النموذج المفتوح GLM 5.3 اخترق Firefox قبل وصول التحديثات بنحو 1000 دولار لكل إصدار

كان يكفي مستخدم Firefox أن يفتح صفحة ويب واحدة حتى يُرسل ملف من حاسوبه إلى مهاجم. فقد أظهرت مؤسسة الأبحاث Epoch AI في تقرير نشرته في 29 أكتوبر 2026 أن GLM 5.3، وهو نموذج مفتوح يمكن لأي شخص تنزيله، قادر على بناء صفحة كهذه بمفرده. وقد نجح مع جميع إصدارات Firefox الستة الصادرة بين 17 سبتمبر و26 أكتوبر. وهذه تجارب مخبرية، ولا يصف التقرير استخدام هذه الهجمات ضد مستخدمي Firefox.

ما المسألة

عند اكتشاف ثغرة أمنية يُكتب الإصلاح أولا ثم يُرسل إلى المستخدمين في صورة تحديث، وقد تمر أيام بين الخطوتين. ولأن Firefox مفتوح المصدر يبقى الإصلاح خلال هذه المدة ظاهرا في الشيفرة العامة. ويشبه ذلك أن يعلق مبنى قائمة الأبواب التي ستُغيَّر أقفالها قبل وصول عامل الأقفال، فيعرف اللص الذي يقرأ القائمة أي باب يقصد. وتسمى هذه المدة في عالم البرمجيات فجوة التصحيح.

وهذه المشكلة معروفة منذ سنوات، لكن قراءة الإصلاح وتحويله إلى هجوم فعال كانا يتطلبان خبرة عميقة ووقتا طويلا. وما توصلت إليه Epoch AI هو أن نموذجا متاحا للجميع بات قادرا على إنجاز معظم هذا العمل.

ماذا فعل النموذج

زود الفريق النموذج بإصدار Firefox المستهدف وأدوات أساسية ثم تركه يعمل. فقرأ تغييرات الشيفرة وحدد بنفسه أيها إصلاحات أمنية. وتحاول Mozilla إخفاء هذه الإصلاحات في صورة تحسينات عادية، لكن ذلك لم يوقف النموذج. وقد عثر أولا على ثغرة في الذاكرة، وعندما اصطدم بوسائل الحماية الأخرى في Firefox درس الأعطال وتخلى عن المسارات الفاشلة وبنى الهجوم خطوة بخطوة.

وكانت النتيجة صفحة تقرأ ملفا من الحاسوب وترسله إلى المهاجم بمجرد زيارتها، دون أن يضطر المستخدم إلى النقر أو الموافقة. وبحسب Epoch AI يمكن بهذه الطريقة أيضا قراءة كلمات المرور المحفوظة في المتصفح وملفات تعريف الجلسات. ولدى Firefox أكثر من 200 مليون مستخدم نشط.

التكلفة والوقت

منح الباحثون النموذج مهلة تصل إلى 48 ساعة، واستغرقت أسرع محاولة 12 ساعة. وبعد تجهيز البيئة بلغت تكلفة كل إصدار جديد نحو 1000 دولار. وتجاوز إجمالي الإنفاق على واجهات API، بما في ذلك التجهيز، 100 ألف دولار. ويقول الفريق إنه وصل إلى النموذج عبر واجهة Z.ai ومزودين آخرين، ووصف المهمة بأنها تمرين أمني، ولم يتلق أي رفض.

الوضع الحالي

اعتمدت الهجمات على أحدث الإصدارات أيضا على ثغرة أخرى غير منشورة أعاد النموذج اكتشافها في كل محاولة. وأبلغت Epoch AI شركة Mozilla بها، وأغلقها Firefox 159.0 في 27 أكتوبر. ولم يتأكد الفريق بعد من نجاح هجوم مشابه على 159.0، لكنه يرجح أن الأمر أصبح أصعب كثيرا. وفشلت الطريقة نفسها مع Google Chrome رغم إنفاق نحو 100 ألف دولار، ولا يعد الفريق ذلك دليلا على أمان Chrome.

ما العمل

ينبغي لمستخدمي Firefox التحديث إلى الإصدار 159.0 أو أحدث. ويقر التقرير بأن النماذج المفتوحة تساعد المدافعين أيضا، ولا يطرح حكما بشأن التوازن بين الهجوم والدفاع. ويوصي المطورين بتقصير المدة التي يبقى فيها الإصلاح ظاهرا قبل توزيعه. وقد انتقل Firefox وChrome إلى التحديثات الأسبوعية. ويقلق الفريق أكثر بشأن المنتجات بطيئة التحديث مثل برامج أجهزة التوجيه وأنظمة تشغيل الهواتف. ويخطط لاحقا لاختبار نماذج مفتوحة أقوى مثل Kimi K3.1 Pro الذي يُنتظر نشر ملفاته في نوفمبر. وللحصول على صورة أشمل، تابعوا أيضا تقييمات الباحثين المستقلين.

المصادر: Epoch AI