Mozilla zegt dat Firefox sommige regressietests vertrouwelijk houdt tot de bijbehorende fix is uitgebracht en nieuwe commits scant. Ook voert het een structurele verdediging in die moet voorkomen dat patch gaps in verschillende beveiligingslagen tegelijk openstaan. De patch gap is de periode waarin een beveiligingsfix al openbaar is, maar nog niet bij de meeste gebruikers is aangekomen.
Wat Epoch AI met Firefox testte
Epoch AI meldde op 29 oktober 2026 dat GLM 5.3 in een gecontroleerde test met succes exploits ontwikkelde voor zes Firefox-versies die tussen 17 september en 26 oktober uitkwamen. Het doel was dat een webpagina na een bezoek een lokaal bestand kon lezen en naar een server kon sturen. De onderzoekers testten dit in een voorbereide, offline omgeving: het model had geen internettoegang en kreeg de relevante openbare informatie rechtstreeks van de onderzoekers. Na een algemene startinstructie werkte het zonder verdere input van hen. Epoch AI beschreef de opzet en resultaten.
Epoch gaf het model maximaal 48 uur per poging. De snelste geslaagde poging duurde 12 uur. Een eerdere bijdrage van NeoTeo ging over Anthropic’s afzonderlijke ExploitBench-resultaten voor GLM 5.3; Epoch richtte zich op Firefox en het patchgat tussen openbare fixes en updates voor gebruikers.
Welke maatregelen noemt Mozilla?
Firefox brengt volgens Mozilla elke week nieuwe builds uit. Het bedrijf zegt eerder in 2026 de releasecyclus te hebben gehalveerd. Ook houdt Mozilla sommige regressietests, tests die controleren of een wijziging nieuwe fouten veroorzaakt, vertrouwelijk totdat de bijbehorende fix is uitgebracht. Daarnaast scant het nieuwe commits in de Firefox-code om geïntroduceerde fouten op te sporen voordat die een release bereiken. Bobby Holley, CTO van Firefox, beschreef deze maatregelen op het Mozilla-blog.
Holley meldde ook dat Firefox in dezelfde periode meer dan zeven keer zoveel beveiligingsfixes had uitgebracht als in dezelfde periode van 2025. Dat is Mozilla’s eigen vergelijking.
Waarom Mozilla fixes tussen beveiligingslagen wil spreiden
Firefox gebruikt meerdere beveiligingslagen, waaronder sandboxing. Die lagen zijn bedoeld om te voorkomen dat één kwetsbaarheid meteen toegang geeft tot andere delen van de browser of het apparaat. Mozilla wil verschillende soorten fixes zo coördineren dat de periode waarin een fix openbaar is niet tegelijk openstaat voor kwetsbaarheden in meerdere lagen. Volgens Holley vergt deze aanpak technische afstemming en kan de invoering tijd kosten.
Wat Firefox 159.0 en de Chrome-test laten zien
Mozilla bracht Firefox 159.0 uit op 27 oktober 2026; de officiële beveiligingswaarschuwing vermeldt de kwetsbaarheden die deze versie verhelpt. Epoch meldde dat Mozilla met deze release ook de niet eerder gepubliceerde kwetsbaarheid had verholpen die in de Firefox-tests was gebruikt. De Mozilla-waarschuwing voor Firefox 159 en Epochs onderzoeksverslag beschrijven elk hun eigen deel van die update.
In zijn verslag van 29 oktober zei Epoch nog niet te hebben vastgesteld of vergelijkbare aanvallen ook tegen Firefox 159.0 slaagden. De tests met Chrome leverden met dezelfde opzet geen gelijkwaardige exploit op. Epoch beschouwde dat resultaat niet als bewijs dat Chrome immuun is.
