Un modello di intelligenza artificiale open-weight, disponibile gratuitamente, è riuscito a trasformare correzioni di sicurezza pubblicate nel codice di Firefox in attacchi funzionanti, prima che gli utenti ricevessero l'aggiornamento. Lo hanno mostrato i ricercatori di Epoch AI, che hanno testato GLM 5.3, il modello sviluppato da Z.ai.
Il nodo tecnico è il cosiddetto "patch gap", cioè la finestra di tempo in cui una correzione è già visibile nel codice sorgente ma non ha ancora raggiunto i computer delle persone. Chi sa leggere le modifiche può capire quale falla viene chiusa e costruire un attacco prima che l'aggiornamento arrivi. Il team ha sfruttato questa finestra su sei versioni di Firefox uscite tra il 17 settembre e il 26 ottobre, con un costo di circa 1.000 dollari in chiamate API per ogni attacco andato a buon fine.
Nei test, il modello ha costruito una pagina web capace di leggere i file locali del visitatore e di inviarli a un server dell'aggressore nel momento stesso in cui la pagina veniva caricata. Con oltre 200 milioni di utenti attivi di Firefox, il rischio riguarderebbe password salvate, cookie di autenticazione e documenti privati. Né Z.ai né gli altri fornitori di API hanno attivato blocchi o rifiuti durante l'esperimento, che i ricercatori hanno impostato come un esercizio di sicurezza ma che, dicono, non si distingue da un attacco vero.
Per i test, il team ha simulato un attaccante poco esperto con mezzi limitati: ha fornito la versione di Firefox, strumenti di base e informazioni pubbliche in un ambiente offline. Dopo un'istruzione iniziale sul patch gap, il modello ha individuato da solo le correzioni in arrivo, ha scelto le vulnerabilità e ha costruito catene di exploit in più fasi. Secondo il report, Mozilla nasconde le correzioni di sicurezza tra modifiche apparentemente di routine, ma il modello è riuscito a riconoscerle comunque. Il tentativo più rapido ha richiesto 12 ore, a fronte di un limite di 48.
In tutti gli attacchi riusciti sulle versioni più recenti, GLM 5.3 ha usato una falla sconosciuta che il modello ha riscoperto ogni volta, aggirando la sandbox del browser e leggendo file direttamente dal computer. Il team ha segnalato il problema a Mozilla, che lo ha corretto con Firefox 159.0, uscito il 27 ottobre. Gli stessi ricercatori non hanno verificato se il nuovo aggiornamento blocchi del tutto attacchi simili, ma ritengono che li renda almeno molto più difficili.
Lo stesso approccio applicato a Google Chrome, con circa 100.000 dollari di chiamate API, non ha prodotto un exploit equivalente. Il risultato non dimostra però che Chrome sia immune: metodi più raffinati o modelli più capaci potrebbero riuscirci. Un benchmark limitato suggerisce che Anthropic Mythos potrebbe fare meglio di GLM 5.3 nei compiti offensivi, anche se il team non lo ha testato.
Il problema non riguarda solo Firefox. Secondo i ricercatori, il patch gap esiste in tutta l'industria del software, dai browser ai sistemi operativi mobili, fino al firmware dei router. I progetti open source sono i più esposti, perché il loro codice è pubblico, ma anche il software chiuso non è al sicuro: Anthropic ha già mostrato che il suo modello Mythos può sfruttare il patch gap su Windows senza accedere al codice sorgente.
A settembre 2026, ricordano gli autori, attacchi di questo tipo hanno preso di mira Chrome. Nello stesso mese un fornitore ha pubblicato versioni corrette di PHP oltre sei ore prima della diffusione coordinata delle patch per due vulnerabilità critiche; secondo fonti esterne, quell'anticipo potrebbe aver favorito migliaia di tentativi di exploit, saliti a milioni subito dopo. Il team è preoccupato soprattutto per i dispositivi che vengono aggiornati di rado, come router e sistemi mobili, dove molti utenti restano esposti a lungo.
Per ridurre il rischio, i ricercatori consigliano di tenere private le correzioni fino al momento del rilascio e di portarle più rapidamente dalla beta alla versione generale. Firefox e Chrome hanno già iniziato ad adottare aggiornamenti settimanali. Suggeriscono inoltre agli sviluppatori di non correggere più vulnerabilità insieme quando possono essere concatenate.
Secondo gli autori, dare ai difensori accesso a modelli chiusi più potenti non risolve da solo il problema, perché una correzione pubblica indica comunque all'attaccante dove si trova la falla. Il team conclude che i modelli liberamente disponibili stanno diffondendo capacità offensive che sfuggono al controllo di chiunque, e che molti altri software probabilmente sono già vulnerabili a questi attacchi.
Ancora nessun commento. Puoi essere il primo!