるソフトウェアプロジェクトが脆弱であると推測しており、クローズドソースプロジェクトも例外ではないと考えています。1 オープンウェイトのサイバー能力が向上し続けるにつれて、この脅威ベクトルは悪化すると予想されます。

Firefoxに対する実験からのさらなる発見：

• GLM 5.3は、既存の対策にもかかわらずパッチギャップを悪用しました。 攻撃者を遅らせるために、公開されたセキュリティ修正は通常の改善として難読化され、根本的な脆弱性の詳細は開示されません。GLM 5.3はコードを読み取り、どの変更がセキュリティパッチに関連しているかを特定することができました。
• 私たちが実証したエクスプロイトの種類は、非常に深刻なものになり得ます。 私たちはGLM 5.3を使用して、Firefoxユーザーが訪問するだけで、攻撃者がユーザーのコンピュータからファイルを抽出できるウェブサイトを作成しました。Firefoxには2億人以上のアクティブユーザーがおり、このエクスプロイトは、ブラウザに保存されているパスワードを読み取ったり、認証クッキーを盗んだり、ユーザーのコンピュータ上の他のプライベート情報を表示したりするために使用される可能性があります。
• 私たちは、GLM 5.3をこのように使用した際、Z.aiを含むどのプロバイダーからも、いかなる保護措置や拒否もトリガーしませんでした。 私たちはタスクをセキュリティ演習として提示しましたが、私たちの行動は実際の攻撃者のそれと区別がつきませんでした。
• Google Chromeに対する同様の攻撃は、現時点では成功していません。 これは、より高度な引き出しや、より有能なオープンウェイトモデル（最近発表されたKimi K3.1 Proを含む可能性のあるもの）を使用した場合に攻撃が成功する可能性がないという強い証拠とは見なしません。

背景

2026年4月、AnthropicによるClaude Mythos Previewの発表は、AIのサイバーセキュリティ能力における飛躍をマークしました。それ以来、最先端のAIモデルが、実際のプロダクションソフトウェアにおける脆弱性を検出し、複雑なエクスプロイトを作成できることは明らかになっています。Anthropicは最近、内部モデルが広く使用されているソフトウェアの重大な脆弱性を発見し、悪用する方法を示しました。

最先端AIラボは、一部の防御者に高度な機能への早期アクセスを提供し（GlasswingやDaybreakのようなプロジェクトを通じて）、広範なアクセスを厳しく制限することで対応してきました。この戦略は、攻撃者が悪用する前に防御者が脆弱性を特定し、パッチを適用できるようにすることを目的としています。しかし、脆弱性の修正が公開されてから、すべてのユーザーに展開されるまでにはしばしばギャップが存在します。この「パッチギャップ」は2つの箇所に存在します：修正がユーザーにリリースされる前に公開されること、そしてアップデート後にユーザーが古いソフトウェアを実行し続けることです。私たちの研究では、修正が公開されてから一般リリースまでの間のギャップに焦点を当てています。

ソフトウェアのベータ版は、開発者がコードをテストし、新しく導入されたバグを見つけるために使用されるメカニズムであり、脆弱性の修正が一般リリース前に公開される一つの方法です。ベータ版は通常、公開リリースよりもユーザー数が少なく、新しく不安定な機能のテストを希望するユーザーで構成されています。オープンソースプロジェクトの場合、コードベース全体が公開されており、今後の変更は通常ベータ版または「ナイトリー」コードブランチで表示されるため、情報はさらに広く利用可能になります。

パッチギャップは既知のセキュリティ問題ですが、それを悪用するために歴史的に必要とされた時間と専門知識は、どれだけの攻撃者がそれを実行できるかを制限してきました（そして、この方法で開発されたエクスプロイトの自然に限定された寿命は、攻撃者が他のことに注意を費やすことを選択する可能性があります）。AIサイバー能力の進歩は、この計算を変えました。

最も有能な最先端モデルへの無制限のアクセス（サイバーガードレールなし）は厳密に管理されていますが、オープンウェイトモデルは誰でも無制限に利用できます。2 このオープンアクセスは、特に制限された最先端モデルへのアクセスを持たない防御者にとって、予防的な脆弱性検出とインシデント対応を可能にすることで、サイバー防御者に利益をもたらす可能性があります。ここでは攻撃的な能力に焦点を当てていますが、オープンウェイトモデルが攻撃と防御のバランスにどのように影響するかについては主張しません。

オープンウェイトモデルは歴史的にパッチギャップを確実に悪用することができませんでしたが、その能力は着実に向上しています。その制限がまだ有効かどうかを確認するために、2026年8月にリリースされた広く利用可能なオープンウェイトモデルであるGLM 5.3が、パッチギャップを使用して、2億人以上のユーザーを持つウェブブラウザであるFirefoxの最新リリースを侵害できるかどうかをテストしました。

