Mozilla придумала, как помешать хакерам превращать свежие исправления Firefox в готовые атаки. Компания намерена выпускать патчи для разных уровней защиты браузера в разное время, чтобы раскрытая уязвимость не помогала злоумышленникам собрать всю цепочку взлома.
Проблема связана с так называемым окном между появлением исправления в коде и его установкой у большинства пользователей. Изучив изменения, атакующий иногда может восстановить исходную ошибку и применить её против старой версии программы. Разработчики называют такой подход patch-gapping. Угроза известна десятилетиями, но прежде требовала высокой квалификации и быстрой работы.
Ситуацию меняют нейросети. По оценке Mozilla, современные модели способны искать уязвимости на уровне опытных исследователей, причём гораздо быстрее. Компания уже обнаружила признаки того, что GLM 5.3 может использовать некоторые исправления для ошибок, которые ранее нашли более мощные модели. Поэтому даже выпущенный патч способен подсказать путь к атаке на ещё не обновлённые браузеры.
С февраля команда Firefox применяет передовые модели Anthropic и OpenAI для поиска ошибок. За прошедший период разработчики выпустили более чем в семь раз больше исправлений безопасности, чем за аналогичный отрезок 2025 года. По мнению Mozilla, ранний доступ к сильнейшим моделям позволил выявить многие глубокие дефекты прежде, чем сопоставимые инструменты оказались у атакующих.
Mozilla уже сократила цикл выпуска Firefox вдвое и перешла на еженедельные обновления. Компания также вновь решила держать регрессионные тесты в секрете до выхода патча. Такие тесты проверяют, не вернулась ли уже исправленная ошибка, но одновременно могут раскрыть злоумышленнику её механизм. Дополнительно разработчики проверяют новые изменения кода, чтобы не пропускать свежие дефекты.
Новая идея опирается на многоуровневую изоляцию Firefox. Для полноценного захвата браузера атакующему в простейшем случае недостаточно одной уязвимости. Нужны как минимум ошибка для выполнения кода в процессе отображения страницы и отдельный способ выбраться из песочницы, которая ограничивает доступ к системе. Без одного из элементов цепочка атаки не сработает.
Mozilla планирует распределять исправления по категориям так, чтобы опасные периоды для разных защитных уровней не совпадали. Тогда опубликованный патч сможет подсказать злоумышленнику лишь одну часть необходимой комбинации. Вторую уязвимость придётся искать самостоятельно, несмотря на предварительные проверки с помощью передовых ИИ-моделей. Сроки внедрения нового порядка пока не объявлены.
В опубликованном объяснении подхода инженер Mozilla Бобби Холли подчёркивает, что изменения потребуют согласовать несколько процессов разработки. Компания не хочет замедлять исправление ошибок ради новой схемы. Браузеры всё равно нуждаются в нескольких днях предварительных испытаний, а пользователи не всегда устанавливают обновления сразу после выхода.