Basta abrir uma página. Não é preciso clicar em nada, baixar anexo ou digitar senha. A página lê um arquivo guardado no computador e o envia para o servidor de um atacante. Segundo relatório publicado em 29 de outubro pela Epoch AI (abre em nova aba), o GLM 5.3 montou esse tipo de ataque sozinho contra seis versões seguidas do Firefox (abre em nova aba). O GLM 5.3 é um modelo de pesos abertos que a chinesa Z.ai (abre em nova aba) lançou em agosto.
A lista inclui tudo o que a Mozilla (abre em nova aba) lançou entre 17 de setembro e 26 de outubro: as versões 156.0, 156.0.1, 157.0, 157.0.1, 158.0 e 158.0.1. Em cada caso, o modelo usou apenas o que era público na data daquela versão. A tentativa mais rápida levou 12 horas, e o limite dado pelos pesquisadores era de 48. Versões anteriores não foram testadas de forma sistemática, então seis é o número de alvos verificados, não necessariamente o total de versões vulneráveis.
A janela entre a correção e a atualização
O ponto fraco explorado tem nome: patch gap. É o intervalo entre o momento em que uma correção de segurança é publicada e o momento em que ela chega ao navegador das pessoas. Nesse período, a correção funciona como um mapa, porque mostra onde estava o defeito para quem souber ler. É como achar o bilhete do chaveiro avisando qual fechadura ele vai trocar na semana que vem.
Os pesquisadores deixaram o modelo sem acesso à internet. Entregaram a ele as informações públicas, ferramentas básicas e a instrução de examinar correções que ainda não estavam na versão estável. Depois disso, não houve mais nenhuma intervenção humana.
Há um detalhe que pesa mais do que parece. Nos ataques às versões mais recentes, o GLM 5.3 também usou uma falha que ninguém havia divulgado, e a redescobriu a cada rodada. A Epoch avisou a Mozilla, que corrigiu o problema no Firefox 159.0, lançado em 27 de outubro. Os pesquisadores ainda não confirmaram se ataques parecidos funcionam na nova versão. Eles suspeitam que a correção os torne "no mínimo, substancialmente mais difíceis".
Ninguém disse não
Esta é a parte que deveria tirar o sono de quem vende segurança em IA. Segundo a Epoch, nenhum provedor acionou alguma proteção ou recusou o pedido. Isso vale para a API da própria Z.ai e para os serviços de terceiros que oferecem o modelo. A tarefa foi apresentada como exercício de segurança. Ainda assim, de acordo com o The Decoder (abre em nova aba), os próprios pesquisadores descrevem suas ações como "indistinguíveis das de alguém tentando atingir usuários reais".
As empresas exibem essas barreiras de proteção como garantia, e elas não reagiram nenhuma vez. Num modelo de pesos abertos, elas importam ainda menos. Qualquer pessoa pode baixar os arquivos do modelo e rodá-lo na própria máquina, longe do filtro de qualquer empresa. E não há como recolher um modelo que já está amplamente distribuído.
Barato para repetir, caro para construir
Os números ajudam a medir o tamanho do problema.
| Item | Valor |
|---|---|
| Versões do Firefox comprometidas | 6 |
| Tentativa mais rápida | 12 horas |
| Tempo máximo permitido | 48 horas |
| Custo por versão, com a estrutura pronta | cerca de US$ 1.000 |
| Gasto total da pesquisa com Firefox | mais de US$ 100.000 |
| Gasto com Chrome, sem ataque equivalente | cerca de US$ 100.000 |
Os valores em dólar contam histórias diferentes. Construir a estrutura que orienta o modelo, que os pesquisadores chamam de harness, custou caro. Com ela pronta, atacar cada nova versão do Firefox saiu por cerca de mil dólares em preço de API. Para um navegador com mais de 200 milhões de usuários ativos, é uma pechincha para qualquer grupo criminoso com alguma organização.
Também há limites claros. A mesma estrutura, com gasto parecido, não conseguiu um ataque equivalente contra o Chrome (abre em nova aba). E tudo aconteceu em condições preparadas por especialistas. Não é o fim da segurança na web. Mas o recado é difícil de ignorar: explorar essa janela agora cabe num modelo que qualquer um pode baixar e que, no melhor caso, precisou de meio dia.
Na minha leitura, o problema central não é o GLM 5.3. É a janela. Se uma correção publicada pode virar roteiro de ataque em 12 horas, cada dia entre a publicação e a atualização vira um dia de exposição. A cobrança passa a recair sobre os fabricantes de navegador, porque encurtar esse intervalo deixou de ser boa prática e virou obrigação.
Perguntas frequentes
Quem usa Firefox está em risco agora?
A falha inédita encontrada pelo modelo foi corrigida no Firefox 159.0, de 27 de outubro. Quem ainda usa uma versão anterior deve atualizar. A tela "Sobre o Firefox", no menu de ajuda, mostra a versão instalada e busca atualizações. A Epoch não garante que a 159.0 esteja imune a ataques parecidos, apenas que eles devem ficar bem mais difíceis.
O Chrome é mais seguro?
O experimento não permite afirmar isso. Ele mostra apenas que a mesma estrutura, com cerca de US$ 100 mil gastos, não conseguiu um ataque equivalente contra o navegador do Google.