方法論

私たちはGLM 5.3に、Firefoxユーザーが訪問した際に、そのシステムのローカルファイルを読み取るウェブページを作成するように指示しました。3 これは、ユーザーのプライベートドキュメントを読み取ったり、Firefoxに保存されているパスワードをコピーしたり、認証クッキーを盗んだりするために使用でき、攻撃者がユーザーとして一部のオンラインサービスにログインすることを可能にします。私たちは、このターゲットを選択しました。なぜなら、それはユーザーに実害を与えるのに十分な深刻な攻撃を反映しているからです。

私たちはモデルに、ユーザーのコンピュータ上の特定のFirefoxバージョンといくつかの基本的なツールを提供し、成功するエクスプロイトを開発するまで作業を続けさせました。第三者に影響を与えないように、モデルにインターネットアクセスを与えず、代わりに、必要と思われる公開情報を直接提供しました。ターゲットバージョンのリリース時に利用可能な情報のみを提供したため、モデルは後で発見された脆弱性に関する情報を使用することはできませんでした。

私たちは、オンラインで実行させた場合、技術的な経験がほとんどない攻撃者がモデルから引き出せるであろう状況を、おおよそ近似するように環境を設計しました。私たちは、第一者APIと第三者APIの両方を通じてGLM 5.3にアクセスし、タスクをセキュリティ演習として提示しました。私たちの行動は実際のユーザーを標的にしようとする者のそれと区別がつかないものでしたが、モデルの使用が制限されることはなく、拒否に遭遇することはありませんでした。

パッチギャップ（つまり、安定版リリースにまだ組み込まれていないバグ修正を検査すること）を標的にするという基本的な指示を超えて、私たちはユーザー入力なしでモデルを自律的に実行させました。モデルは今後のセキュリティ修正を特定し、脆弱性を選択し、複雑なエクスプロイトチェーンを独自に構築しました。

結果

GLM 5.3は、各バージョンのリリース時に利用可能な情報のみを使用して、9月17日から10月26日の間のすべての6つのFirefoxリリースに対して攻撃を開発することに成功しました。4 モデルによって構築されたウェブページを訪問すると、ブラウザはローカルファイルを読み取り、その内容をユーザーの追加操作なしに攻撃者のサーバーに送信しました。5

攻撃の開発には、モデルにとってかなりの労力が必要でした。ある試みでは、GLM 5.3は今後のFirefox修正を利用してメモリ安全性に関する欠陥を特定し、ブラウザ内のメモリを読み書きする方法を開発しましたが、Firefoxのセキュリティ保護により、モデルはターゲットファイルを読み取ることができませんでした。モデルの最終的な攻撃は、残りのセキュリティ層を回避するために、複数の追加ステージを持つ初期エクスプロイトを構成しました。モデルはクラッシュを診断し、失敗したアプローチを放棄し、ウェブサイトを訪問するだけでファイルにアクセスできるようになるまでアプローチを反復しました。私たちはGLM 5.3に最大48時間のエクスプロイト発見時間を与えましたが、最も速い試みはわずか12時間しかかかりませんでした。

パッチギャップを通じて発見された脆弱性に加えて、最新のFirefoxリリースに対する私たちの攻撃は、各試行でモデルが再発見した未公開の脆弱性にも依存していました。これにより、ブラウザの限定的な制御を、ファイルシステムにアクセスできる能力にまで活用することができました。6 この脆弱性をMozillaと共有したところ、10月27日のFirefox 159.0リリースで修正されました。この修正により、同様の攻撃が成功するかどうかはまだ確認できていませんが、少なくとも大幅に困難になるはずだと推測しています。

Firefoxを標的とした私たちの総研究費用は、現実的なオフライン環境の構築と予備テストの実験を含め、APIコストで10万ドルを超えました。しかし、一度ハーネスを開発し、GLM 5.3を正しい方向に誘導すると、ブラウザの侵害は安価で信頼性の高いものになりました。新しいバージョンのFirefoxを侵害する際の限界コストは、API価格で約1,000ドルであり、サブスクリプションアカウントを使用すればさらに低くなる可能性がありました。

自律エージェントにインターネットアクセスを許可してエクスプロイトを開発させるリスクを気にしない攻撃者は、サンドボックス内でオフラインで実行する労力をかけずに、モデルに無制限のインターネットアクセスを与えることで、私たちのセットアップをはるかに安価かつ容易に再現できるでしょう。

GLM 5.3のFirefox侵害能力を発見した後、同様のセットアップがGoogle Chromeを侵害できるかどうかを評価することにしました。私たちは同じハーネスと技術を使用しましたが、現時点では、約10万ドルのAPIコストを費やしたにもかかわらず、同等のエクスプロイトを作成することはできませんでした。

Kimi K3.1 Proは10月23日に第一者APIアクセスでリリースされ、ウェイトは11月上旬にリリースされる予定です。Kimi K3.1 Proは私たちの実験には含まれていませんが、限定的なベンチマークデータは、それが攻撃的なサイバータスクにおいてGLM 5.3を上回る可能性があることを示唆しています。将来的には、より高度なオープンモデルを、より広範なソフトウェアに対してテストする予定です。

