Un modello di intelligenza artificiale open-weight ha dimostrato una capacità che un tempo richiedeva uno sviluppatore di exploit esperto e molto tempo: trasformare correzioni di sicurezza non ancora distribuite agli utenti in exploit funzionanti per il browser. Secondo una ricerca della Frontier Red Team di Anthropic, GLM-5.3 — un modello open-weight rilasciato da Z.ai — ha sfruttato sei versioni del browser Firefox partendo da patch di sicurezza scritte ma non ancora rilasciate al pubblico. Mozilla ha corretto una vulnerabilità correlata dopo la emersione dei risultati.

Cosa ha trovato la red team

I dettagli sono illustrati in un rapporto del 29 settembre della Frontier Red Team di Anthropic, che ha valutato GLM-5.3, un modello rilasciato da Z.ai il 14 agosto 2026. In questa fase di test, la specialità del modello si è rivelata essere i motori JavaScript — i componenti all'interno di un browser che eseguono il codice su ogni sito web visitato dall'utente. Poiché elaborano codice non attendibile proveniente dal web aperto, i motori JavaScript sono storicamente stati un obiettivo privilegiato per lo sviluppo di exploit, uno schema confermato dal difetto di Chrome V8 citato più avanti nel rapporto.

Sul benchmark ExploitBench di Anthropic, GLM-5.3 ha prodotto exploit funzionanti in 50 tentativi su 410, con un tasso di successo del 12,2%. A confronto, il modello di Anthropic stesso, Claude Mythos Preview, ha realizzato 56 exploit sullo stesso benchmark.

I risultati su Firefox sono l'elemento più sorprendente del rapporto. Secondo i riscontri, GLM-5.3 ha sfruttato sei versioni di Firefox utilizzando correzioni di sicurezza scritte ma non ancora distribuite — in pratica, convertendo patch inedite in codice di attacco funzionante. I tempi sono rilevanti per i difensori: finché una correzione non viene distribuita, la vulnerabilità che affronta rimane presente nelle build del browser effettivamente utilizzate dagli utenti.

Sessioni guidate e un fratello minore più economico

La valutazione della red team è andata oltre i punteggi dei benchmark. Durante sessioni di ricerca guidate, GLM-5.3 avrebbe identificato molteplici nuove vulnerabilità, combinandole poi in un exploit significativo — capace di leggere file arbitrari da una macchina bersaglio, incluse chiavi SSH.

Anche una variante più piccola, GLM-5.3-Flash, ha mostrato capacità offensive. Ha concatenato difetti noti, incluso il bug di Chrome V8 tracciato come CVE-2026-11645, per costruire un exploit ARM64. Il costo API di tale lavoro è stato di circa 20,40 dollari — un dato concreto su quanto possa essere economico l'accesso al modello sottostante, sebbene la cifra riguardi il lavoro della variante Flash su difetti già noti e non i risultati di Firefox del rapporto.

Quanto al modello di punta, GLM-5.3 offre una finestra di contesto da 1 milione di token ed è un'evoluzione di GLM-5.2, con le nuove capacità attribuite al post-training piuttosto che a una ricostruzione da zero.

Salvaguardie che nella maggior parte dei casi non reggono

Anthropic ha riferito che le salvaguardie del modello potevano essere aggirate nel 64% fino al 100% dei casi utilizzando tecniche di base.

L'ampia distribuzione del modello conferisce a questi numeri un peso aggiuntivo. I pesi di GLM-5.3 sono stati scaricati oltre 1,3 milioni di volte da Hugging Face e, poiché il modello è open-weight, tali copie possono essere eseguite ovunque — al di fuori della portata di qualsiasi politica d'uso o sistema di monitoraggio. Un modello closed con salvaguardie deboli può essere corretto dal suo sviluppatore; un modello open-weight con salvaguardie deboli, una volta scaricato 1,3 milioni di volte, non può essere richiamato.

Perché conta oltre Firefox

La risposta di Mozilla dimostra che il sistema funziona, almeno questa volta. I risultati hanno portato a una correzione coordinata nelle versioni di Firefox interessate.

Vale anche la pena notare chi ha condotto i test. Anthropic sviluppa un modello concorrente, Claude Mythos Preview, che ha confrontato direttamente con GLM-5.3. Le cifre sono di Anthropic stessa, e i lettori dovrebbero valutarle tenendo presente questo contesto. Il naturale seguito da monitorare, dunque, è se valutazioni indipendenti al di fuori di Anthropic confermeranno i tassi di exploit riportati.

Disclosure: Questo articolo è stato curato da Diego Almada Lopez.

Fonte: CryptoBriefing