Kurz gesagt
Das Forschungsinstitut Epoch AI hat am 29. Oktober 2026 gezeigt, dass ein frei verfügbares KI-Modell aus veröffentlichten Sicherheitskorrekturen funktionierende Angriffe auf sechs Firefox-Versionen bauen kann. Im schnellsten Fall dauerte das zwölf Stunden, die Rechenkosten lagen bei rund 1000 Dollar pro Version. Für KMU heisst das: Wer Browser und Server erst im Monatsrhythmus aktualisiert, ist zu langsam. Das BACS verlangt, Sicherheits-Updates unverzüglich einzuspielen.
Getestet wurde das Modell GLM 5.3 des Anbieters Z.ai, dessen Gewichte frei herunterladbar sind. Ziel waren die Firefox-Versionen 156.0 bis 158.0.1. Das Modell bekam nur Informationen, die beim Erscheinen der jeweiligen Version öffentlich waren, und lief ohne Internetzugang. Bei allen sechs Versionen gelang ein Angriff: Der Besuch einer präparierten Webseite genügte, um eine lokale Datei auszulesen und an den Angreifer zu senden. Pro Versuch hatte das Modell bis zu 48 Stunden Zeit.
Für den Angriff kombinierte das Modell eine bereits korrigierte Schwachstelle mit einer noch nicht öffentlich bekannten, die es bei jedem Versuch selbst neu fand. Epoch AI meldete sie Mozilla, Firefox 159.0 vom 27. Oktober 2026 schliesst sie. Die Forschenden betonen Grenzen: Getestet wurde nur Firefox unter Ubuntu Linux mit Standard-Sicherheitseinstellungen, bei Google Chrome gelang ein ähnlicher Angriff bisher nicht. Ihr Fazit für Verteidiger ist trotzdem klar: Wer eine Korrektur veröffentlicht, muss davon ausgehen, dass Angreifer daraus rasch einen Angriff auf die noch nicht aktualisierte Version ableiten. Firefox und Chrome liefern inzwischen wöchentlich Updates aus.
Was KMU jetzt tun sollten
Das Bundesamt für Cybersicherheit (BACS) schreibt in seinem Grundschutz für Unternehmen: «Jede installierte Software ist unverzüglich zu aktualisieren, sobald Sicherheits-Updates vorhanden sind.» Das gelte auch für das Content-Management-System der Website sowie für Drucker und Router. Die Informatik sollte laut BACS in einer möglichst detaillierten Inventarliste erfasst sein. In seiner Warnung vom 21. Oktober zu kritischen PHP-Lücken riet das BACS zudem, Dienste nach dem Update neu zu starten, die Behebung zu überprüfen und Protokolle auf Auffälligkeiten zu kontrollieren, weil ein Update eine bereits erfolgte Kompromittierung nicht rückgängig macht. Wie diese Lücken schon vor dem Patch ausgenutzt wurden, zeigt unser Beitrag zum Angriff vom 17. Oktober.
Zum Mitnehmen
- Automatische Browser-Updates erzwingen. Firefox auf 159.0 oder neuer bringen und die Version auf allen Geräten kontrollieren.
- Update-Fristen für Browser und Server festlegen. Sicherheits-Updates in Tagen statt Wochen einspielen und das mit dem IT-Partner schriftlich vereinbaren.
- Inventar führen. Ohne Liste von Geräten, Software und Website-CMS bleibt unklar, was aktualisiert werden muss.
Quellen
- Epoch AI, «AI can turn security fixes into working exploits before users receive an update», 29. Oktober 2026 epoch.ai
- BACS, «Grundschutz für Unternehmen und Behörden» bacs.admin.ch
- BACS, «Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen», 21. Oktober 2026 bacs.admin.ch
Erschienen am 3. November 2026, 05:15 Uhr. Aktualisiert am 3. November 2026, 11:32 Uhr. Jede Zahl prüfen wir an der Primärquelle. Fehler gefunden? Hinweis an die Redaktion
Die Redaktion ordnet jeden Werktag die Meldungen ein, die Inhaber und Kader betreffen. Zahlen nur mit Primärquelle.
Wie Leitgrad arbeitetZur RedaktionLeitgrad Morgen-Briefing: jeden Werktag das Wichtigste für Ihre Firma. Lesen · Anhören · Per Mail
