Mozilla揭露AI加速漏洞逆向風險，Firefox調整修補發布策略

Mozilla 10 月 29 日公布 Firefox 對抗「修補空窗」（patch gap）的安全工程策略。所謂修補空窗，是漏洞修補已可從程式碼或二進位檔觀察，但大量使用者尚未完成更新的時間差。攻擊者可從修補差異反向分析舊版弱點。

Mozilla 表示，自 2026 年 2 月以來與 Anthropic、OpenAI 等研究團隊合作，使用較先進模型協助找出 Firefox 缺陷；今年至今發布的安全修補數量已超過 2025 年同期七倍。這是 Mozilla 自身開發與修補統計，不代表漏洞總數同比增加七倍。

瀏覽器更新仍需要跨硬體測試與逐步部署，無法瞬間消除修補空窗。Mozilla 指出，AI 模型降低了從修補內容重建利用條件的門檻，並稱觀察到 GLM 5.3 能利用部分由更先進模型發現的漏洞修補線索。

Firefox 已把發行週期縮短一半，改成每週提供新版本；對容易暴露漏洞細節的回歸測試，則在正式修補推送後再公開，並持續掃描新提交的程式碼以找出新增缺陷。

一般使用者仍應及時更新 Firefox，企業桌面管理者須縮短版本部署延遲。對瀏覽器廠商與安全研究者而言，修補程式、回歸測試與揭露時程需要一起規劃。

Mozilla 的下一步是依沙箱防禦層分組並錯開修補空窗：例如攻擊者通常需要結合渲染器漏洞與沙箱逃逸才能完成瀏覽器入侵，若兩種修補線索不在同一時間暴露，可提高組合攻擊成本。

已實施的措施包括每週發行、部分測試延後公開及新提交掃描；錯開不同沙箱層修補時程仍屬準備導入的策略，Mozilla 未公布完整生效日期。

官方沒有宣稱這些措施可杜絕所有零時差漏洞，也沒有表示所有已修補漏洞都被實際利用。Firefox 將維持開放原始碼，Mozilla 認為隱藏原始碼並不能根治二進位檔逆向問題。

發生了什麼事

Mozilla 10 月 29 日公布 Firefox 對抗「修補空窗」（patch gap）的安全工程策略。所謂修補空窗，是漏洞修補已可從程式碼或二進位檔觀察，但大量使用者尚未完成更新的時間差。

已實施的措施包括每週發行、部分測試延後公開及新提交掃描；錯開不同沙箱層修補時程仍屬準備導入的策略，Mozilla 未公布完整生效日期。