Die Patch Gap – das Zeitfenster zwischen einem öffentlich sichtbaren Sicherheitsfix und seiner Auslieferung an die Nutzer – ist ein altes Problem. Neu ist, wie billig es sich ausnutzen lässt: Das Forschungsinstitut Epoch AI hat gezeigt, dass das frei verfügbare Open-Weight-Modell GLM 5.3 von Z.ai sechs aktuelle Firefox-Versionen kompromittieren konnte. Nach der Einrichtung kostete jeder weitere Angriff rund 1.000 US-Dollar an API-Gebühren. Mozilla hat parallel erklärt, wie es diese Lücke strukturell schließen will.
Beide Veröffentlichungen stammen vom 29. Oktober 2026. Für Nutzer ist die wichtigste Botschaft schlicht: Firefox 159.0 vom 27. Oktober schließt die Schwachstelle, auf die alle erfolgreichen Angriffe angewiesen waren. Wer noch eine ältere Version nutzt, sollte jetzt aktualisieren.
Was Epoch AI über die Patch Gap bei Firefox herausgefunden hat
Laut dem Bericht von Epoch AI sollte GLM 5.3 eine Webseite bauen, die beim bloßen Besuch mit Firefox eine lokale Datei vom Rechner des Opfers liest und an den Server des Angreifers schickt. Testumgebung war Ubuntu 26.04 mit Standard-Sicherheitseinstellungen und dem offiziellen Firefox-Build. Das gelang bei allen sechs getesteten Versionen, die zwischen dem 17. September und dem 26. Oktober erschienen sind: 156.0, 156.0.1, 157.0, 157.0.1, 158.0 und 158.0.1. Ältere Versionen seien vermutlich ebenfalls angreifbar, wurden aber nicht systematisch geprüft.
Entscheidend ist die Methode. Das Modell bekam nur Informationen, die zum Zeitpunkt der jeweiligen Veröffentlichung öffentlich waren. Es suchte im Quellcode nach bereits eingespielten, aber noch nicht ausgelieferten Sicherheitsfixes, wählte passende Schwachstellen aus und baute daraus selbstständig eine mehrstufige Exploit-Kette. Dass Mozilla Sicherheitskorrekturen als gewöhnliche Verbesserungen tarnt, hielt das Modell nicht auf: GLM 5.3 konnte im Code erkennen, welche Änderungen sicherheitsrelevant waren.
Die Angriffe waren kein Selbstläufer. Epoch beschreibt einen Versuch, bei dem das Modell über einen anstehenden Fix einen Speicherfehler fand und Speicher im Browser lesen und verändern konnte, die Schutzschichten von Firefox den Dateizugriff aber trotzdem verhinderten. Erst durch weitere Stufen gelang der Durchbruch. Das Modell analysierte Abstürze, verwarf Ansätze und probierte neue. Pro Versuch hatte es bis zu 48 Stunden Zeit, der schnellste erfolgreiche Lauf brauchte 12 Stunden.
Die Rolle der unveröffentlichten Lücke
Ein Detail relativiert das Ergebnis, ohne es zu entschärfen. Alle erfolgreichen Angriffe bestanden aus zwei Hauptbausteinen. Über eine Schwachstelle aus der Patch Gap erlangte das Modell Codeausführung im Content-Prozess, also dem Teil des Browsers, der Webseiten darstellt. Um aus der Sandbox auszubrechen und auf das Dateisystem zuzugreifen, nutzte es eine zweite, bis dahin unveröffentlichte Lücke, die GLM 5.3 bei jedem Versuch neu entdeckte.
Epoch hat diese Lücke an Mozilla gemeldet. Sie ist laut Epoch seit Firefox 159.0 vom 27. Oktober 2026 geschlossen. Ob ähnliche Angriffe auf Version 159.0 noch funktionieren, haben die Forscher nach eigenen Angaben noch nicht bestätigt. Sie gehen aber davon aus, dass der Fix sie zumindest deutlich erschwert. Beliebige Codeausführung auf dem System erreichten sie bei den aktuellen Firefox-Versionen nach eigener Aussage nicht – das Ergebnis war das Auslesen von Dateien.