他のソフトウェアへの影響

パッチギャップ攻撃に必要な条件は、ソフトウェア業界全体に共通しています。セキュリティ修正がユーザーに届く前に公開されると、攻撃者はそれをエクスプロイトにリバースエンジニアリングする機会を得ます。2026年9月、私たちはChromeを標的としたパッチギャップエクスプロイトを目撃しました。同月、あるベンダーは、2つの重大な脆弱性に対する協調リリースより6時間以上早く、PHPの修正済みビルドを公開しました。socket.devのブログ記事によると。これらの早期パッチは、公開リリース前の数千件のエクスプロイト試行（その後、直後に数百万件に増加）に寄与した可能性があります。

FirefoxとChromiumはオープンソースですが、パッチギャップはクローズドソースソフトウェアにもリスクをもたらします。Anthropicは、Mythosがプロジェクトのコードが公開されていないにもかかわらず、Windows上でパッチギャップを悪用できることを実証しました。私たちはGLM 5.3がクローズドソースプロジェクトでパッチギャップを悪用する能力を明示的にテストしていませんが、オープンウェイトのサイバー能力が向上し続けるにつれて、もし既に可能でなければ、すぐに可能になるでしょう。特に、ルーターのファームウェアや電話のオペレーティングシステムのように、ユーザーがあまり頻繁に更新しないソフトウェアについては懸念しています。なぜなら、広範な侵害は深刻な結果をもたらす可能性があり、ほとんどのユーザーはより長い脆弱性のウィンドウを持っているからです。

この脅威に対処するには、セキュリティ修正が一般リリースに組み込まれる前に公開されている時間を短縮する必要があるでしょう。私たちは2日以内にエクスプロイトを作成しましたが、他の攻撃者はさらに速い可能性があります。単に防御者に強力なクローズドモデルへのアクセスを提供しても、根本的な構造的問題は解決しません。公開された修正は、それがどのように発見されたかにかかわらず、本質的に脆弱性がどこにあるかを示します。防御者は、セキュリティ修正をリリース準備が整うまで非公開にする、またはベータ版からリリースまでをより迅速に出荷するなど、これらの攻撃を緩和するためにいくつかの手段を講じることができます。FirefoxとGoogle Chromeは、毎週アップデートを出荷し始めています。アプローチに関わらず、公開されたコードに脆弱性修正が含まれている場合、攻撃者はそれを使用して現在のリリースを標的にすると想定すべきです。防御者は、複数の脆弱性が連鎖される可能性がある場合、同時に複数の脆弱性をパッチすることを避けるべきです。

結論

GLM 5.3は、パッチギャップを悪用して、最近のFirefoxリリース6件を侵害しました。私たちは意図的に基本的なセットアップを使用しましたが、それでもモデルは人間の入力なしで、Firefoxバージョンあたり約1,000ドルの限界コストで、成功するエクスプロイトを確実に構築しました。これらの攻撃は、その後修正された主要な非公開脆弱性に依存しており、Chromeに対して同様の結果を達成することはできませんでした（ただし、より良い引き出しやより強力なオープンウェイトモデルを使用すれば同様の攻撃が成功する可能性を排除するものではありません）。

私たちはこれらの結果を、高度なサイバー能力の拡散の証拠と見なしています。他の多くのソフトウェアも同様のパッチギャップ攻撃に対して既に脆弱である可能性が高く、より有能なオープンウェイトモデルがリリースされるにつれてその数は増加すると予想されます。

付録：実験のための安全対策

注記

1. AIモデルは、ソフトウェアを逆コンパイルする—実行可能なプログラムを元のソースコードに戻す—のが非常に得意になっています。今後のベータ版を逆コンパイルすることで、攻撃者はコードが公開されていなくても、パッチギャップ攻撃を可能にするセキュリティ修正を閲覧できます。Anthropicは、MythosがWindows上でこれを行う能力を実証しましたが、私たちはまだオープンウェイトモデルをテストしていません。［画像: Return］

2. モデル作成者がガードレールを追加したり、特定の要求を拒否するようにモデルをトレーニングしようとしたとしても、ウェイトを公開することで、任意の要求に従う「アブリテレート」されたバージョンを作成し、ガードレールなしで実行することができます。［画像: Return］

3. Ubuntu 26.04をデフォルトのセキュリティ設定と公式リリースからダウンロードしたFirefoxで実行しました。［画像: Return］

4. 156.0、156.0.1、157.0、157.0.1、158.0、158.0.1。それ以前のリリースも脆弱である可能性が高いですが、それ以前については体系的にテストしていません。［画像: Return］

5. ファイル読み取りでの成功後、私たちは任意のコード実行を達成しようとしました。現時点では、最近のFirefoxリリースでコード実行に成功した例はありません。［画像: Return］

6. 成功には、2つの主要な脆弱性を連鎖させる必要がありました。パッチギャップの脆弱性は、Webコンテンツプロセス内でコード実行を達成するために使用され、別の未公開の脆弱性により、攻撃者は通常、侵害されたレンダリングプロセスでさえファイルシステムにアクセスするのを防ぐサンドボックス保護をバイパスすることができました。［画像: Return］