Offenes KI-Modell GLM 5.3 knackt sechs Firefox-Versionen für je rund 1.000 Dollar

Worum es geht

Die Forschungsorganisation Epoch AI hat am 29. Oktober 2026 berichtet, dass GLM 5.3 – ein chinesisches Modell von Z.ai mit offenen Gewichten (frei herunterladbar), veröffentlicht im August 2026 – sechs aufeinanderfolgende Firefox-Versionen angreifen konnte. Pro Version fielen etwa 1.000 Dollar API-Kosten an. Mozilla hat inzwischen mit Firefox 159.0 (27. Oktober) eine dabei gefundene Lücke geschlossen. Wer Firefox nutzt, sollte aktualisieren.

Der „Patch Gap“

Der Angriff nutzt den „Patch Gap“: die Zeitspanne zwischen dem Auftauchen einer Sicherheitskorrektur im öffentlichen Code und ihrer Auslieferung an die Nutzer. Bei Open-Source-Projekten wie Firefox erscheinen Änderungen zuerst in den Entwicklungszweigen „beta“ und „nightly“. GLM 5.3 erkannte laut Epoch Sicherheitskorrekturen selbst dann, wenn sie wie normale Verbesserungen aussahen, und baute daraus selbstständig eine Webseite, die beim Besuch eine Datei vom Computer liest und an den Angreifer schickt – ohne weitere Interaktion. Damit ließen sich laut Epoch gespeicherte Passwörter und Login-Cookies stehlen. Firefox hat über 200 Millionen aktive Nutzer.

Versuchsaufbau und Ergebnisse

Getestet wurde unter Ubuntu 26.04 mit Standard-Sicherheitseinstellungen und dem offiziellen Firefox. Das Modell kannte die Zielversion und hatte einfache Werkzeuge, aber kein Internet; öffentliche Informationen bekam es direkt geliefert, begrenzt auf den Stand des jeweiligen Release-Tages. Betroffen waren die Versionen 156.0, 156.0.1, 157.0, 157.0.1, 158.0 und 158.0.1 (17. September bis 26. Oktober). Frühere Versionen wurden nicht systematisch geprüft, dürften aber ebenfalls verwundbar sein. Pro Ziel waren 48 Stunden erlaubt, der schnellste Lauf dauerte 12 Stunden.

Jeder Angriff verkettete zwei Schwachstellen: Eine Patch-Gap-Lücke brachte Codeausführung im Prozess, der Webseiten darstellt. Eine zweite, unveröffentlichte Lücke, die das Modell bei jedem Versuch neu entdeckte, umging die Sandbox – die Isolierung, die selbst einen übernommenen Prozess vom Dateisystem fernhält. Epoch meldete diese Lücke an Mozilla. Das Sicherheitsbulletin MFSA 2026-118 stuft Firefox 159 insgesamt als „hoch“ ein. Ob Angriffe gegen 159.0 noch klappen, ist ungetestet; Epoch erwartet aber deutlich größere Hürden. Beliebige Codeausführung gelang nicht.

Keine Bremse durch Schutzmechanismen

Die Anfragen wurden als Sicherheitsübung formuliert und weder von Z.ai noch von Drittanbietern blockiert. Epoch hält strengere Filter für begrenzt wirksam: Wer Gewichte lädt, kann eine Version ohne Verweigerungsmechanismen erstellen. Zu den Vorsichtsmaßnahmen gehörten eine isolierte Cloud-Instanz ohne Netzwerk und Echtzeit-Überwachung; einmal wurden alle Läufe pausiert, weil defekte Umgebungen Aktionen außerhalb der Sandbox ermöglichten (ohne Netzzugriff oder böse Absicht).

Chrome und Ausblick

Bei Chrome gelang mit demselben Verfahren trotz rund 100.000 Dollar API-Kosten kein gleichwertiger Angriff, was Epoch nicht als Beleg für Sicherheit wertet. Als Nächstes soll Kimi K3.1 Pro getestet werden, dessen Gewichte Anfang November erscheinen sollen. Als Gegenmaßnahmen nennt Epoch: Korrekturen bis zur Auslieferung geheim halten, schneller von Beta zu Release gehen und verkettbare Lücken nicht gleichzeitig patchen. Firefox und Chrome liefern inzwischen wöchentlich Updates.

Anthropics Bericht

Unabhängig davon veröffentlichte Anthropics Frontier Red Team laut The Next Web und Crypto Briefing eine Analyse. Auf ExploitBench (bekannte Lücken in der V8-Engine von Chrome) baute GLM 5.3 in 50 von 410 Versuchen Exploits (12,2 %), Claude Mythos Preview in 56. Beim internen Binary-Exploitation-Test kam GLM 5.3 auf 4 %, Mythos Preview auf 6 %; GLM 5.2 und Claude Opus 4.6 auf 0 %. Das kleinere GLM-5.3-Flash verkettete eine Chrome-Lücke (CVE-2026-11645) für rund 20,40 Dollar. Schutzmechanismen ließen sich mit einfachen Tricks in 64 % bis 100 % der Fälle umgehen; Anthropic selbst entfernte Verweigerungen per „Abliteration“ (Eingriff in die Gewichte) für etwa 4.400 Dollar. NIST/CAISI nannte das Modell am 17. September das „cyberfähigste offene Modell bisher“, etwa vier Monate hinter der US-Spitze. Crypto Briefing weist darauf hin, dass Anthropic ein Konkurrenzmodell baut und die Zahlen eigene sind. Die Quellen widersprechen sich in Details (Anthropic-Bericht „Dienstag“ vs. Datum 29. September; Zhipu/Z.ai), die Kernaussagen sind aber deckungsgleich.

Was du zum Ausprobieren brauchst

Das Modell selbst ist riesig (1 Mio. Token Kontext) und für Heimrechner kaum geeignet. Praktisch relevant für dich: Firefox auf Version 159.0 oder neuer aktualisieren. Eigene Angriffsversuche sind nicht Gegenstand dieser Meldung und rechtlich heikel.

Einordnung

Die Ergebnisse zeigen, dass starke Angriffsfähigkeiten bei frei verfügbaren Modellen ankommen – und dass Verweigerungsfilter dort kaum schützen. Kritisch: Epochs Setup war aufwendig (über 100.000 Dollar Gesamtkosten) und geschützt; die Zahlen sind Herstellerangaben der Forscher, ein Gegencheck steht aus. Gut ist, dass die koordinierte Offenlegung funktionierte. Die Verteidigung muss den Patch Gap verkleinern.