Auch das ist gravierend. Epoch weist darauf hin, dass sich damit etwa im Browser gespeicherte Passwörter oder Authentifizierungs-Cookies abgreifen ließen. Firefox hat laut dem Bericht mehr als 200 Millionen aktive Nutzer.
Kosten, Schutzmechanismen und Chrome
Die Zahlen sind der eigentliche Kern der Studie. Epoch hat insgesamt mehr als 100.000 US-Dollar an API-Kosten für die Firefox-Forschung ausgegeben, einschließlich des Aufbaus einer realistischen Offline-Umgebung. Als das Setup stand, lagen die Grenzkosten pro kompromittierter Firefox-Version bei etwa 1.000 US-Dollar. Bewusst simuliert wurde ein Angreifer mit wenig Erfahrung und begrenzten Mitteln. Das Modell hatte aus Sicherheitsgründen keinen Internetzugang, die Forscher stellten die nötigen Informationen direkt bereit.
Bemerkenswert ist ein weiterer Punkt: Bei keinem Anbieter, auch nicht bei Z.ai selbst, griffen Schutzmechanismen oder Ablehnungen. Epoch rahmte die Aufgabe als Sicherheitsübung, die Aktionen seien aber von denen eines echten Angreifers nicht zu unterscheiden gewesen. Bei Open-Weight-Modellen kommt hinzu, dass Dritte Varianten ohne Schutzmechanismen erstellen und betreiben können.
Gegen Google Chrome blieb dasselbe Setup bislang erfolglos, obwohl Epoch auch dafür rund 100.000 US-Dollar ausgab. Die Forscher werten das ausdrücklich nicht als Beleg, dass Chrome sicher wäre. Mit besserer Steuerung oder stärkeren offenen Modellen könnten solche Angriffe gelingen. Als Beispiel nennen sie Kimi K3.1 Pro von Moonshot AI, das seit dem 23. Oktober per API verfügbar ist und dessen Gewichte Anfang November folgen sollen. Begrenzte Benchmark-Daten deuteten an, dass es GLM 5.3 bei offensiven Cyber-Aufgaben übertreffen könnte. Getestet wurde es nicht.
Wie Mozilla die Patch Gap schließen will
Bobby Holley beschreibt im Mozilla-Blog die Gegenmaßnahmen. Firefox arbeite seit Februar mit frühem Zugang zu Frontier-Modellen von Anthropic und OpenAI an der Fehlersuche und habe bislang mehr als siebenmal so viele Sicherheitsfixes ausgeliefert wie im gleichen Zeitraum 2025. Angreifer hätten Zugriff auf Modelle, die mehrere Generationen zurücklägen. Die Patch Gap könne diesen Vorsprung aber untergraben, weil Angreifer aus einem öffentlichen Fix auf die Lücke im alten Code zurückschließen können.
Mozilla nennt drei bereits umgesetzte Schritte:
- Schneller ausliefern: Der Release-Zyklus wurde in diesem Jahr halbiert, neue Builds erscheinen wöchentlich.
- Tests zurückhalten: GLM 5.3 sei deutlich weniger erfolgreich, wenn kein Regressionstest vorliegt. Mozilla hält diese Tests daher wieder vertraulich, bis der Fix ausgeliefert ist.
- Commits scannen: Alle neuen Änderungen an der Codebasis werden auf neu eingeführte Fehler geprüft, bevor sie in ein Release gelangen.
Hinzu kommt ein strukturellerer Ansatz. Firefox nutzt mehrere Sandbox-Schichten, ein Angreifer braucht also mindestens einen Exploit für den Renderer und einen Ausbruch aus der Sandbox. Mozilla will Fixes für diese Schichten künftig so bündeln und zeitlich staffeln, dass sich ihre Patch-Gap-Fenster nicht überschneiden. Zu jedem Zeitpunkt wäre dann nur eine der nötigen Zutaten öffentlich sichtbar, die andere müsste ein Angreifer selbst neu finden. Die Umsetzung erfordere Abstimmung in den Entwicklungsprozessen und werde etwas Zeit brauchen, schreibt Holley.
