GLM-5.3, el modelo abierto que hackea Firefox por US$1.000

GLM-5.3 y la ventana entre el parche y el usuario

Un modelo de pesos abiertos que cualquiera puede descargar logró comprometer seis versiones recientes de Firefox usando solo información pública: los arreglos de seguridad ya publicados pero todavía no distribuidos a los usuarios. El hallazgo es de Epoch AI, que documentó cómo GLM-5.3, el modelo de Z.ai, construyó una página web capaz de leer un archivo del equipo de quien la visita y enviarlo al atacante sin ninguna interacción adicional.

Para un founder, la lectura no es "otra vulnerabilidad más". Es que el costo de explotar la llamada patch gap —la brecha entre que un arreglo se hace público y llega al usuario— cayó a alrededor de US$1.000 por versión de Firefox comprometida, según las mediciones de Epoch AI. Lo que antes exigía un desarrollador de exploits experimentado hoy lo ejecuta un modelo abierto corriendo de forma autónoma, sin intervención humana.

Qué es exactamente el patch gap y por qué dejó de ser un problema de expertos

La patch gap existe en dos lugares: entre que un arreglo se publica y se distribuye, y entre que se distribuye y el usuario efectivamente actualiza. Epoch AI se concentró en el primero. Las versiones beta y las ramas nightly de un proyecto de código abierto son justamente el mecanismo por el que los arreglos se vuelven visibles antes de llegar al público general.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Históricamente, explotar esa ventana requería tiempo y experiencia considerables, o acceso especial a modelos frontera con capacidades ciber avanzas. Eso limitaba cuántos atacantes podían intentarlo. El experimento de Epoch AI muestra que ese límite se movió.

El equipo le pidió a GLM-5.3 que creara una página web que, al ser visitada desde Firefox, leyera un archivo local. Le dio solo la versión específica del navegador y herramientas básicas, sin acceso a internet, y lo dejó trabajar sin intervención. El modelo identificó los arreglos de seguridad próximos, seleccionó vulnerabilidades y armó la cadena de explotación por su cuenta.

Los números concretos del experimento:

Comprometió las seis versiones de Firefox publicadas entre el 17 de septiembre y el 26 de octubre (156.0, 156.0.1, 157.0, 157.0.1, 158.0 y 158.0.1), usando solo información disponible al momento de cada lanzamiento.
El intento más rápido necesitó 12 horas; el equipo daba hasta 48 horas por intento.
El gasto total de investigación superó los US$100.000 en costos de API, pero una vez construido el entorno, el costo marginal por comprometer una versión nueva fue de aproximadamente US$1.000.
El modelo no disparó ninguna salvaguarda ni rechazo de los proveedores, incluido Z.ai, pese a que sus acciones eran indistinguibles de las de un atacante real.

Firefox, Chrome y el resto del software

El ataque no fue trivial para el modelo: en un intento, GLM-5.3 usó un arreglo próximo para identificar un fallo de seguridad de memoria, desarrolló una forma de leer y modificar memoria dentro del navegador, y cuando las protecciones de Firefox bloquearon el objetivo, compuso varias etapas adicionales para sortearlas. Diagnosticó caídas, descartó enfoques fallidos e iteró hasta que visitar la web bastó.

En todos los compromisos de versiones recientes, GLM-5.3 también encontró y usó una vulnerabilidad no publicada, que Epoch AI reportó a Mozilla. La compañía lanzó Firefox 159.0 el 27 de octubre de 2026, que corrige ese fallo y debería dificultar el ataque. Firefox tiene más de 200 millones de usuarios activos, y el exploit podía leer contraseñas guardadas en el navegador, robar cookies de autenticación o acceder a otros archivos privados.

El contraste con Google Chrome es la parte más interesante: con el mismo entorno y técnicas, Epoch AI no logró un exploit equivalente, pese a gastar unos US$100.000 en intentos. Eso no descarta que sea posible con modelos más capaces. El propio informe menciona a Kimi K3.1 Pro, liberado por API el 23 de octubre con pesos previstos para principios de noviembre, como candidato a superar a GLM-5.3 en tareas ciber.

