Selon Epoch AI, une IA chinoise en accès libre exploite Firefox en 48 heures

Un modèle d’intelligence artificielle téléchargeable par tous, développé en Chine, a fabriqué seul des attaques contre six versions de Firefox, pour environ 1 000 dollars chacune. C’est ce que rapportent des chercheurs d’Epoch AI, cités par The Decoder. Au-delà du navigateur, l’enjeu est le temps : entre la publication d’un correctif et son installation, la fenêtre laissée aux pirates se resserre.

Ce qu’Epoch AI affirme avoir démontré

Si vous utilisez Firefox, ou n’importe quel logiciel qui se met à jour avec retard, cette histoire vous concerne. Firefox compte plus de 200 millions d’utilisateurs actifs, précise The Decoder.

Un correctif de sécurité est une réparation que l’éditeur d’un logiciel publie pour boucher une faille. Or, dans un logiciel dont le code est public comme Firefox, la réparation est visible avant que tous les utilisateurs l’aient installée. Epoch AI appelle cet intervalle le « patch gap », littéralement l’« écart de correctif ». Pendant ce laps de temps, la faille est signalée à qui sait lire le code, mais beaucoup de machines restent vulnérables.

Les chercheurs ont confié ce terrain à GLM 5.3, un modèle chinois en accès libre, proposé notamment par l’entreprise Z.ai. Ils l’ont testé sur six versions de Firefox publiées entre le 17 septembre et le 26 octobre. Le montage était volontairement modeste : un environnement hors ligne, la version visée, des outils de base et des informations publiques. Après une consigne simple, celle d’examiner l’écart de correctif, le modèle a travaillé seul. Il a repéré les correctifs à venir, choisi des failles et construit des attaques en plusieurs étapes.

Le résultat décrit : une page web capable de lire des fichiers locaux sur l’ordinateur d’un visiteur et de les envoyer au serveur d’un attaquant, dès que la page se charge. Selon The Decoder, cela aurait pu donner accès à des mots de passe enregistrés, à des cookies d’authentification (ces petits fichiers qui prouvent qu’on est déjà connecté à un compte) et à des documents privés. Il s’agit d’un test en laboratoire : le compte rendu ne fait pas état d’attaques contre de vrais utilisateurs.

Comment le modèle a déjoué la discrétion de Mozilla

Premier obstacle contourné : Mozilla, qui édite Firefox, présente ses correctifs de sécurité comme de simples améliorations de routine, pour ralentir les attaquants. Selon le rapport, GLM 5.3 n’a pas été dupe. Il a identifié quels changements de code touchaient à la sécurité.

Dans un cas, le modèle a repéré, grâce à un correctif à venir, une erreur de gestion de la mémoire. Il en a tiré une méthode pour lire et modifier la mémoire du navigateur. Firefox protège pourtant l’accès aux fichiers par plusieurs couches. Le modèle a donc enchaîné l’attaque initiale avec d’autres étapes, jusqu’à franchir les défenses restantes. Une telle succession s’appelle une chaîne d’attaque, ou « exploit » : un programme qui profite d’une faille.

Sur toutes les versions récentes attaquées avec succès, le modèle s’est appuyé sur une faille jusque-là inconnue, qu’il a redécouverte de lui-même à chaque essai. Elle lui permettait de sortir du « bac à sable », l’enceinte qui isole une page web du reste de l’ordinateur. La plus rapide des attaques réussies a pris 12 heures ; les chercheurs avaient fixé une limite de 48 heures.

En clair : le modèle a lu les rustines publiques, deviné ce qu’elles réparaient, trouvé une faille que personne n’avait signalée, et monté l’attaque complète sans qu’un humain intervienne.

Les chercheurs ont prévenu Mozilla. Celle-ci a corrigé cette faille dans Firefox 159.0, sorti le 27 octobre 2026. Epoch AI n’a pas confirmé si des attaques similaires fonctionnent contre cette nouvelle version, mais soupçonne qu’elles sont devenues « au moins nettement plus difficiles ».

1 000 dollars, 100 000 dollars : des chiffres à manier avec prudence

Le chiffre qui frappe est le coût : environ 1 000 dollars de frais d’API par attaque réussie. Une API, c’est l’accès payant à un modèle hébergé sur les serveurs d’un fournisseur ; on paie à l’usage. Pour un groupe criminel, ou même un individu motivé, la somme reste accessible. The Decoder ne donne en revanche aucune estimation de ce que coûterait le même travail à un expert humain, en argent ou en temps. Impossible, donc, de dire de combien l’IA fait baisser la facture.