Mozilla betont zudem, an Open Source festzuhalten. Moderne Werkzeuge könnten Quellcode zunehmend aus Binärdateien rekonstruieren, das Verbergen von Code sei daher bestenfalls eine Bremsschwelle.
Was die Patch Gap über Firefox hinaus bedeutet
Epoch sieht das Problem nicht auf Browser beschränkt. Überall, wo ein Sicherheitsfix sichtbar wird, bevor er bei den Nutzern ankommt, entsteht dieselbe Angriffsfläche. Besonders besorgt zeigen sich die Forscher über Software, die selten aktualisiert wird, etwa Router-Firmware oder Smartphone-Betriebssysteme. Auch Closed Source schütze nur begrenzt, weil KI-Modelle zunehmend gut darin seien, Programme zu dekompilieren. Als Beispiel nennt Epoch einen Fall aus dem September: Ein Anbieter stellte gepatchte PHP-Builds mehr als sechs Stunden vor der koordinierten Veröffentlichung der Fixes für zwei kritische Lücken bereit. Das könnte laut Epoch zu Tausenden Angriffsversuchen schon vor dem offiziellen Release beigetragen haben, danach stieg die Zahl auf Millionen. Wie schnell kritische PHP-Lücken heute angegriffen werden, zeigte zuletzt auch PHP2Shell. Mozilla selbst spricht von einem deutlichen Anstieg bei gemeldeten Schwachstellen und Exploit-Aktivität im Oktober.
Die Empfehlungen von Epoch an Entwickler: Sicherheitsfixes möglichst privat halten, bis sie ausgeliefert werden, den Weg von der Beta zum Release verkürzen und mehrere Lücken, die sich verketten lassen, nicht gleichzeitig patchen. Grundsätzlich solle man davon ausgehen, dass ein Fix im veröffentlichten Code sofort als Wegweiser für Angriffe auf das aktuelle Release dient.
Die Studie reiht sich in eine Entwicklung ein, die wir zuletzt mehrfach beobachtet haben: KI-Agenten senken die Einstiegshürde für Angriffe, die früher Spezialwissen erforderten – vom Einbruch in über 100 Firmen mit Claude Code und DeepSeek bis zu automatisierten Exploit-Ketten wie dieser.
Was Nutzer und Admins jetzt tun sollten
- Firefox aktualisieren: Unter „Hilfe“ und „Über Firefox“ prüfen, ob mindestens Version 159.0 installiert ist, und den Browser nach dem Update neu starten.
- Automatische Updates aktiv lassen: Die Patch Gap betrifft auch Nutzer, die Updates verzögern. Jeder Tag mit alter Version verlängert das Fenster.
- Unternehmen: Browser-Updates in verwalteten Umgebungen nicht wochenlang zurückhalten und die Verteilung überwachen.
- Entwickler und Maintainer: Die eigenen Release-Prozesse prüfen. Wie lange sind Sicherheitsfixes öffentlich sichtbar, bevor Nutzer sie erhalten? Werden Regressionstests mit veröffentlicht?
Einordnung
Die Studie ist kein Grund zur Panik, aber ein deutliches Signal. Die konkrete Angriffskette ist mit Firefox 159.0 nach Angaben von Epoch erschwert, Mozilla reagiert sichtbar und strukturell. Offen bleibt, wie gut die Ergebnisse auf andere Software übertragbar sind und ob sie mit stärkeren Modellen wie Kimi K3.1 Pro noch leichter fallen. Klar ist: Fähigkeiten, die vor einem Jahr nur wenigen Angreifern zur Verfügung standen, kosten heute rund 1.000 Dollar pro Ziel. Für Hersteller heißt das, die Zeit zwischen Fix und Auslieferung so kurz wie möglich zu halten – für Nutzer, Updates nicht aufzuschieben.
