Mozilla с помощью ИИ за месяц устранила 423 уязвимости Firefox, включая 20-летнюю ошибку

Компания Mozilla представила обновление безопасности для браузера Firefox, которое демонстрирует, как передовые возможности искусственного интеллекта помогают защищаться от угроз раньше, чем атакующие успевают их обнаружить. В апреле 2026 года разработчики устранили 423 уязвимости — это рекордный показатель за последние годы. Для сравнения, за предыдущие 14 месяцев было исправлено около 420 багов. Такой резкий рост стал возможен благодаря использованию модели Anthropic’s Mythos Preview.

Как ИИ помог выявить 20-летнюю уязвимость

Среди исправленных дефектов — Bug 2025977, 20-летняя ошибка в механизме XSLT, которая позволяла через вызов key() спровоцировать перехеширование хэш-таблицы, освобождение памяти и оставление «сырой» указателя на используемый объект. Другой найденный баг, Bug 2024437, относился к 15-летнему дефекту в элементе <legend> HTML. Подобные ошибки часто остаются незамеченными при обычном тестировании, так как они скрыты в редких крайних случаях, устаревших подсистемах или сложных взаимодействиях между компонентами браузера.

Масштабы исправлений и их критичность

По данным Mozilla, модель Mythos Preview помогла выявить и закрыть 271 уязвимость в релизе Firefox 150. Дополнительные патчи были выпущены в версиях 149.0.2, 150.0.1 и 150.0.2. Из этих 271 багов:

• 180 были классифицированы как высокой критичности (sec-high);
• 80 — как средней критичности (sec-moderate);
• 11 — как низкой критичности (sec-low).

В Mozilla отмечают, что даже без доказательств реальной эксплуатации таких уязвимостей, их потенциальная опасность остаётся высокой. Например, уязвимости класса sec-high могут быть активированы при обычном посещении веб-страницы, что делает их особенно опасными.

Почему это важно для индустрии безопасности

Firefox — это зрелый, тщательно проверенный браузер, код которого анализируется внутренними командами, внешними исследователями, фаззерами, охотниками за баунти и даже злоумышленниками на протяжении многих лет. Резкий рост числа исправлений в апреле 2026 года показывает, что даже в таких проектах остаются скрытые угрозы, которые сложно обнаружить традиционными методами.

Ранее отчёты об уязвимостях, сгенерированные ИИ, часто содержали много «шума» — ложные срабатывания, которые требовали ручной проверки. Это создавало асимметрию: генерация гипотез была дешёвой, а их валидация — дорогой и трудоёмкой. Однако с развитием моделей и внедрением автоматизированных систем фильтрации ситуация изменилась.

Как работает система Mozilla

Компания внедрила конвейер, который:

• направляет модели на конкретные участки кода;
• генерирует воспроизводимые тестовые случаи;
• фильтрует ложные срабатывания;
• дедуплицирует найденные баги;
• определяет критичность уязвимостей;
• передаёт подтверждённые ошибки в процесс исправления.

Таким образом, ИИ обеспечивает мощность обнаружения, а автоматизированная система превращает её в подтверждённые отчёты и патчи. В техническом отчёте Mozilla также упоминается уязвимость в WebAssembly GC, которая могла создать примитив «фейковых объектов» с потенциалом произвольного чтения или записи, а также состояния гонки в IPC, затрагивающие ссылки на процессы-родители.

«Эти результаты показывают, что даже в самых зрелых и проверенных системах остаются скрытые уязвимости. Использование передовых ИИ-технологий позволяет находить их быстрее и эффективнее, чем когда-либо прежде».