Modelo aberto GLM 5.3 monta ataques ao Firefox sozinho por US$ 1.000

Pesquisadores da Epoch AI demonstraram que um modelo de IA de pesos abertos, o GLM 5.3, consegue montar sozinho cadeias completas de ataque contra o navegador Firefox aproveitando a chamada "brecha de patch": o intervalo entre o momento em que uma correção de segurança aparece no código público e o momento em que ela chega de fato aos usuários. O trabalho foi noticiado nesta sexta-feira (30) pelo The Decoder, e o custo informado chama atenção: cerca de US$ 1.000 em chamadas de API por versão do navegador atacada.

No experimento, o modelo recebeu a versão alvo do Firefox, ferramentas básicas e informações públicas, tudo num ambiente offline. Depois de instruções simples para investigar a brecha de patch, trabalhou sem intervenção humana: identificou correções de segurança que ainda não tinham sido distribuídas, escolheu vulnerabilidades e encadeou várias etapas de exploração. O ataque mais rápido levou 12 horas, e o limite dado ao modelo foi de 48 horas.

O que os pesquisadores conseguiram fazer

A Epoch AI testou seis versões do Firefox lançadas entre 17 de setembro e 26 de outubro. Em uma das provas, o modelo construiu uma página web capaz de ler arquivos locais do computador de quem a abrisse e enviá-los a um servidor do atacante no instante em que a página carregasse. Com mais de 200 milhões de usuários ativos, o navegador da Mozilla teria exposto senhas salvas, cookies de autenticação e documentos privados nesse cenário, segundo os pesquisadores.

Um detalhe técnico importante: o Firefox costuma publicar correções de segurança com descrições que parecem melhorias rotineiras, justamente para dificultar a vida de quem procura essas falhas. Segundo o relato, o GLM 5.3 enxergou além do disfarce e identificou quais mudanças de código eram relacionadas a segurança. Em um caso, percebeu um erro de memória por meio de uma correção futura e desenvolveu um método para ler e alterar a memória do navegador. Quando as camadas de proteção bloquearam o acesso ao arquivo-alvo, o modelo encadeou o ataque inicial com etapas adicionais para contornar o que restava.

Em todos os ataques bem-sucedidos contra versões atuais, o modelo redescobriu, de forma independente a cada tentativa, uma mesma vulnerabilidade até então desconhecida, que permitia escapar da proteção de isolamento do navegador e ler arquivos diretamente do computador. A equipe avisou a Mozilla, que corrigiu a falha no Firefox 159.0, lançado em 27 de outubro de 2026. Os pesquisadores não confirmaram se ataques parecidos funcionam contra a nova versão, mas suspeitam que a correção os torne "pelo menos substancialmente mais difíceis".

E o Chrome? O teste que não deu certo

Com a mesma configuração, a equipe gastou cerca de US$ 100.000 em API tentando atacar o Google Chrome e não chegou a um exploit equivalente. Os próprios autores ressaltam que isso não prova que o Chrome seja imune: métodos melhores de condução do modelo, ou modelos mais capazes, ainda poderiam ter sucesso. Eles citam dados limitados de benchmark sugerindo que o recém-anunciado Kimi K3.1 Pro pode superar o GLM 5.3 em tarefas ofensivas de segurança, embora não o tenham testado.

Outro ponto relevante é que nem a Z.ai, desenvolvedora do modelo, nem outros provedores de API acionaram qualquer recusa ou trava de segurança quando os pesquisadores usaram o GLM 5.3 para desenvolver exploits. Embora tenham apresentado a tarefa como um exercício de segurança, os autores descrevem as próprias ações como "indistinguíveis" das de alguém tentando atingir usuários reais.

A brecha de patch não é um problema só do Firefox

Segundo os pesquisadores, a janela entre a publicação da correção e a entrega ao usuário existe em toda a indústria de software: navegadores, sistemas operacionais de celular e firmware de roteadores. Projetos de código aberto ficam especialmente expostos porque todo o código é público, mas software fechado também é vulnerável. A Anthropic já mostrou que o Mythos consegue explorar essa brecha no Windows sem acesso ao código-fonte, e os modelos estão cada vez melhores em descompilar programas para identificar correções de segurança por conta própria.

O relatório lembra ainda casos reais. Em setembro de 2026, houve ataques que aproveitaram a brecha de patch contra o Chrome. No mesmo mês, um fornecedor liberou versões corrigidas do PHP mais de seis horas antes da divulgação coordenada de correções para duas falhas críticas, e, citando reportagens externas, os pesquisadores dizem que essa antecipação pode ter contribuído para milhares de tentativas de exploração antes do lançamento oficial, número que subiu para milhões logo depois. É o mesmo episódio que acompanhamos em CISA confirma ataques reais às falhas do PHP.

O que a Epoch AI recomenda

Para reduzir o risco, os autores sugerem manter correções de segurança privadas até que estejam prontas para distribuição e acelerar a passagem das versões beta para a versão geral. Eles observam que Firefox e Chrome já começaram a publicar atualizações semanais. Também aconselham evitar corrigir várias vulnerabilidades ao mesmo tempo quando elas puderem ser encadeadas em um único ataque.

O GLM 5.3 já havia sido alvo de outros alertas recentes. A Anthropic mostrou em estudo que as salvaguardas do modelo falham com facilidade, como contamos em Anthropic mostra que modelo chinês GLM-5.3 cria exploits de graça e sem freio, e a Cloudflare admitiu que o modelo vazou dados entre clientes em sua plataforma, caso detalhado em Cloudflare admite vazamento de dados entre clientes no GLM 5.3. O novo resultado reforça a tendência: capacidade ofensiva avançada deixou de ser exclusividade de modelos fechados e caros.

Por que isso importa para você

Se você usa o Firefox, o passo mais simples é conferir se o navegador está na versão 159.0 ou mais recente, que corrige a falha usada nos testes, e manter as atualizações automáticas ligadas. Quanto menos tempo entre o lançamento de uma correção e a sua instalação, menor a janela para quem tenta explorar a brecha. O mesmo vale para o celular, o computador e o roteador de casa ou do escritório.

Para quem trabalha com tecnologia ou tem um pequeno negócio, a lição é que o custo de montar um ataque sofisticado caiu para algo na casa de US$ 1.000, o que torna alvos menores economicamente viáveis para criminosos. Vale reforçar o básico: gerenciador de senhas, autenticação em dois fatores e desconfiança com links. Nosso guia de como escolher ferramenta de IA com segurança ajuda a avaliar modelos antes de colocá-los em produção, e o texto sobre gerenciador de senhas mostra como proteger as contas caso um navegador seja comprometido. Também vale ler como usar IA para checar mensagens suspeitas e evitar golpes.

Para quem desenvolve software, a recomendação é revisar o processo de publicação de correções: se o conserto aparece em um repositório público dias antes do lançamento, ele já funciona como mapa para atacantes equipados com IA. Para quem escolhe modelos abertos por custo ou por soberania de dados, o episódio mostra que a ausência de travas no fornecedor é um risco a ser pesado, e não só um detalhe técnico.