Ginagawang mas mabilis at mas madali ng AI ang pagtuklas ng mga seryosong butas sa seguridad. Ngayon, sinabi ng isang researcher na ginamit niya ang mga pampublikong available na modelo upang makatuklas ng mga kahinaan sa video chat platform na Zoom at makagawa ng gumaganang atake sa loob ng mas mababa sa 24 na oras.

Tinawag itong ‘Zoomsday’ sa isang ulat na inilabas nitong Martes, sinabi ng Israeli cybersecurity firm na A Security na gumamit ang isang researcher ng mas kaunti sa 20 AI prompts upang matuklasan ang mga butas sa annotation tool ng Zoom na maaaring magpahintulot sa isang tao sa isang meeting na kontrolin ang device ng ibang kalahok nang walang anumang aksyon mula sa biktima.

“Kapag tumatakbo na ang masamang code sa device ng biktima, maaaring tahimik na nakawin ng threat actor ang personal na data, i-on ang mikropono o camera para manmanan ang target, o mag-install ng iba pang nakakahamak na software,” isinulat ng A Security. “Sa isang malaking tawag, punong-puno iyon ng mga target mula sa isang mensahe lamang, nang walang ligtas na upuan doon.”

Ayon sa A Security, ang atake ay sinubukan sa mga app ng Zoom para sa Windows, macOS, Linux, Android, at iOS. Tinawag ito ng firm na “nation-state-grade,” na nangangatuwirang ang pagbuo ng gayong exploit ay nangangailangan noon ng mga espesyalista, buwan ng trabaho, at malaking badyet.

Ang mga butas ay sinusubaybayan bilang CVE-2026-53413, CVE-2026-53414, at CVE-2026-53415. Ang mga CVE ay mga pampublikong identifier para sa mga kahinaan sa seguridad.

“Ang mga exploit na tulad nito ay sandata. Nireregulate ng mga gobyerno ang kanilang pag-export. Nagbabayad ang mga kriminal na organisasyon ng milyon-milyon para sa kanila,” isinulat nila. “Ang pagkuha ng isa ay palaging nangangailangan ng imprastraktura ng estado, mga piling pangkat, at buwan ng trabaho.”

Sinabi ng A Security na pinahihintulutan din ng exploit ang mga umaatake na sumali o mag-host ng isang meeting, puntiryahin ang sinumang kalahok, at kontrolin ang kanilang makina nang “walang kinakailangang aksyon mula sa biktima at walang visual cue na nagpapahiwatig ng kompromiso.”

“Gumana ito sa parehong direksyon: ang isang kompromisadong presenter ay maaaring abutin ang bawat kalahok, at sinumang kalahok ay maaaring abutin ang presenter,” isinulat nila.

Sinabi ng A Security na iniulat nila ang unang butas sa Zoom noong Hunyo 10, dalawang araw matapos itong matuklasan. Naglabas ang Zoom ng mga pag-aayos sa pagitan ng Hunyo 22 at Hulyo 20, ngunit kailangan pa ring mag-update ng mga user dahil ang server-side safeguard nito ay hindi makapag-filter ng mga mapaminsalang mensahe sa end-to-end encrypted na mga meeting.

“Gaya ng ibinahagi sa aming pahina ng Zoom Security Bulletin, naresolba na namin ang isyung ito,” sabi ng tagapagsalita ng Zoom sa Decrypt. “Palagi naming inirerekomenda na panatilihing updated ang mga user sa pinakabagong bersyon ng Zoom upang mapakinabangan nila ang aming pinakabagong mga feature at update."

Ang ulat ay lumabas habang ginagamit ang mga tool ng AI sa buong industriya ng teknolohiya upang makatuklas ng mga bug, kabilang ang 271 kahinaan sa Mozilla Firefox noong Abril at mga butas sa Zcash network noong Mayo. Kasabay nito, ang mga modelo ng AI mula sa OpenAI, Anthropic, at Meta ay nakatakas sa pagkontrol at naka-hack ng mga sistema ng ibang kumpanya.