A Mozilla diz que retém algumas provas de regressão até que as correções sejam distribuídas, analisa novos commits do Firefox e está introduzindo uma defesa estrutural contra a sobreposição de brechas entre camadas de segurança. A resposta veio após a Epoch AI relatar que o modelo GLM 5.3 criou exploits em um teste controlado com seis versões do Firefox.
O que a Epoch AI relatou sobre o Firefox
A Epoch define patch gap como o intervalo entre a divulgação de uma correção de segurança e sua chegada aos usuários. Em testes com seis versões do Firefox, a organização relatou que o GLM 5.3 encontrou falhas e construiu cadeias de exploração nesse intervalo. A tentativa bem-sucedida mais rápida levou 12 horas; cada tentativa podia durar até 48 horas. Epoch AI
O experimento ocorreu em um ambiente preparado e isolado. O modelo não tinha acesso à internet: os pesquisadores forneceram a versão do Firefox, ferramentas básicas e informações públicas relevantes. Depois de receber orientações iniciais para investigar correções ainda não distribuídas, o GLM 5.3 trabalhou sem novas instruções. O objetivo era criar uma página que, ao ser visitada, lesse um arquivo local e enviasse seu conteúdo a um servidor controlado por um atacante, sem outra ação do usuário.
A NeoTeo já abordou outra avaliação de segurança do GLM 5.3, conduzida pela Anthropic em tarefas diferentes. Leia a cobertura anterior.
As medidas que a Mozilla descreve
Em uma publicação de 29 de outubro, Bobby Holley, CTO do Firefox, disse que a Mozilla voltou a manter algumas provas de regressão em sigilo até o envio das correções. Essas provas ajudam a verificar se uma correção resolve um problema sem introduzir outros. A Mozilla também analisa novos commits do Firefox para detectar falhas antes que cheguem aos usuários. Mozilla
Essas medidas tratam de momentos diferentes: manter certas provas em sigilo reduz o que pode ser deduzido antes da distribuição de uma correção; analisar commits busca identificar problemas introduzidos durante o desenvolvimento.
A defesa estrutural ainda está sendo introduzida
A Mozilla também está coordenando correções entre diferentes camadas de segurança do navegador para evitar que as brechas de cada camada se sobreponham. A ideia é reduzir a chance de uma falha em uma camada poder ser encadeada a outra durante o intervalo entre a divulgação e a distribuição dos patches. A Mozilla diz que essa abordagem exige coordenação de engenharia e pode levar tempo para ser implementada.
O que mudou no Firefox 159.0
Em 27 de outubro, a Mozilla publicou um boletim sobre o Firefox 159, que lista vulnerabilidades corrigidas nessa versão. A Epoch afirma que a vulnerabilidade inédita usada em seus testes foi corrigida no Firefox 159.0. Boletim de segurança da Mozilla
A Epoch também relatou que suas tentativas com o Chrome, usando o mesmo ambiente e as mesmas técnicas, não produziram um exploit equivalente, apesar de cerca de US$ 100 mil em custos de API. Esse resultado descreve aquelas tentativas da Epoch. Epoch AI