El contexto del sector refuerza la tendencia. Según The Next Web, el centro CAISI del NIST calificó a GLM-5.3 como "el modelo de pesos abiertos más capaz en ciberataques liberado hasta la fecha" y estimó que va unos cuatro meses por detrás de la frontera estadounidense. CryptoBriefing reporta que en el benchmark ExploitBench de Anthropic construyó exploits funcionales en 50 de 410 intentos (12,2%), frente a 56 de Claude Mythos Preview, y que sus pesos ya se descargaron más de 1,3 millones de veces desde Hugging Face. El mismo medio señala que sus salvaguardas se sortearon con técnicas básicas entre el 64% y el 100% de los casos.

Y no es solo Firefox. El informe de Epoch AI recuerda que en septiembre de 2026 se vieron exploits de patch gap contra Chrome, y que un proveedor publicó compilaciones parcheadas de PHP más de seis horas antes del lanzamiento coordinado de dos vulnerabilidades críticas.

Qué significa esto para tu startup

Si tu producto corre sobre software de terceros —navegadores, sistemas operativos, firmware de routers, dependencias open source—, tu superficie de exposición depende de dos variables que sí controlas: cuánto tarda un parche en llegar a tus usuarios y cuánto tardas tú en actualizar tu propia infraestructura.

El dato que debería preocuparte no es el exploit en sí, sino el costo. Según el informe de julio de 2026 del AI Security Institute del Reino Unido, los modelos de pesos abiertos líderes quedaron entre cuatro y siete meses por detrás de la frontera cerrada en tareas ciber, una brecha más angosta que los seis a diez meses medidos durante 2025. El mismo informe calcula que una corrida completa de ataque autónomo cuesta alrededor de US$1,19 con DeepSeek V4-Pro, US$46 con GLM-5.2 y US$85 con los modelos cerrados de referencia. La barrera económica prácticamente desapareció.

La conclusión práctica para un equipo pequeño es incómoda pero clara: la seguridad dejó de ser un problema que se resuelve comprando la herramienta más cara. Se resuelve reduciendo ventanas.

Acciones concretas para reducir tu exposición

Acorta tu ciclo de actualización. Si dependes de software que publica parches semanales, no acumules versiones. Epoch AI señala que tanto Firefox como Chrome ya empezaron a publicar actualizaciones cada semana; alinea tu calendario de despliegue con ese ritmo en lugar de esperar ventanas trimestrales.
Evita parchear varias vulnerabilidades a la vez. El propio informe advierte que los defensores deberían evitar corregir múltiples fallos simultáneamente si se pueden encadenar, porque un solo arreglo publicado revela dónde mirar.
Trata los canales beta como superficie de ataque. Si tu equipo consume ramas nightly o builds previos en producción, asume que cualquier arreglo visible ahí ya es información pública para un atacante.
Vetá un modelo que puedas correr en tu propia infraestructura. El caso de Hugging Face en 2026 mostró que los modelos comerciales pueden rechazar el análisis de payloads reales por sus propias políticas, mientras que un modelo de pesos abiertos autoalojado hizo el trabajo forense sin que los datos salieran de su entorno. Tenerlo listo antes del incidente, no durante.
Monitorea la brecha, no solo el parche. Un inventario actualizado de versiones en producción te dice en minutos si estás dentro de la ventana vulnerable.

Conclusión

GLM-5.3 comprometió seis versiones recientes de Firefox explotando la brecha entre parche publicado y parche distribuido, con un costo marginal de unos US$1.000 por versión y sin intervención humana. Mozilla ya corrigió la vulnerabilidad no publicada con Firefox 159.0, y Chrome resistió los intentos de Epoch AI. Pero la dirección es clara: las capacidades ciber avanzas se están difundiendo hacia modelos abiertos que nadie puede retirar del mercado una vez descargados.

Para un founder, la ventana de preparación se está cerrando. La respuesta no es comprar el modelo más potente, sino acortar el tiempo entre que un arreglo existe y el momento en que tu software lo tiene aplicado.