Mozilla 如何对付“补丁差”：把补丁错开到不同防御层
来源：blog.mozilla.org — 2026-10-29
📋 概述
Firefox 团队自今年 2 月起用 Anthropic 与 OpenAI 的前沿模型挖洞，安全修复量是去年同期的七倍多。但补丁一进代码库，攻击者就能从修复反推漏洞，这段“补丁差”窗口如今被 AI 加速成现实威胁——GLM 5.3 被观察到能利用部分修复。Mozilla 的应对包括：发布周期砍半为每周一版、回归测试在补丁发布后才公开、扫描所有新提交，以及把渲染器漏洞与沙箱逃逸的补丁差按时间错开。
🔑 核心要点
- 2 月以来 Firefox 的安全修复量超过去年同期的七倍，靠的是对前沿模型的早期访问。
- 补丁差 = 修复出现在代码中到绝大多数用户真正装上的那段窗口，浏览器必须留几天做预发布测试。
- 关键发现：没有回归测试时 GLM 5.3 做补丁差的效果差得多，于是测试被压到发布之后再公开。
- 已经在扫描所有进入代码库的新提交，提前拦截新引入的缺陷。
- 结构性防御：利用多层沙箱，让任意时刻补丁差里最多只有一步，攻击者必须自己再从零挖一个洞。
💡 金句
It is sometimes possible to work backwards from a security fix to identify the vulnerability in the original unpatched code.
👍 0
👎 0
← 返回 Lobsters 首页