Epoch AI、公開モデルがFirefoxの修正から攻撃を作れると実証

ブラウザーの更新が届く前に、その更新で直す穴は、もうだれでも読める場所に出ていることがあります。

AIの研究機関Epoch AIは10月29日（米国時間）、重みを公開したZ.aiのGLM-5.3が、公開済みのセキュリティの修正をもとに、Firefoxの最新版を攻撃する手順を自分で作れたと報告しました。試した6つの版すべてで、開くだけで手元のファイルを読み取るウェブページができました。1つの版を破るのにかかった費用は、APIの料金で約1,000ドルでした。¹

修正が公開されてから届くまでの間

オープンソースのソフトは、試しの版も含めて、ソースのコードをすべて公開しています。セキュリティの修正は、ふつうの改良のように見せて先に入ることが多く、正式な版として配られるまでには間があります。Epoch AIはこの間を「パッチギャップ」と呼びます。でも、GLM-5.3はコードを読み、どの変更がセキュリティの修正かを見分けました。

試験では、モデルをインターネットにつながない環境に置き、それぞれの版が出た時点で手に入る情報だけを渡しました。最初に簡単な指示を出したあとは、モデルが自分で作業を進めます。狙いは、Firefoxで開くと手元のファイルを読めるページです。つまり、保存したパスワードや、ログインの状態を保つクッキーが盗まれるおそれがあります。

攻撃では、修正が公開された穴と、まだ知られていなかった別の穴を組み合わせました。別の穴はブラウザーの保護の仕組み（サンドボックス）を抜けるもので、モデルが試すたびに見つけ直しました。Z.aiを含め、どの提供元でも、安全のための制限や断りは一度も働きませんでした。²

一方で、Chromeでは約10万ドルをかけましたが、同じ攻撃はできませんでした。Firefoxでも、ファイルの読み取りより重い、プログラムを動かす攻撃には至りませんでした。見つけた穴はMozillaに伝えてあり、10月27日のFirefox 159.0で直りました。³

届く前の穴をどう狭めるか（編集部の見方）

違うのは、いちばん強いモデルの話ではないところにあります。Epoch AIは公開モデルはサイバーの能力で非公開のモデルに6〜7か月遅れるとみていました。その遅れたモデルでも、断られずに使えるなら、ここまでできます。1つの版で約1,000ドルという額も、攻撃する側から見ればわりと手の届く値段です。前日に重みを公開したMistral Large 4が、悪意のある依頼を断る割合の高さを強みに挙げたのも、この流れと重なります。

Epoch AIは、ソフトの作り手に3つの手当てを勧めます。修正は配る直前まで伏せる。試しの版から正式な版までを短くする。つなげて使える穴は、まとめて直さない。だから、防御する側に強い非公開のモデルを渡すだけでは、この仕組みの問題は解けないといいます。FirefoxとChromeはすでに毎週の更新を始めました。

そのかわり、更新が出ても利用者が当てずにいる間のほうは、今回は調べていません。159.0でも同じ手が通じるか、より強いモデルならChromeも破れるかも、まだ分かっていません。正式な版が出れば、修正の中身はさらに広く知られます。会社で動作の確認のためにブラウザーの更新を遅らせているなら、その日数を見直すきっかけになるかもしれません。

YOBITSUGI AIでは、Z.aiのGLM-5.3は対応モデルに含まれていません。