Modelos open-weight já transformam correções de segurança em exploits antes de o patch chegar aos usuários

A fonte descreve um ataque de patch gap: o modelo lê uma correção de segurança já publicada e a transforma em exploit antes de o patch chegar aos usuários. O teste rodou em Ubuntu 26.04 com configurações padrão de segurança e o Firefox baixado da versão oficial. As versões testadas foram 156.0, 156.0.1, 157.0, 157.0.1, 158.0 e 158.0.1. Versões anteriores provavelmente também são vulneráveis, mas não foram testadas de forma sistemática.

Os sucessos relatados são de leitura de arquivos. Os pesquisadores tentaram execução arbitrária de código e, até a publicação, não têm nenhum sucesso nas versões recentes. O que funcionou exigiu encadear duas falhas: uma de patch gap, que deu execução de código dentro do processo de conteúdo web, e outra, não publicada, que contornou o sandbox que normalmente impede um renderer comprometido de acessar o sistema de arquivos. A fonte também lembra que guardrails de quem cria o modelo pouco adiantam com pesos públicos, porque terceiros podem gerar versões 'abliterated' que atendem qualquer pedido. E aponta que a decompilação por IA permite ver correções de um beta futuro mesmo quando o código não é aberto, mas isso ainda não foi testado com modelos open-weight.

O tema vinha crescendo na cobertura. Em 3 de julho de 2026, o CEVIU noticiou "GLM-5.2 e o perigo real dos modelos de peso aberto sem salvaguardas", sobre um modelo open-weight competitivo que pode passar por fine-tuning. Em 1 de outubro de 2026, em "Modelo de IA de Código Aberto Eleva Ameaças Cibernéticas, Alerta Anthropic", o foco foi o GLM-5.3 e suas capacidades cibernéticas comparadas ao Mythos Preview no ExploitBench. Agora a discussão sai do benchmark e chega a um alvo concreto: versões recentes do Firefox, com exploração a partir de patches publicados.

Para quem mantém projeto open source, a leitura é que o intervalo entre publicar a correção e ela chegar ao usuário fica mais arriscado, pois o commit do patch já serve de roteiro. Para equipes de segurança, isso sugere encurtar esse intervalo. O resultado ainda é limitado (leitura de arquivos, sem execução de código nas versões recentes), mas a tendência descrita pela fonte é de piora conforme os modelos evoluem.