Une faiblesse que les éditeurs de navigateurs connaissent depuis des décennies vient de devenir beaucoup moins coûteuse à exploiter. Des chercheurs d'Epoch AI ont annoncé le 29 octobre que GLM 5.3, modèle à poids ouverts publié par Z.ai en août, avait réussi à transformer des correctifs de sécurité de Firefox, déjà visibles dans le code public mais pas encore installés chez les internautes, en attaques opérationnelles, sans aucune intervention humaine. Toutes les versions sorties entre le 17 septembre et le 26 octobre, soit six au total, ont cédé lors des essais.
Le phénomène porte un nom, le patch gap : la fenêtre qui sépare l'apparition d'un correctif dans le dépôt ou dans les versions bêta de son arrivée sur la majorité des postes. Mozilla présente volontairement ses modifications de sécurité comme de simples améliorations afin de ralentir les attaquants. D'après Epoch, le modèle a pourtant lu le code, repéré les commits qui refermaient des vulnérabilités et choisi lui-même ses cibles. Au bout du compte, il a produit une page web qui, ouverte dans une version vulnérable de Firefox, récupérait un fichier local sur l'ordinateur du visiteur pour l'expédier vers un serveur tenu par les chercheurs, sans le moindre clic supplémentaire.
Chaque attaque réussie reposait sur deux failles. Un bogue déduit d'un correctif public permettait au modèle d'exécuter du code dans le processus chargé du contenu web. Une seconde vulnérabilité, jamais divulguée et redécouverte par GLM 5.3 à chaque tentative, lui ouvrait la sortie du bac à sable censé tenir un moteur de rendu compromis à l'écart du système de fichiers. Le modèle disposait de 48 heures au maximum par cible ; son essai le plus rapide a pris environ 12 heures. Epoch précise n'avoir obtenu que des lectures de fichiers, et aucune exécution de code arbitraire sur les versions récentes.
Les auteurs insistent surtout sur le prix. L'ensemble de leurs travaux sur Firefox a coûté plus de 100 000 dollars en frais d'API, essentiellement pour bâtir un environnement de test réaliste et coupé du réseau. Une fois ce dispositif rodé, chaque nouvelle version compromise ne revenait plus qu'à un millier de dollars environ. L'équipe a privé le modèle d'accès à internet, ne lui a fourni que des informations publiques à la date de chaque sortie et a interrogé GLM 5.3 aussi bien via l'API de Z.ai que chez des fournisseurs tiers. Bien que la tâche ait été présentée comme un exercice de sécurité, Epoch affirme qu'aucun fournisseur n'a refusé les requêtes ni déclenché de garde-fou.
Epoch a transmis ses résultats à Mozilla, qui a comblé la faille du bac à sable dans Firefox 159.0, le 27 octobre. Dans un billet paru le jour même du rapport, Bobby Holley, de Mozilla, indique que GLM 5.3 a pu tirer parti de certains correctifs visant des bogues d'abord repérés par des modèles plus avancés. Il rappelle les protections déjà en place : une version par semaine, des tests de régression gardés confidentiels jusqu'à la publication du correctif, le modèle s'étant montré bien moins efficace sans eux, et l'analyse de chaque nouveau commit. Mozilla compte en outre planifier les correctifs des différentes couches du bac à sable pour que leurs fenêtres d'exposition ne se chevauchent jamais, ce qui obligerait un attaquant à dénicher au moins une faille inédite. Selon Holley, l'accès anticipé aux modèles de pointe d'Anthropic et d'OpenAI a permis à Firefox de publier cette année plus de sept fois plus de correctifs de sécurité qu'à la même période de 2025.
Face à Google Chrome, le même dispositif n'a abouti à aucune attaque comparable malgré quelque 100 000 dollars de tentatives. Epoch n'a pas encore vérifié si sa méthode fonctionne toujours contre Firefox 159.0, mais s'attend à ce que le correctif la rende nettement plus ardue. Les chercheurs refusent de voir dans l'échec sur Chrome une garantie de sécurité et citent des modèles ouverts plus puissants, comme Kimi K3.1 Pro, qu'ils n'ont pas évalué, comme potentiellement plus redoutables.
L'inquiétude principale tient à la vitesse de diffusion de ces savoir-faire. Depuis la présentation de Claude Mythos par Anthropic en avril, les laboratoires de pointe s'efforcent de donner une longueur d'avance aux défenseurs grâce à des programmes à accès restreint comme Glasswing et Daybreak, et Epoch rappelle qu'Anthropic a récemment montré un modèle interne capable de trouver et d'exploiter des failles graves dans des logiciels très répandus. Ces nouveaux travaux laissent penser que ce type d'attaque n'exige plus d'accès privilégié à de tels systèmes. Les auteurs conseillent de garder les correctifs secrets jusqu'à leur sortie, d'accélérer les mises à jour et de ne pas publier en même temps les correctifs de failles pouvant être enchaînées ; ils jugent particulièrement exposés les micrologiciels de routeurs et les systèmes des téléphones, rarement mis à jour. Les résultats proviennent des expériences contrôlées d'Epoch et n'ont pas encore été reproduits ailleurs, même si la réponse de Mozilla confirme la faille corrigée et l'aptitude du modèle.