誰でも重みを手に入れられるモデルが、ブラウザの修正を読んで、それを突く攻撃のコードを作った。Epoch AI の検証によれば、Zhipu（Z.ai）のオープンウェイトのモデル GLM 5.3 が、Firefox で公開された修正をもとに、動く攻撃のコードを6つの版のすべてで作った。最も速いもので約12時間かかり、費用は1版あたり約1,000ドルだった。どの版でも、修正が利用者の手元に届く前に作り終えた。そのあいだ、安全の仕組みは何も反応しなかったという（Epoch AI の報告、Epoch AI のニュースレター）。
この結果が示すのは、修正が出てから利用者に届くまでの空白を突くのに、もう大きな資金は要らないということだ。ただし、Epoch が数えたのは攻撃にかかった費用で、被害額ではない。
修正と更新のあいだの空白
オープンソースのソフトウェアでは、欠陥を直すコードが公開される。どこに穴があったかは、直したコードを読めば分かる。開発元が修正を出してから、利用者の端末やパソコンが実際に更新されるまでには、時間がかかる。この時間の差は『パッチギャップ』と呼ばれ、攻撃する側はここを狙う。
これまで、修正を読んで動く攻撃に仕立てるには、腕のよい研究者が何日もかける必要があった。ブラウザのように守りの厚い標的なら、なおさらだ。Epoch の検証は、その作業を公開のモデルに任せると、1版あたり約1,000ドル、最も速いもので約12時間で済むことを示した。しかも、6つの版のうち失敗した版はない。
安く、速く、誰にも止められない
この結果が重いのは、使ったモデルがオープンウェイトだからだ。閉じたモデルなら、提供する会社が API の側で依頼を断ったり、怪しい使い方を見張ったりできる。重みを手元で動かすなら、その見張りは最初からない。Epoch によれば、今回の作業のあいだ、安全の仕組みは何も反応しなかった。
費用の水準も、守る側の前提を変える。1版あたり約1,000ドルなら、国家の機関や大きな犯罪集団でなくても払える。修正が出るたびに同じ作業をくり返しても、費用は大きく積み上がらない。
これまでの見積もりより先に進んでいた
Epoch は10月16日、オープンウェイトのモデルのサイバー能力は、閉じたモデルより6〜7か月遅れていると見積もっていた。その時点で、GLM 5.3 の Cyber ECI は160だった。閉じたモデルの2026年3〜4月の水準にあたり、Claude Opus 5.5 と GPT-6 Astra の171を下回る。今回の結果は、その『遅れたモデル』でも、公開された修正からなら実在のブラウザを突くコードまで届くことを示した。
10月28日に LessWrong に載った Smirnov らの研究とも、結果が分かれる。安いオープンウェイトの MiMo-V2.6-Pro は、41件の CVE のうち33件で欠陥を引き起こしたが、コードの実行までは一度も届かなかった。違いの理由を Epoch の報告から確かめることはできないが、モデルの差に加えて、修正という手がかりが最初からあるかどうかが効いている可能性がある。
修正の公開が攻撃の合図になる例は、すでにある。Project Glasswing で Claude Mythos が見つけた Rejetto HFS の欠陥は、9月30日に開示され、10月1日の夕方には攻撃が始まっていた。英国の AISI も10月26日、学習データから除いた生物の能力が、約80ドル分の追加の学習で完全に戻ったと報告した。オープンウェイトの能力を抑えようとしても、かかる費用が上がるだけで、能力は消えない。今回の結果も同じ流れにある。
数えたのは攻撃の費用で、被害額ではない
この数字は、読み方に気をつける必要がある。約1,000ドルは、攻撃のコードを作るのにかかった費用だ。そのコードを実際の利用者に向けたらどれだけの被害が出るか、Epoch は数えていない。動く攻撃のコードがあっても、被害を出すには、標的に届けて、ほかの守りもくぐる必要がある。サイバーの被害をお金に直したデータが足りないという問題は、今回も残る。
それでも、空白の長さと攻撃を作る速さの関係ははっきりした。更新が届くまでに半日以上かかるなら、その間に攻撃のコードはできあがりうる。
守る側に残る手
モデルの側で止められないなら、守る側が縮められるのは空白の長さだ。ブラウザの自動更新を速く行き渡らせること、組織が更新を後回しにしないこと、修正の公開と配布の順番を見直すことが、これまで以上に重くなる。
サイバーで守る側に AI を使う取り組みは増えている。Anthropic の Claude Security や Cyber Verification Program、Google の Fairwind Program、Mistral Large 4 の売り込みもその例だ。ただし、今回の結果が問うのは、見つける力の速さではない。直した後、利用者に届けるまでの速さである。
