Epoch AI коммерциялық емес ұйымының зерттеушілері қытайлық Z.ai компаниясының жалпыға қолжетімді GLM 5.3 тілдік моделі адамның қатысуынсыз Firefox браузерінің алты нұсқасын бұзудың жұмыс істейтін тәсілдерін жасағанын көрсетті. Бұл нұсқалар 17 қыркүйек пен 26 қазан аралығында шыққан. Бір нұсқаға жасалған шабуыл модельді пайдалану үшін шамамен 1000 доллар төлемді қажет етті, ал ең жылдам шабуыл 12 сағатқа жуық уақыт алды. Зерттеу есебі 29 қазанда жарияланды.
Тілдік модель — мәтінді, оның ішінде бағдарламалық кодты түсініп, жаза алатын бағдарлама. GLM 5.3 — салмақтары ашық модель, яғни оны кез келген адам жүктеп алып, іске қоса алады. Z.ai бұл модельді 2026 жылғы тамызда шығарған.
Модель «патч терезесі» деп аталатын олқылықты пайдаланды. Бұл — қауіпсіздік қатесінің түзетуі браузердің ашық кодында пайда болған сәт пен жаңарту пайдаланушыларға жеткен сәттің арасындағы уақыт. GLM 5.3 осындай түзетулерді тауып, олардың қандай осалдықты жабатынын анықтады. Содан кейін бірнеше қатені біріктіріп, шабуыл тізбегін құрастырды. Зерттеушілер модельге тек негізгі нұсқаулар беріп, жұмыс уақытын 48 сағатпен шектеді.
Нәтижесінде модель арнайы веб-бет жасады. Оны Firefox-та ашса болғаны, бет компьютердегі файлды оқып, мазмұнын шабуылдаушыға жібереді. Пайдаланушыдан басқа ешқандай әрекет қажет емес. Авторлардың бағалауынша, осылай сақталған құпиясөздерге, сайттарға кіру деректеріне және жеке құжаттарға қол жеткізуге болады. Шабуыл үшін екі қате керек болды: біреуі бұрыннан жарияланған түзетуден алынды, екіншісі бұған дейін белгісіз еді. Екінші қате браузер сайттарды ашатын қорғаныш оқшаулауынан — «құмсалғыштан» шығуға мүмкіндік берді.
Зерттеушілер модельмен жұмыс істеген Z.ai да, басқа сервистер де тапсырмадан бірде-бір рет бас тартпаған, шектеу де қоймаған. Авторлар тапсырманы модельге қауіпсіздік жаттығуы ретінде ұсынған.
Epoch AI тапқан олқылығы туралы Mozilla-ға хабарлады. Бұрын белгісіз осалдық 27 қазанда шыққан Firefox 159.0 нұсқасында жабылды. Зерттеушілер шабуылды жаңа нұсқада әлі тексермеген, бірақ енді оны жүзеге асыру әлдеқайда қиындады деп санайды. Дәл осындай тәсіл Google Chrome-ға қарсы да қолданылды: модельге шамамен 100 мың доллар жұмсалғанымен, жұмыс істейтін бұзу тәсілі табылмады. Алайда авторлар бұл Chrome-да осалдық жоқ дегенді білдірмейтінін атап өтті.
Қарапайым пайдаланушылар үшін, оның ішінде Қазақстанда да, қорытынды айқын: браузерді жаңа нұсқасы шыққан бойда жаңарту керек. Әзірлеушілерге авторлар жаңарту дайын болғанша түзетулерді жария етпеуге, оларды барлығына тезірек шығаруға және тізбекке біріктіруге болатын қателерді бір мезгілде жаппауға кеңес береді. Firefox пен Chrome қазірдің өзінде апта сайынғы жаңартуларға көшті.
Зерттеушілердің айтуынша, бұл мәселе тек браузерлерге емес, мобильді операциялық жүйелер мен роутерлердің бағдарламалық жасақтамасына да, әсіресе сирек жаңартылатындарына қатысты. Жаңартылмаған жүйелерге шабуыл — жай болжам емес: қазанда хакерлер PHP2Shell осалдығы арқылы серверлерге шабуыл жасай бастады. Epoch AI сондай-ақ тағы бір қытайлық модель — Kimi K3.1 Pro шектеулі деректер бойынша мұндай тапсырмаларды бұдан да жақсы орындауы мүмкін екенін атап өтті, бірақ зерттеуде ол тексерілмеген.
