Uma fragilidade com que os fabricantes de navegadores convivem há décadas ficou, de repente, muito mais barata de explorar. Investigadores da Epoch AI revelaram a 29 de outubro que o GLM 5.3, modelo de pesos abertos lançado pela Z.ai em agosto, conseguiu pegar em correções de segurança do Firefox visíveis no código público, mas ainda não instaladas nos computadores dos utilizadores, e convertê-las em ataques operacionais sem qualquer orientação humana. Nos testes, caíram todas as versões publicadas entre 17 de setembro e 26 de outubro, seis ao todo.
O fenómeno tem nome: patch gap, o intervalo entre o momento em que uma correção aparece no repositório ou nas versões beta e aquele em que chega à maioria das máquinas. A Mozilla camufla as alterações de segurança como melhorias banais para atrasar os atacantes, mas, segundo a Epoch, o modelo leu o código, identificou os commits que fechavam vulnerabilidades e escolheu os alvos por conta própria. O resultado final foi uma página web que, aberta numa versão afetada do Firefox, extraía um ficheiro local do computador do visitante e o enviava para um servidor controlado pelos investigadores, sem que fosse preciso clicar em mais nada.
Cada cadeia de ataque bem-sucedida juntava duas falhas. Um erro descoberto através do patch gap dava ao modelo capacidade de executar código no processo de conteúdo web do navegador. Uma segunda vulnerabilidade, nunca divulgada e reencontrada pelo GLM 5.3 em todas as tentativas, permitia-lhe sair da sandbox que normalmente isola um renderizador comprometido do sistema de ficheiros. O modelo dispunha de até 48 horas por alvo e a tentativa mais rápida demorou cerca de 12. A Epoch sublinha que obteve apenas leitura de ficheiros e nenhuma execução arbitrária de código nas versões recentes.
É no custo que os autores mais insistem. A fatura total da investigação sobre o Firefox ultrapassou 100 mil dólares em taxas de API, gastos sobretudo na montagem de um ambiente de testes realista e desligado da rede. Porém, com o sistema afinado, atacar cada nova versão custava à volta de mil dólares. A equipa manteve o modelo sem acesso à internet, forneceu-lhe apenas dados públicos à data de cada lançamento e recorreu tanto à API da própria Z.ai como a fornecedores terceiros. Apesar de o trabalho ter sido apresentado como exercício de segurança, a Epoch relata que nenhum fornecedor recusou os pedidos nem acionou qualquer salvaguarda.
A Epoch comunicou as conclusões à Mozilla, que corrigiu a falha de sandbox no Firefox 159.0, a 27 de outubro. Num texto publicado no mesmo dia do relatório, Bobby Holley, da Mozilla, escreveu que o GLM 5.3 conseguiu tirar partido de algumas correções para erros detetados inicialmente por modelos mais avançados. Enumerou as defesas já em vigor: lançamentos semanais, testes de regressão mantidos em sigilo até a correção sair, depois de se ter visto que o modelo rende muito menos sem eles, e análise de cada novo commit. A Mozilla pretende ainda calendarizar as correções das várias camadas de sandbox para que as respetivas janelas nunca coincidam, obrigando o atacante a descobrir pelo menos um erro inédito. Holley acrescentou que o acesso antecipado a modelos de ponta da Anthropic e da OpenAI ajudou o Firefox a lançar este ano mais de sete vezes mais correções de segurança do que em igual período de 2025.
Contra o Google Chrome, a mesma montagem não produziu um ataque equivalente, mesmo depois de cerca de 100 mil dólares em tentativas. A Epoch também ainda não verificou se o método resiste ao Firefox 159.0, embora espere que a correção o torne bastante mais difícil. Os investigadores avisam que o resultado no Chrome não prova que este esteja a salvo e lembram que modelos abertos mais fortes, como o Kimi K3.1 Pro, que não testaram, poderão ser mais eficazes em tarefas ofensivas.
A preocupação de fundo é a rapidez com que estas capacidades se espalham. Desde que a Anthropic apresentou o Claude Mythos em abril, os laboratórios de fronteira tentaram dar vantagem aos defensores através de programas restritos como o Glasswing e o Daybreak, e a Epoch recorda que a Anthropic mostrou recentemente um modelo interno a encontrar e explorar falhas graves em software muito usado. O novo resultado sugere que este tipo de ataque já não exige acesso privilegiado a esses sistemas. Os autores recomendam manter as correções em segredo até ao lançamento, acelerar as atualizações e não divulgar em simultâneo correções de erros que possam ser encadeados, apontando o firmware de routers e os sistemas operativos de telemóveis como especialmente expostos. Os resultados vêm das experiências controladas da própria Epoch e ainda não foram reproduzidos por terceiros, mas a resposta da Mozilla confirma a falha corrigida e a capacidade do modelo.