配信前の修正からAIがFirefoxを破る手口 利用者は159以降へ

ソフトの脆弱性を直した中身が、利用者のもとへ届く前に読めてしまう。そのすきまを、だれでも手に入るAIが自力で突けるようになった。AIの動向を調べるEpoch AIが10月29日、ブラウザーのFirefoxで試した結果を公表した。

実験には、Z.aiが8月に公開した「GLM 5.3」を使った。AIの中身（重み）が公開されたオープンウェイトのモデルで、だれでも自分の計算機で動かせる。Epoch AIは、技術も資金も乏しい攻撃者にできる範囲を想定して、実験を組んだという。

開くだけでファイルを抜くページを、AIが自分で作った

Firefoxはソースコードが公開されていて、次の版に入る修正も先に見える。修正が公開されてから利用者に届くまでの時間差は「パッチギャップ」と呼ばれる（Edgeの更新の記事）。Mozillaは安全のための修正を普通の改善に見せ、脆弱性の中身を伏せている。それでもGLM 5.3はコードを読んで安全に関わる修正を見分け、まだ直っていない版を狙う攻撃を組み立てた。

GLM 5.3が作ったページは、Firefoxで開くだけで、パソコンの中のファイルを読み取り、攻撃者のサーバーへ送ってしまう。ほかに操作は要らない。9月17日から10月26日に出た6つの版を、それぞれの公開の時点で手に入る情報だけで、すべて破った。¹保存したパスワードや、ログインの状態を保つクッキーを盗むのにも使える種類の攻撃だと、Epoch AIは説明している。実験は、標準の設定のUbuntu（Linux）で行った。

人は、まだ安定版に入っていない修正を調べるという方針を伝えただけ。あとはAIが失敗を直しながら進め、最短12時間で攻撃が完成した。実験の環境づくりを含めた研究の費用は10万ドルを超えた。ただ、仕組みができてからは、新しい版を1つ破るのにかかったAIの利用料は約1,000ドルだった。セキュリティーの演習だと伝えて頼んだところ、AIの提供元に断られたり、止められたりしたことは一度もなかったという。

10月27日のFirefox 159.0で対策

最近の版への攻撃では、AIはまだ公表されていない別の脆弱性も自分で見つけ、組み合わせていた。Epoch AIはこれをMozillaに知らせ、10月27日に出たFirefox 159.0で直った。159.0で直した脆弱性は全部で167件あり、重大度「高」が108件にのぼる。企業向けの延長サポート版（ESR）やメールソフトのThunderbirdにも、同じ日に修正版が出た。直した脆弱性の内訳は、情シスのミカタの記事が詳しい。

同じやり方でChromeも試したが、約10万ドル分を使った時点で、同じような攻撃は作れていない。それでもEpoch AIは、より強いAIなら成功しうるとして、安全だとは言っていない。

Epoch AIは2日以内に攻撃を作れたとして、修正がコードに載った時点で、攻撃者はそれを今の版に向けて使うと考えるべきだとする。FirefoxもChromeも毎週更新を出すようになったが、ルーターやスマホのOSのように更新の間が長い機器ほど心配だという（Chromeの毎週の更新はこちらの記事）。利用者の側では、届いた更新をためずに当てたい。