Anthropicのレッドチーム、Z.aiのGLM-5.3が未提供のセキュリティ修正を利用してFirefoxの6バージョンを攻撃したと報告
重要ポイント
- •Z.aiのオープンウェイトモデルGLM-5.3は、未公開のセキュリティパッチを実用的なエクスプロイトに変換してFirefoxの6バージョンを攻撃し、Mozillaは関連する脆弱性を修正した。
- •AnthropicのExploitBenchベンチマークで、GLM-5.3は410回の試行のうち50件の実用的なエクスプロイトを作成し、成功率は12.2%。比較としてAnthropicのClaude Mythos Previewは56件を達成した。
- •ガイド付き研究セッションで、GLM-5.3は複数の新たな脆弱性を特定して結合し、SSH鍵を含む対象マシンの任意のファイルを読み取れるエクスプロイトを構築した。
- •小型版GLM-5.3-Flashは、CVE-2026-11645として追跡されるChrome V8の脆弱性を含む既知の欠陥を連鎖させ、APIコスト約20.40ドルでARM64向けエクスプロイトを構築した。
- •Anthropicの報告によれば、GLM-5.3のセーフガードは基本的な手法で64%から100%のケースで回避可能であり、その重みはHugging Faceから130万回以上ダウンロードされている。
オープンウェイトの人工知能モデルが、かつて熟練したエクスプロイト開発者と多大な時間を必要とした能力を実証した。それは、ユーザーにまだ提供されていないセキュリティ修正を実用的なブラウザエクスプロイトに変換するというものだ。AnthropicのFrontier Red Teamによる研究によれば、Z.aiが公開したオープンウェイトモデルGLM-5.3は、作成済みだが一般に公開されていなかったセキュリティパッチを基に、Firefoxブラウザの6つのバージョンを攻撃した。今回の発見を受けて、Mozillaは関連する脆弱性を修正した。
レッドチームの発見内容
詳細はAnthropicのFrontier Red Teamによる9月29日の報告書に記されており、同チームはZ.aiが2026年8月14日に公開したGLM-5.3を評価した。今回のテストで同モデルの得意分野と判明したのはJavaScriptエンジン、すなわちユーザーが訪れるすべてのウェブサイトのコードを実行するブラウザ内部のコンポーネントである。JavaScriptエンジンはオープンウェブからの信頼できないコードを処理するため、歴史的にエクスプロイト開発の主要な標的となっており、報告書が後述するChrome V8の脆弱性もその傾向を示すものである。
AnthropicのExploitBenchベンチマークにおいて、GLM-5.3は410回の試行のうち50回で実用的なエクスプロイトを作成し、成功率は12.2%となった。比較として、Anthropic自身のモデルであるClaude Mythos Previewは同じベンチマークで56件のエクスプロイトを達成した。
Firefoxに関する結果が報告書で最も注目すべき部分である。発見内容によれば、GLM-5.3は、作成済みだがまだ提供されていないセキュリティ修正を利用してFirefoxの6つのバージョンを攻撃した。つまり、未公開のパッチを実用的な攻撃コードに変換したのである。このタイミングは防御者にとって重要だ。修正が提供されるまで、その脆弱性はユーザーが実際に実行しているブラウザビルドに残ったままとなる。
ガイド付きセッションと低価格の派生モデル
レッドチームの評価はベンチマークスコアにとどまらなかった。ガイド付き研究セッションの間に、GLM-5.3は複数の新たな脆弱性を特定し、それらを重大なエクスプロイトへと結合したと報じられている。このエクスプロイトは、SSH鍵を含む対象マシン上の任意のファイルを読み取ることによった。
小型版のGLM-5.3-Flashも攻撃能力を示した。CVE-2026-11645として追跡されているChrome V8の脆弱性を含む既知の欠陥を連鎖させ、ARM64向けのエクスプロイトを構築したのである。その作業のAPIコストは約20.40ドルに上った。これは基盤モデルへのアクセスがいかに低コストでありうるかを示す具体的なデータポイントだが、この数値は既知の脆弱性に対するFlash版の作業を対象としており、報告書のFirefoxに関する発見とは異なることに留意が必要である。
フラッグシップモデルであるGLM-5.3自体は100万トークンのコンテキストウィンドウを備え、GLM-5.2の進化版である。その新能力は、ゼロからの再構築ではなくポストトレーニングによるものとされている。
ほとんど機能しないセーフガード
Anthropicの報告によれば、同モデルのセーフガードは基本的な手法を用いて64%から100%のケースで回避可能であった。
モデルの配布規模の広さが、これらの数値にさらなる重みを与えている。GLM-5.3の重みはHugging Faceから130万回以上ダウンロードされており、モデルがオープンウェイトであるため、それらのコピーは利用ポリシーや監視システムの及ばない場所であればどこでも実行できる。ガードレールの弱いクローズドモデルは開発者が修正できるが、ガードレールの弱いオープンウェイトモデルは、130万回ダウンロードされた後には回収することができない。
Firefoxを超えて重要である理由
Mozillaの対応は、少なくとも今回はシステムが機能したことを示している。今回の発見により、影響を受けたFirefoxの各バージョンに対する調整されたパッチ適用が行われた。
誰がテストを行ったかにも注目する価値がある。Anthropicは競合モデルであるClaude Mythos Previewを開発しており、これをGLM-5.3と直接比較した。これらの数値はAnthropic自身によるものであり、読者はその文脈を踏まえて判断すべきである。今後注目すべき自然な流れは、Anthropic以外の独立した評価が報告されたエクスプロイト成功率を裏付けるかどうかである。
注記：この記事はDiego Almada Lopezによって編集されました。
