2026年10月30日，Epoch AI公布了一项实验结果：开源权重模型GLM 5.3只凭公开的安全补丁信息，用大约1000美元的算力，就做出了一个“打开网页就能读取访客电脑文件”的攻击页面，攻破了2026年9月17日至10月26日发布的全部六个Firefox版本。这不是一起真实入侵事件，实验在受控环境里完成。但它说明，补丁公开到用户装上之间的窗口期，已不再只属于顶尖攻击者。
实验只用了发布时已经公开的信息
实验设定成资源有限、技术一般的攻击者：只用每个版本发布时已公开的信息，在离线环境里复现。整个研究花了超过10万美元的接口费用，大部分用于搭建接近真实的环境和前期测试；环境搭好后，针对每个版本成功攻击一次约1000美元算力，模型最长有48小时，最快12小时就找到可用攻击链。模型先从将要发布的Firefox内存漏洞补丁里发现线索，做出读取和修改浏览器内存的方法，又在防护挡住目标文件后，把攻击与后续步骤串起来，反复诊断崩溃、放弃走不通的路，直到只访问网页就能拿到文件。六个版本的攻击，都要把补丁窗口期漏洞和另一个未公开漏洞串联，才能绕过正常防护。
门槛变化，才是这项实验真正的重点
补丁窗口期不是新问题，过去利用它需要大量时间和专业能力，或前沿模型的特殊权限。Anthropic的Glasswing和OpenAI的Daybreak，是把前沿模型提前交给防御方找漏洞；Epoch AI的实验反过来证明，公开权重模型也能独立完成攻击链搭建，且未触发任何服务商的安全拦截或拒绝。针对Chrome的同类尝试花了约10万美元也没有成功，但这不能证明Chrome就安全，更强的开源模型、更好的提示词都可能改变结果；Kimi K3.1 Pro权重预计11月初发布，早期数据显示它可能更强。
缩短窗口期，比争论模型好坏更实际
Epoch AI已把未公开漏洞告诉Mozilla，它在2026年10月27日发布的Firefox 159.0里得到修复，今后同类攻击会更难。防御方向也很具体：补丁在能部署前先别公开，测试版到正式版推送再快一点，避免一次打包多个能串联的漏洞。Firefox和Chrome现在都是每周发版，Epoch AI认为这可能仍然不够，因为实验里做出攻击不到两天，真实攻击者可能更快。对普通用户，最直接的动作是把Firefox更新到159.0或更新版本；对厂商，补丁发布节奏本身已是安全能力的一部分。
