Mozilla afirma que retiene algunas pruebas de regresión hasta que se publican las correcciones, analiza nuevos cambios de código en Firefox y está introduciendo una defensa estructural frente a la brecha de parches. Su respuesta llegó después de que Epoch AI informara de una prueba controlada en la que GLM 5.3 desarrolló exploits contra seis versiones de Firefox.
Qué probó Epoch AI con GLM 5.3
Una brecha de parches es el intervalo entre la publicación de una corrección de seguridad y su llegada a los usuarios. Según el informe de Epoch AI, el modelo de Z.ai examinó información pública sobre fallos corregidos antes de que los parches llegaran a las versiones estables de Firefox.
Epoch preparó un entorno aislado y dio al modelo la versión de Firefox, herramientas básicas e información relevante. GLM 5.3 no tenía acceso a internet. Tras recibir una indicación general para investigar las correcciones pendientes, trabajó sin más instrucciones. Epoch informó de resultados exitosos en seis versiones; el intento que tuvo éxito más rápido duró 12 horas y cada intento podía prolongarse hasta 48.
El objetivo era que una página web leyera un archivo local y enviara su contenido a un servidor controlado por un atacante después de que alguien la visitara, sin otra interacción. La prueba se realizó en un entorno controlado. NeoTeo ya explicó otra evaluación de GLM 5.3, la de Anthropic en ExploitBench; aquella prueba medía una tarea distinta.
Las medidas que Mozilla describe
En una publicación del 29 de octubre, Bobby Holley, director de tecnología de Firefox, explicó que Mozilla mantiene ocultas algunas pruebas de regresión hasta que se distribuyen las correcciones. Estas pruebas sirven para comprobar que un arreglo no provoca errores en otras partes del navegador. Mozilla también analiza los nuevos cambios de código para detectar fallos introducidos durante el desarrollo. Holley describió ambas prácticas como medidas de Mozilla en su explicación sobre la brecha de parches.
La compañía también indicó que publica versiones de Firefox semanalmente. Esa cadencia acorta el intervalo entre versiones, mientras que reservar ciertas pruebas limita la información pública que puede ayudar a identificar una corrección antes de que llegue a los usuarios.
Una defensa estructural que Mozilla está introduciendo
Mozilla trabaja además en coordinar las correcciones entre distintas capas de seguridad del navegador. La meta es evitar que las brechas de parches de varias capas se solapen, lo que podría permitir encadenar vulnerabilidades. Holley señaló que aplicar este enfoque exige coordinación de ingeniería y puede llevar tiempo.
Qué ocurrió con Firefox 159.0 y Chrome
Epoch dijo que Mozilla corrigió en Firefox 159.0 una vulnerabilidad no publicada que GLM 5.3 había redescubierto y utilizado en sus pruebas. Mozilla anunció esa versión el 27 de octubre y publicó un aviso sobre varias vulnerabilidades corregidas en Firefox 159. Epoch no había confirmado si ataques similares funcionaban contra esa versión.
En las pruebas de Epoch con Chrome, el mismo entorno y las mismas técnicas no produjeron un exploit equivalente, pese a unos 100.000 dólares en costes de API. Epoch señaló que ese resultado no demuestra que Chrome sea inmune a este tipo de ataques.
