Apa yang terjadi
Para peneliti Epoch AI menunjukkan bahwa GLM 5.3 dari Z.ai, sebuah model open-weight yang tersedia luas, dapat secara otonom mengidentifikasi dan mengeksploitasi 'patch gap' — jendela waktu antara publikasi perbaikan keamanan dan saat perbaikan tersebut sampai ke pengguna — di Mozilla Firefox. Dalam eksperimen mereka, GLM 5.3 menggunakan celah ini untuk membangun sebuah halaman web yang, ketika dikunjungi oleh pengguna Firefox, membaca sebuah file dari komputer pengunjung dan mengirimkannya ke penyerang tanpa interaksi lebih lanjut; versi Firefox apa pun yang dirilis antara 17 September dan 26 Oktober dapat dikompromikan hanya dengan menggunakan informasi yang tersedia pada saat rilis, dengan biaya sekitar $1.000 per versi. Temuan utamanya: 'model open-weight yang tersedia luas kini dapat melakukan sebagian besar, atau bahkan seluruhnya, dari pekerjaan ini secara mandiri,' dan tidak ada pengaman atau penolakan dari penyedia — termasuk dari Z.ai — yang terpicu. Tim juga menemukan dan mengungkapkan kerentanan yang belum dipublikasikan, yang kini telah ditambal di Firefox 159.0 (dirilis 27 Oktober 2026).
Mengapa penting
Ini meruntuhkan serangan yang secara historis membutuhkan keterampilan tinggi dan sumber daya intensif menjadi operasi otomatis senilai ~$1.000 yang tersedia bagi aktor yang relatif kurang canggih, secara material meningkatkan tingkat ancaman bagi rantai pasokan browser dan perangkat lunak, serta menekan para pembela untuk mempersempit jendela patch mereka.
Tindakan yang diperlukan
Arahkan kepemimpinan keamanan untuk memperketat SLA manajemen patch dan asumsikan bahwa lawan dapat mempersenjatai perbaikan pra-rilis; integrasikan kemampuan cyber model open-weight ke dalam model ancaman terkait AI Anda.