Mozilla beschreibt mehrere Maßnahmen gegen die Patch-Lücke in Firefox: Das Unternehmen hält einige Regressionstests bis zum Versand einer Korrektur zurück und untersucht neue Commits auf Fehler. Außerdem führt Mozilla eine strukturelle Abwehr ein, die verhindern soll, dass sich Patch-Lücken zwischen verschiedenen Sicherheitsebenen überschneiden. Anlass ist ein kontrollierter Versuch von Epoch AI, bei dem GLM 5.3 laut dem Forschungsbericht Exploit-Ketten für sechs Firefox-Versionen entwickelte.
Was Epoch mit GLM 5.3 an Firefox getestet hat
Eine Patch-Lücke ist der Zeitraum zwischen der Veröffentlichung einer Sicherheitskorrektur und ihrer Auslieferung an Nutzer. Zwischen dem 17. September und dem 26. Oktober 2026 untersuchte Epoch AI sechs Firefox-Versionen, bei denen Korrekturen bereits öffentlich waren, aber noch nicht in der stabilen Version vorlagen. Epoch veröffentlichte den Bericht am 29. Oktober.
Die Forschenden richteten eine abgeschottete Umgebung ohne Internetzugang ein und gaben GLM 5.3 die Zielversion, grundlegende Werkzeuge und die relevanten öffentlichen Informationen. Nach einer allgemeinen Anweisung arbeitete das Modell laut Epoch ohne weitere Nutzereingaben. Das Testziel war eine Webseite, die beim Aufruf eine lokale Datei ausliest und an einen von Angreifern kontrollierten Server sendet. Epochs schnellster erfolgreicher Versuch dauerte zwölf Stunden; für jeden Versuch waren höchstens 48 Stunden vorgesehen.
Eine frühere NeoTeo-Berichterstattung zu GLM 5.3 und Anthropics Exploit-Tests behandelt eine separate Untersuchung. Epochs Firefox-Test fand in einer eigens eingerichteten Offline-Umgebung statt.
Welche Maßnahmen Mozilla beschreibt
Mozilla hält nach eigener Darstellung einige Regressionstests, also Tests, die prüfen, ob eine Änderung neue Fehler verursacht, bis zur Veröffentlichung der jeweiligen Korrektur zurück. Zudem scannt das Unternehmen neue Firefox-Commits, um neu eingeführte Fehler zu finden. Firefox erscheint laut Mozilla wöchentlich.
Bobby Holley, CTO von Firefox, schrieb am 29. Oktober, Firefox habe im Vergleich zum entsprechenden Zeitraum 2025 mehr als siebenmal so viele Sicherheitskorrekturen ausgeliefert. Diese Zahl ist Mozillas eigene Gegenüberstellung.
Wie Mozilla Patch-Lücken zwischen Schutzebenen verhindern will
Mozilla führt eine strukturelle Abwehr ein, bei der Korrekturen für verschiedene Klassen von Schwachstellen aufeinander abgestimmt werden sollen. So sollen sich die Zeiträume, in denen Korrekturen zwischen den Sicherheitsebenen noch nicht bei Nutzern angekommen sind, nicht überschneiden. Die Umsetzung erfordert laut Mozilla technische Abstimmung und kann Zeit in Anspruch nehmen.
Was Firefox 159.0 und der Chrome-Test aussagen
Epoch zufolge wurde die zuvor unveröffentlichte Schwachstelle, die GLM 5.3 in den Firefox-Tests nutzte, mit Firefox 159.0 behoben. Mozilla veröffentlichte Firefox 159 am 27. Oktober und listete mehrere darin behobene Sicherheitslücken auf. Epochs Bericht stellt fest, dass vergleichbare Versuche mit Chrome keinen gleichwertigen Exploit hervorbrachten. Die dafür angefallenen API-Kosten lagen laut Epoch bei rund 100.000 US-Dollar; das Ergebnis belegt keine generelle Immunität von Chrome.