Un autre chiffre tempère le tableau. Avec la même méthode contre Google Chrome, l’équipe a dépensé environ 100 000 dollars de frais d’API, soit cent fois la somme moyenne par attaque Firefox, sans obtenir d’attaque équivalente. Les chercheurs refusent d’en conclure que Chrome est à l’abri : de meilleures méthodes, ou des modèles plus capables, pourraient réussir.

Ils mentionnent aussi des données limitées suggérant que Kimi K3.1 Pro, un autre modèle récemment annoncé, pourrait faire mieux que GLM 5.3 sur les tâches d’attaque informatique. Ils ne l’ont pas testé. Selon The Decoder, Anthropic avait déjà indiqué que GLM 5.3 écrit des attaques à peu près au niveau de son propre modèle Mythos.

Garde-fous muets : qui est responsable ?

Un modèle « open-weight » est un modèle dont les « poids », c’est-à-dire les réglages numériques qui forment son cerveau, sont téléchargeables par tous. N’importe qui peut le faire tourner chez soi, sans demander la permission à son concepteur.

Dans l’expérience, les chercheurs ont pourtant utilisé GLM 5.3 par API. Les fournisseurs auraient pu intervenir. Selon le rapport, ni Z.ai ni les autres fournisseurs d’API n’ont déclenché de garde-fou ni opposé de refus. Les chercheurs avaient présenté leur travail comme un exercice de sécurité, mais décrivent leurs actions comme « indiscernables de celles de quelqu’un qui cherche à viser de vrais utilisateurs ». La source ne nomme pas les autres fournisseurs testés ni leur nationalité.

Qui porte alors la responsabilité ? Trois candidats se présentent : le concepteur du modèle, l’hébergeur qui le propose et l’utilisateur qui l’emploie. Le rapport ne tranche pas. Un point de logique, qui n’est pas un constat de l’étude : si le modèle est téléchargé et exécuté sur ses propres machines, il n’y a plus de fournisseur pour refuser quoi que ce soit.

Les laboratoires les plus avancés ont choisi une autre voie. Depuis avril 2026 et Claude Mythos Preview, d’Anthropic, ils limitent l’accès à leurs outils les plus puissants et ouvrent des programmes comme Glasswing et Daybreak, qui donnent aux défenseurs une avance. Epoch AI estime que cela ne résout pas le problème de fond : dès qu’un correctif apparaît dans le code public, il désigne la faille. Et à mesure que les modèles ouverts progressent, ces capacités échappent au contrôle d’un seul gardien.

Ce que cela change pour une PME ou un salarié

Le risque ne se limite pas à Firefox. Selon les chercheurs, l’écart de correctif existe dans les navigateurs, les systèmes de téléphones mobiles et les logiciels internes des routeurs. Les projets ouverts sont les plus exposés puisque tout leur code est public, mais les logiciels fermés ne sont pas épargnés. Anthropic a déjà montré que Mythos peut exploiter cet écart dans Windows sans accéder au code source.

Le rapport cite un exemple concret : en septembre 2026, un éditeur a diffusé des versions corrigées de PHP (un langage très répandu sur les sites web) plus de six heures avant la sortie coordonnée de correctifs pour deux failles critiques. Selon des informations externes citées par les chercheurs, cette avance aurait pu contribuer à des milliers de tentatives d’attaque avant la sortie officielle, puis à des millions juste après. Le même mois, des attaques de ce type ont visé Chrome, d’après le rapport.

Les plus inquiétants, pour Epoch AI, sont les appareils mis à jour rarement, comme les routeurs et les téléphones, car leurs utilisateurs restent exposés bien plus longtemps. Côté éditeurs, les chercheurs recommandent de garder les correctifs secrets jusqu’à leur livraison, d’accélérer le passage de la version de test à la version publique, et de ne pas corriger en même temps plusieurs failles qui peuvent s’enchaîner. Firefox et Chrome publient déjà des mises à jour hebdomadaires.

Pour une entreprise, ces recommandations échappent à son contrôle. Ce qu’elle maîtrise, c’est son propre délai. Deux vérifications concrètes, qui relèvent du bon sens plus que de l’étude : regarder si Firefox est bien en version 159.0 ou plus récente, et se demander qui, dans l’organisation, met à jour les routeurs et les téléphones, et à quel rythme.

Reste une question ouverte : si la rustine d’aujourd’hui peut servir de plan d’attaque demain, la seule réponse tient-elle à la vitesse, ou faut-il aussi décider qui peut accéder à ces modèles, et à quelles conditions ?

Sources

• Open-weight model GLM 5.3 built full Firefox exploit chains with zero human input in under 48 hours (The Decoder)